Google กำลังเผชิญกับการตรวจสอบความปลอดภัยครั้งใหม่ หลังจากที่นักวิจัยเปิดเผยว่าคีย์ API ที่เปิดเผยต่อสาธารณะสามารถนำไปใช้ในทางที่ผิดเพื่อเข้าถึงบริการ Gemini AI
ปัญหานี้มุ่งเน้นไปที่คีย์ Google API ที่ฝังอยู่ในโค้ดฝั่งไคลเอ็นต์ ซึ่งในอดีตถือว่ามีความเสี่ยงต่ำ แต่ขณะนี้อาจให้สิทธิ์การเข้าถึง Gemini (Generative Language) API โดยไม่ได้ตั้งใจ
คีย์ API ที่เปิดเผยอาจเปิดประตูสู่การใช้ราศีเมถุนในทางที่ผิด
ตามรายงานของ Truffle Security นักวิจัยด้านความปลอดภัยพบว่าคีย์ Google API ที่เปิดเผยต่อสาธารณะสามารถตรวจสอบสิทธิ์คำขอไปยังอุปกรณ์ปลายทาง Gemini AI ได้
คีย์เหล่านี้มักจะปรากฏใน JavaScript สำหรับบริการต่างๆ เช่น การฝัง Google Maps, การผสานรวม YouTube, การติดตามการวิเคราะห์ และฟีเจอร์ Firebase ในอดีต นักพัฒนามักเปิดเผยสิ่งเหล่านี้ในโค้ดส่วนหน้า เนื่องจากไม่ถือว่าเป็นข้อมูลประจำตัวที่ละเอียดอ่อน
อย่างไรก็ตาม หลังจากที่ Google เปิดตัว Gemini และนักพัฒนาได้เปิดใช้งาน API ของโมเดลภาษาขนาดใหญ่ (LLM) ในโปรเจ็กต์ที่มีอยู่ คีย์เดียวกันเหล่านั้นก็ได้รับความสามารถที่เพิ่มขึ้น
นักวิจัยพบว่าผู้โจมตีสามารถแยกคีย์ออกจากซอร์สโค้ดของเว็บไซต์ได้โดยตรง และใช้คีย์เหล่านั้นเพื่อส่งคำขอไปยังปลายทาง Gemini รวมถึงเส้นทาง/models API ในบางกรณี สิ่งนี้อาจทำให้สามารถเข้าถึงข้อมูลส่วนตัวที่เปิดเผยผ่าน Generative Language API
คีย์สดนับพันถูกค้นพบทางออนไลน์
การสแกนชุดข้อมูล Common Crawl ในเดือนพฤศจิกายน 2025 เผยให้เห็นคีย์ Google API ที่เผยแพร่อยู่มากกว่า 2,800 รายการในหน้าเว็บสาธารณะ
กุญแจดังกล่าวปรากฏบนเว็บไซต์ขององค์กรต่างๆ มากมาย รวมถึงสถาบันการเงิน บริษัทจัดหางาน บริษัทรักษาความปลอดภัย และแม้แต่ทรัพย์สินบางส่วนของ Google
ในกรณีที่มีการบันทึกไว้ มีรายงานว่าคีย์ที่ฝังอยู่ในเว็บไซต์สาธารณะของผลิตภัณฑ์ Google ยังคงใช้งานได้ตั้งแต่อย่างน้อยในเดือนกุมภาพันธ์ 2023
บริษัทรักษาความปลอดภัย Truffle Security เตือนว่าผู้ประสงค์ร้ายสามารถใช้คีย์ที่เปิดเผยเหล่านี้เพื่อทำการเรียก Gemini API โดยไม่ได้รับอนุญาต นักวิจัยประเมินว่าการละเมิดดังกล่าวอาจสร้างรายได้หลายพันดอลลาร์ในค่าบริการ API ต่อวันในบัญชีที่ถูกบุกรุกเพียงบัญชีเดียว
จากการฝังที่มีความเสี่ยงต่ำไปจนถึงข้อมูลรับรองการตรวจสอบสิทธิ์ AI
ก่อนการรวม Gemini โดยทั่วไปคีย์ Google Cloud API จะรองรับกรณีการใช้งานที่จำกัด และมักต้องมีข้อจำกัดเพิ่มเติม เช่น ขีดจำกัดผู้อ้างอิง HTTP
นักพัฒนามักปล่อยให้คีย์เหล่านี้มองเห็นได้ในโค้ดส่วนหน้า โดยถือว่าคีย์เหล่านี้มีความเสี่ยงน้อยที่สุด
เมื่อเปิดใช้งานการเข้าถึง Gemini คีย์เดียวกันนี้สามารถทำหน้าที่เป็นข้อมูลรับรองการตรวจสอบสิทธิ์สำหรับบริการที่ขับเคลื่อนด้วย AI ทำให้เกิดพื้นที่การโจมตีใหม่
มีรายงานว่า Google ได้รับการเปิดเผยปัญหานี้เมื่อวันที่ 21 พฤศจิกายน 2025 และเมื่อวันที่ 13 มกราคม 2026 บริษัทได้จัดประเภทปัญหาว่าเป็น “การยกระดับสิทธิ์บริการเดียว”
Google เปิดตัวการบรรเทาผลกระทบ
Google กล่าวว่าได้ใช้มาตรการป้องกันใหม่เพื่อตรวจจับและบล็อกคีย์ API ที่รั่วไหลซึ่งพยายามเข้าถึงบริการ Gemini
คีย์ AI Studio API ใหม่จะมีค่าเริ่มต้นเป็นขอบเขต Gemini เท่านั้นและมีการป้องกันเพิ่มเติม Google ยังวางแผนที่จะส่งการแจ้งเตือนเชิงรุกเมื่อตรวจพบคีย์ที่ถูกเปิดเผยซึ่งเชื่อมโยงกับการใช้งาน Gemini
นักพัฒนาควรตรวจสอบโปรเจ็กต์ที่มีอยู่ ตรวจสอบว่า Gemini API เปิดใช้งานอยู่หรือไม่ และหมุนเวียนคีย์ API ที่เปิดเผยต่อสาธารณะทันที
นักวิจัยแนะนำให้สแกนฐานโค้ดและพื้นที่เก็บข้อมูลด้วยเครื่องมือ เช่น TruffleHog เพื่อระบุข้อมูลประจำตัวแบบฮาร์ดโค้ด
การเปิดเผยดังกล่าวเกิดขึ้นเมื่อ Google ยังคงขยายระบบนิเวศ AI ของตนอย่างต่อเนื่อง โดยเพิ่งเปิดตัว Nano Banana 2 และ Lyria 3 ซึ่งเพิ่มความสำคัญของการรักษาความปลอดภัยการเข้าถึงบริการที่สร้างโดยใช้ API
ในการพัฒนาที่เกี่ยวข้อง รายงานระบุว่าผู้คุกคามได้ใช้ประโยชน์จาก Gemini เพื่อดำเนินการโจมตีทางไซเบอร์ด้วย
ผ่านทางคอมพิวเตอร์ Bleeping
*️⃣ ลิงค์ที่มา:
Truffle Security เปิดตัว Nano Banana 2, Lyria 3 ใช้ประโยชน์จาก Gemini เพื่อดำเนินการโจมตีทางไซเบอร์ Bleeping Computer ,