For et prosjekt som hadde brukt Firebase Authentication i over et år uten problemer, var kvelden da et enkelt KI-snutt-generator ble lagt til rutinemessig. Utvikleren aktiverte Firebase AI Logic, pushet koden, og logget av. I løpet av natten, over 13 timer, genererte en ukjent klient trafikk mot Gemini API som på ingen måte samsvarte med faktiske brukere. Pigen var automatisert og aggressiv.
Et budsjettvarsel på 80 euro og et cost anomaly-varsel var slått på. Begge trigget med flere timers forsinkelse. Da utvikleren så meldingene og responderte, sto regningen allerede på rundt 28 000 euro. Forsinkelsesrapportering tok det videre til over 54 000 euro før det stoppet. Google Cloud-støtte mottok logger og analyse. Konklusjonen: trafikken kom fra utviklerens eget prosjekt, klassifisert som «valid usage», og refusjonssøknaden ble avslått.
«By default, keys generated in Google AI Studio are restricted to just the Gemini API, no other services are enabled. However keys generated from other parts of Google Cloud have this cross service capability.» — Logan Kilpatrick, Google, i tråden
Kilpatrick bekreftet at Google er i ferd med å deaktivere bruk av ubegrensede API-nøkler i Gemini API og nå ruller ut prepaid billing som standard for nye amerikanske billing-kontoer. Parallelt finnes spend caps på to nivåer i dag: billing account cap (Tier 1 = 250 dollar i måneden) og project spend cap. Begge har en rapporteringsforsinkelse på rundt 10 minutter, som forklarer hvorfor varslene traff for sent i denne saken.
Rotårsaken er velkjent, men rammer fortsatt: en API-nøkkel i klientkode er offentlig. Den kan begrenses med App Check, HTTP-referrer-restriksjoner og service-whitelists, men blir standard nøkler fra Google Cloud-konsollet ikke slike restriksjoner automatisk. Firebase-konsollet gir en falsk trygghet fordi nøkkelen er «Firebase»-merket.
Hva bør du gjøre?
- Sjekk alle API-nøkler i klientkode nå. Gå til Google Cloud Console → APIs & Services → Credentials og bekreft at hver nøkkel har både API-restriksjon (bare Gemini, ikke hele kontoen) og applikasjonsrestriksjon (HTTP-referrer, Android/iOS-app).
- Sett project spend cap før produksjon, ikke etter. Kilpatrick selv satte egen konto til 50 dollar i måneden. Regn med 10 minutters forsinkelse i rapportering — budsjettet må tåle et kortvarig sprang over grensen.
- Flytt Gemini-kall bort fra klientkode. Bruk en Cloud Function eller et Workers-endepunkt med Firebase App Check-verifisering, slik at nøkkelen aldri forlater serveren.