Hackers «piratean» Gemini con claves ajenas

En los últimos meses, desarrolladores de todo el mundo se han topado con una tendencia inesperada y desagradable: las filtraciones de claves de la API de Google se han convertido en una auténtica mina de oro para los hackers. Los ciberdelincuentes se interesan especialmente por las claves que permiten trabajar con Gemini AI, la plataforma de inteligencia artificial de Google. Cuando una de esas claves queda expuesta, los atacantes empiezan a usarla sin límite. El resultado: el dueño de la clave recibe una factura astronómica sin tener ni idea de que otra persona está «alimentándose» de sus recursos.

Uno de los casos más ilustrativos le ocurrió a un desarrollador independiente que había creado una pequeña startup. Usaba la API de Google para generar contenido con Gemini. El proyecto empezó a crecer hasta que una mañana el desarrollador se encontró con una factura de Google de casi 15.000 dólares. Resultó que su clave de API se había filtrado —probablemente durante unas pruebas o al publicar código temporalmente— y había caído en manos de atacantes, que empezaron a enviar solicitudes a gran escala a los servicios de IA generativa. Lo hicieron con tanta intensidad que en pocos días consumieron cientos de veces el límite mensual.

Los expertos en seguridad señalan que estos ataques se han convertido en un escenario habitual. Los atacantes rastrean GitHub y otros servicios en busca de claves filtradas y se dedican exclusivamente a enviar solicitudes automatizadas y masivas a los recursos de las costosas plataformas de IA. En cuanto encuentran una clave, lanzan sus scripts y la ponen a trabajar «a pleno rendimiento». Es parecido a lo que hacen con los datos de tarjetas de crédito robadas: mientras el dueño no se dé cuenta, pueden seguir ordeñando el recurso.

Google advierte a los desarrolladores de que la compañía ofrece herramientas básicas de protección, como la limitación de solicitudes y la fijación de cuotas por proyecto. El problema es que muchos desarrolladores no configuran esos límites, lo que deja las claves muy expuestas. Cuando una clave aparece en un repositorio público, basta con unos minutos para hacerse con ella. Ya no es un problema exclusivo de Google: lo mismo ocurre con las claves de API de Amazon, Microsoft y otros grandes servicios.

Para los desarrolladores independientes, esto puede significar el fin del proyecto. Si la empresa no tiene colchón financiero, una factura de entre 10.000 y 15.000 dólares puede ser fatal. Muchas startups comparten sus historias con desesperación: basta una filtración accidental o un descuido para que todo el trabajo se vaya al traste.

Los expertos aconsejan a los desarrolladores que revisen de inmediato sus repositorios para detectar posibles filtraciones, renueven las claves con regularidad, activen los límites de uso y utilicen servicios proxy cuando sea posible. Y, sobre todo, que no guarden las claves en texto plano. Las herramientas DevOps actuales permiten cifrar esos datos de forma segura y evitar que queden expuestos en el código.

En definitiva, las filtraciones de claves de API se han convertido en un problema mundial. Cuanto más populares son los servicios de IA, más atractivos resultan para los atacantes. Y mientras los desarrolladores sigan publicando claves a la vista de todo el mundo, los hackers continuarán encantados de aprovecharse de recursos ajenos. Da igual que se trate de una gran corporación o de una frágil startup: la factura llegará igual de rápido.