Google API Anahtarı Güvenlik Açığı Gemini Verilerine Yetkisiz Erişim Riski Oluşturuyor
Google altyapısında kullanılan bazı API anahtarlarının yeni yapay zekâ entegrasyonu sonrası beklenmeyen bir güvenlik riski oluşturduğu ortaya çıktı. Google API anahtarı güvenlik açığı, daha önce zararsız kabul edilen istemci tarafı kodlarında yer alan anahtarların Gemini yapay zekâ servislerine erişim sağlayabilmesi nedeniyle gündeme geldi. Araştırmacılar, internet genelinde binlerce aktif anahtarın hâlâ herkese açık şekilde bulunduğunu belirtti.
Araştırmacılar Açık Kaynak Kodlarında Binlerce Anahtar Tespit Ediyor
Google API anahtarı güvenlik açığı, geliştiricilerin yıllardır web sitelerinde açık şekilde kullandığı Cloud API anahtarlarının yeni yetkiler kazanmasıyla ortaya çıktı. Güvenlik şirketi Truffle Security araştırmacıları, Kasım 2025 tarihli geniş ölçekli internet veri setini inceleyerek yaklaşık 2 bin 800 aktif anahtarın herkese açık JavaScript kodlarında yer aldığını belirledi.
Araştırmacılar, geçmişte yalnızca kimlik tanımlayıcı olarak kullanılan anahtarların artık Gemini API kimlik doğrulaması için de geçerli hâle geldiğini aktardı. Google Cloud API anahtar güvenliği konusu bu değişim sonrası yeniden tartışılmaya başladı.
Geliştiriciler uzun süredir harita yerleştirme, YouTube içerik entegrasyonu veya analiz hizmetleri için API anahtarlarını doğrudan istemci tarafında kullanıyordu. Gemini platformunun devreye alınmasıyla aynı anahtarlar yapay zekâ servislerine erişim sağlayan kimlik bilgilerine dönüştü.
Araştırmacılar, saldırganların web sayfası kaynak kodundan kopyalanan bir anahtar aracılığıyla Gemini API uç noktalarına sorgu gönderebildiğini gösterdi. Gemini API veri erişim riski, özellikle özel proje verilerinin veya ücretli işlem kotalarının kötüye kullanılmasına yol açabiliyor.
Uzman ekipler, yoğun API çağrıları gerçekleştiren saldırganların tek bir hesap üzerinden günlük binlerce dolarlık maliyet oluşturabileceğini ifade etti. Yapay zekâ API anahtar sızıntısı senaryoları bu nedenle finansal zarar ihtimalini de gündeme taşıyor.
Google yetkilileri araştırmacıların raporu sonrası sorunu değerlendirmeye aldı. Şirket, 13 Ocak 2026 tarihinde durumu tek servis ayrıcalık yükseltme problemi olarak sınıflandırdı. Google, yeni güvenlik politikası kapsamında sızdırılmış anahtarları otomatik olarak tespit eden sistemleri devreye soktuğunu açıkladı. Gemini API güvenlik önlemleri çerçevesinde yeni oluşturulan AI Studio anahtarları yalnızca Gemini erişimiyle sınırlandırılıyor.
Şirket ayrıca geliştiricilere projelerinde Generative Language API etkin olup olmadığını kontrol etmelerini önerdi. Uzmanlar, açıkta bulunan tüm anahtarların derhâl yenilenmesi gerektiğini vurguluyor. Araştırmacılar, geliştiricilerin açık anahtarları tespit etmek için TruffleHog aracını kullanabileceğini belirtiyor. Google API anahtarı güvenlik açığı, yapay zekâ servislerinin mevcut altyapılarla birleştiğinde eski güvenlik varsayımlarını hızla geçersiz hâle getirebildiğini gösteriyor.
