Giriş
Son araştırmalar, Google Cloud API anahtarlarının kötüye kullanılma potansiyeli taşıdığını ve bu anahtarların hassas Gemini uç noktalarına kimlik doğrulaması yaparak özel verilere erişim sağladığını ortaya koydu. Bu durum, bulut hizmetlerinin güvenliğini ciddi şekilde tehdit etmekte ve kullanıcılar için büyük maddi kayıplara yol açabilmektedir.
Saldırı Nasıl Çalışıyor?
Truffle Security, “AIza” ön eki ile tanımlanan 3,000’e yakın Google API anahtarının, web sitelerinde gömülü olarak bulunduğunu ve kullanıcılara Google ile ilgili hizmetler sunmak için kullanıldığını keşfetti. Geçerli bir anahtar ile bir saldırgan, aşağıdaki verilere erişim sağlayabilir:
- Yüklenmiş dosyalar
- Önbelleğe alınmış veriler
- LLM kullanımı için kullanıcı hesabına faturalandırma
Araştırmalar, kullanıcıların Google Cloud projelerinde (örneğin, Generative Language API) Gemini API’yi etkinleştirmesi durumunda mevcut API anahtarlarının, Gemini uç noktalara erişim sağladığını göstermiştir.
Etkilenen Sistemler
Truffle Security tarafından yapılan araştırmada, Google Cloud’da oluşturulan yeni bir API anahtarının varsayılan olarak “Sınırsız” ayarlandığı ve projenin etkinleştirilmiş her API’si için geçerli olduğu tespit edilmiştir. Bu, internet üzerinde kamuya açık durumda olan 2863 aktif anahtarın varlığına yol açmış, bu anahtarların arasında Google ile ilişkilendirilen bir web sitesi de bulunmaktadır.
Çözüm ve Korunma
Google, bu konuda proaktif tedbirler alarak, sızdırılan API anahtarlarının Gemini API’sine erişim sağlamasının engellenmesi için çalışmalar yapmaktadır. Ancak kullanıcıların kendi güvenliklerini sağlamak adına atması gereken adımlar şunlardır:
- Google Cloud projelerinizdeki API’leri ve hizmetleri kontrol edin.
- Yapay zeka ile ilişkili API’lerin etkin olup olmadığını kontrol edin.
- Eğer etkin ve kamuya açık durumda iseler, anahtarların döndürülmesi gerektiğine dikkat edin.
- Özellikle en eski anahtarlarınızı önceliklendirin.
Sonuç
Kullanıcıların, API anahtarlarının güvenliğini artırmak ve olası sızmaları önlemek için derhal güncellemeler yapması, gerekirse belirli portları kapatması ve aşırı yetkilendirilmiş anahtarları yeniden gözden geçirmesi önemlidir. Güvenlik testleri ve açık tarama süreçlerinin sürekli olarak güncellenmesi gerektiği unutulmamalıdır. Geliştiriciler, her zaman API davranışlarını profilendirerek anormallikleri tespit etmeli ve kötü niyetli faaliyetleri engellemek için aktif olmalıdır.
