AI
GoogleのAPIキー、削除しても23分間は使える
AIセキュリティを語るGoogleの足元で、開発者が悲鳴を上げている。APIキーを消しても消えない——その「仕様」が、数万ドルの請求書を生んでいる。 消したはずの鍵が、まだ開く Google CloudのAPIキーは、削除しても 最大23分間 認証が通り続ける。セキュリティ企業Aikidoのジョセフ・レオン（Joseph Leon）氏が、10回の試験を2日間にわたって実施し、この遅延を確認した。 削除操作がGoogleのインフラ全体に伝わるまで、サーバーごとにタイムラグがある。あるサーバーは数秒で拒否し、別のサーバーは23分後まで受け入れ続ける。攻撃者がこの挙動を知っていれば、大量のリクエストを送り込むことで「まだ追いついていないサーバー」を引き当てられる。 レオン氏の調査では、削除後も90%以上のリクエストが認証を通過した時間帯があった。Geminiが有効なプロジェクトでは、その窓の間にアップロード済みファイルやキャッシュされた会話データを持ち出せる。 Google認証方式別：削除後の失効伝搬時間
