Google API密钥“权限升级”危机：近3000个公开密钥可直接访问Gemini AI私密数据

优质文章学习记录

— 4 min read
Google API密钥“权限升级”危机：近3000个公开密钥可直接访问Gemini AI私密数据

安全研究人员最新发现，长期嵌入网页前端代码中、原本用于Google Maps、YouTube等服务的Google Cloud API密钥，如今可被直接用于向 Gemini AI助手 进行身份认证，并访问项目中的私密数据。

研究团队在扫描多个行业机构的公开网页（甚至包括谷歌自身的产品页面）时，发现了近 3000个 仍在生效的此类密钥。

Thousands of Public Google Cloud API Keys Exposed with Gemini Access After API Enablement

问题根源：Gemini推出改变了游戏规则

在Gemini AI助手推出前，Google Cloud API密钥通常被视为“非敏感”的项目标识符或计费令牌。即使公开暴露在前端JavaScript代码中，开发者也普遍认为没有太大安全风险。开发者常用这些密钥实现网站功能，例如：

  • 加载交互式地图
  • 嵌入YouTube视频
  • 使用Google统计服务
  • 集成Firebase功能

然而，当开发者在Google Cloud项目中启用Generative Language API（Gemini API）后，这些旧密钥会静默获得Gemini访问权限，从单纯的“计费ID”升级为有效的AI身份凭证。

Previously harmless Google API keys now expose Gemini AI data

Previously harmless Google API keys now expose Gemini AI data

攻击者只需从网页源代码中复制API密钥，即可通过Gemini API访问上传文件、缓存内容等私密数据，甚至滥用调用接口为自己牟利。

实际危害：数据泄露 + 高额账单

由于Gemini API按使用量计费，攻击者可通过刷调用量给受害者制造巨额费用。根据模型类型和上下文窗口不同，单个被滥用的密钥每天可能产生数千美元的账单（真实案例中曾出现48小时内8.2万美元的巨额扣款）。

研究人员使用2025年11月的 Common Crawl 数据集进行分析，在公开JavaScript代码中发现了 2863个 正在使用的暴露Google API密钥。其中部分密钥属于大型金融机构、安全公司和招聘平台。

Google API Keys Weren't Secrets. But then Gemini Changed the Rules. ◇ Truffle Security Co.

Google API Keys Weren't Secrets. But then Gemini Changed the Rules. ◇ Truffle Security Co.

一个典型案例显示，某枚仅用作标识符的API密钥至少从2023年2月起就已部署在谷歌某产品的公开网页源代码中。研究人员使用该密钥成功调用了Gemini API的/models接口，列出了可用模型列表。

谷歌的响应与修复措施

研究人员于2025年11月21日向谷歌通报该问题。经过多轮沟通，谷歌于2026年1月13日将此问题归类为“单服务权限提升”漏洞。

谷歌已实施以下措施：

  • 新创建的AI Studio密钥默认仅开放Gemini权限范围
  • 已识别的泄露API密钥将被禁止访问Gemini API
  • 检测到密钥泄露时，将主动向项目所有者发送通知

同时，谷歌建议所有开发者立即采取行动：

  • 检查项目中是否已启用Gemini（生成式语言API）
  • 审计所有API密钥是否公开暴露在前端代码中
  • 立即轮换存在风险的密钥，并为密钥添加严格的API限制
安全启示

这一事件再次提醒开发者：安全假设会随着新功能引入而悄然改变。曾经“安全”的公开API密钥，在AI时代可能瞬间成为高危凭证。推荐做法包括：

  • 优先使用服务账户密钥而非通用API密钥
  • 为所有密钥配置最小权限原则（restrict by API/service）
  • 定期扫描前端代码中的硬编码密钥

Read more

一键拯救大模型的前端审美能力 - 使用Frontend-Design Skill提升AI设计水平

# 一键拯救大模型的前端审美能力 ## 前言 目前，在不额外给风格规范/设计系统/示例参考的情况下，拥有前端审美能力的编程模型只有4款： - Gemini 3 Pro - Gemini 3 Flash   - Claude Opus 4.5 - Claude Sonnet 4.5 当我们看到GPT-5.2-Codex等明明其他方面都很厉害，但是唯独前端审美不行的模型时，常常感叹"哀其不幸、怒其不争"。那么，是否有快速提升他们前端审美能力的方法呢？ 答案是：**使用 Anthropic 官方提供的 frontend-design skill** ## 什么是 Frontend-Design Skill？ Frontend-Design Skill 是 Anthropic 官方提供的一款技能包，可以为所有主流编程大模型（
Qt 前后端通信(QWebChannel Js / C++ 互操作)：原理、示例、步骤解说

Qt 前后端通信(QWebChannel Js / C++ 互操作)：原理、示例、步骤解说

Qt 提供的 QWebEngineView 是一个基于 Chromium 内核的浏览器组件，通过它，开发者可以使用 HTML、CSS、JavaScript 等技术开发 Web 页面并呈现在 Qt 桌面应用中，但与开发纯 Web 页面不同的是，这些页面通常需要和 应用中的其他组件交互，例如获取后端数据进行渲染、将前端用户指令传达给后端执行等，这将不可避免地涉及到前端 Js 和 后端 C++ 之间的交互问题，而 Qt 为此给出的解决方案就是 QWebChannel，通过 QWebChannel 前端 Web 页面和与后端 C++ 程序实现自然而顺畅的交互，甚至前后端的操作风格都极为一致。本文我们将细致地介绍QWebChannel 前后端交互的原理，通过四个详实的示例程序讲解每一步重要的操作步骤，通过本文，你将对 QWebChannel 有一个全面而深入的了解。 1. 工作原理
【Zabbix 自定义监控全流程实战指南（附图文教程）：从语法基础到内存传参、PHP-FPM 服务、Web 场景监控配置】

【Zabbix 自定义监控全流程实战指南（附图文教程）：从语法基础到内存传参、PHP-FPM 服务、Web 场景监控配置】

提示：本文原创作品，良心制作，干货为主，简洁清晰，一看就会 zabbix自定义监控 * 前言 * 一、自定义监控语法 * 二、监控内存--基础用法 * 三、监控内存--传参用法 * 四、监控php-fpm 服务的状态 * 五、Web场景监控 前言 这篇内容带大家快速上手 Zabbix 的基础用法 关于 Zabbix 的安装步骤或创建监控项，还不太清楚的小伙伴，可以查看这篇文章补充相关知识 https://blog.ZEEKLOG.net/m0_63756214/article/details/156421867?spm=1001.2014.3001.5501 关于 Zabbix 创建触发器，动作，媒介及图形，还不太清楚的小伙伴，可以查看这篇文章补充相关知识https://blog.
探索WAAPI：开启Web动画新纪元

探索WAAPI：开启Web动画新纪元

目录 一.WAAPI的诞生背景 二.WAAPI的核心组件与工作原理 2.1核心组件 2.2工作原理 三.WAAPI的显著优势 3.1性能卓越 3.2精确控制 3.3代码简洁易读 3.4兼容性与扩展性 四.WAAPI的应用场景与实践案例 4.1页面过渡动画 4.2交互式动画 4.3数据可视化动画 五.WAAPI的未来展望         在当今数字化时代，Web页面不再仅仅是静态信息的展示平台，而是逐渐演变为充满交互性和动态效果的多媒体空间。动画作为增强用户体验、传达信息的重要手段，在Web开发中扮演着愈发关键的角色。而Web Animations API（简称WAAPI）的出现，为Web动画开发带来了革命性的变化，它以其强大的功能和灵活的操控性，成为开发者手中的一把利器。 一.WAAPI的诞生背景         在WAAPI出现之前，Web开发者实现动画主要依赖CSS动画和JavaScript动画库。CSS动画虽然简单易用，但在控制动画的精确性和交互性方面存在一定局限；而传统的JavaScript动画库虽然功能丰富，