Pesquisadores da TruffleSecurity publicaram descobertas mostrando que as chaves da API do Google Cloud – credenciais que o Google disse explicitamente aos desenvolvedores que são seguras para incorporar em código público há anos – agora podem autenticar silenciosamente com a API Gemini AI, expondo arquivos carregados, dados em cache e recursos de IA faturáveis ​​para qualquer pessoa que os encontre. A divulgação, publicada em 26 de fevereiro de 2026, seguiu um processo coordenado de 90 dias durante o qual o Google inicialmente rejeitou o relatório antes de eventualmente reconhecê-lo e iniciar a correção.

A pesquisa alcançou um público amplo rapidamente. O pesquisador de segurança John Hammond, cujo canal no YouTube tem 2,12 milhões de assinantes, cobriu as descobertas no mesmo dia, obtendo mais de 82 mil visualizações em 72 horas. A mensagem central foi simples: o que foi documentado como seguro para compartilhar não é mais seguro e quase ninguém percebeu a mudança.

O problema não é que os desenvolvedores cometeram um erro. É que o Google mudou as regras sem avisar ninguém.

O que dizia a própria documentação do Google

Para entender a exposição, é útil começar com o que o Google instruiu os desenvolvedores a fazer. O API JavaScript do Google Maps documentação orienta os desenvolvedores a criar uma chave de API e, em seguida, incorporar sua sequência alfanumérica diretamente no HTML de uma página da web. O exemplo de código relevante coloca a chave dentro de um
Fonte: Link original