- Les clés API Google publiques (AIza…) collées dans le JavaScript Maps donnent maintenant accès à Gemini sans restriction : fichiers privés, cache utilisateur, facturation. TruffleSecuritya trouvé 3000 clés valides exposées sur Common Crawl.
- Google active automatiquement l’accès Gemini sur TOUTES les clés existantes d’un projet sans notification, puis a classé le bug comme “comportement normal” avant de l’admettre 7 semaines plus tard.
- Solution immédiate : vérifier console.cloud.google.com pour les API “Generative Language” non restreintes, ajouter des filtres IP/referrer, et basculer sur des comptes de service pour Gemini.
You must log in or # to comment.