Một mã khóa API Gemini bị đánh cắp đã biến tờ tiền 180 đô la thành 82.000 đô la chỉ trong hai ngày

Sự cố hy hữu nhưng đầy cảnh báo này vừa được một thành viên trong nhóm chia sẻ trên Reddit, làm dấy lên những tranh luận nảy lửa về trách nhiệm bảo mật giữa nhà cung cấp dịch vụ đám mây và người dùng trong kỷ nguyên AI.

Hóa đơn "trên trời rơi xuống"

Theo chia sẻ, khóa API Google Cloud của dự án đã bị lộ trong khoảng thời gian ngắn từ ngày 11 đến 12 tháng 2 năm 2026. Kẻ tấn công đã tận dụng kẽ hở này để truy cập ồ ạt vào các dịch vụ cao cấp như Gemini 3 Pro Image và Gemini 3 Pro Text.

Kết quả là một con số không tưởng: Chi phí từ mức trung bình 180 USD/tháng đã vọt lên 82.314,44 USD chỉ trong vòng 48 giờ. Với một công ty nhỏ đang hoạt động với ngân sách thắt chặt, con số này không khác gì một bản án tử hình cho doanh nghiệp. Ngay cả khi được giảm 2/3 số tiền, họ cho biết mình vẫn không đủ khả năng chi trả.

Cuộc chiến lý lẽ: Lỗi tại ai?

Phản hồi về sự việc, đại diện từ Mountain View (Google) đưa ra quan điểm cứng rắn dựa trên Mô hình Trách nhiệm Chung (Shared Responsibility Model). Theo đó:

Nhà cung cấp: Chịu trách nhiệm về hạ tầng và nền tảng.
Người dùng: Phải tự bảo vệ thông tin xác thực và triển khai các biện pháp bảo mật cần thiết.

Google khẳng định khách hàng phải tự chịu trách nhiệm khi khóa xác thực bị xâm phạm. Ngược lại, nhóm lập trình viên Mexico quả quyết họ không mắc lỗi vận hành "rõ ràng" nào và đã nhanh chóng vô hiệu hóa API, đổi khóa và bật xác thực hai yếu tố (2FA) ngay khi phát hiện bất thường.

Nhóm này lập luận rằng các nền tảng đám mây cần có cơ chế "phanh khẩn cấp". Việc doanh thu tăng vọt gấp 455 lần trong 48 giờ là một dấu hiệu lạm dụng rõ rệt, không thể coi là biến động sử dụng bình thường. Họ cho rằng hệ thống lẽ ra phải tự động tạm dừng dịch vụ để xác minh thay vì cứ thế "thả cửa" tính tiền.

Lời cảnh báo cho cộng đồng Dev

Sự việc vẫn đang trong quá trình thương lượng nhưng chưa có tín hiệu khả quan từ phía Google. Nhóm phát triển hiện đã đệ đơn khiếu nại lên FBI để điều tra hành vi xâm nhập trái phép.

Vụ việc này để lại nhiều bài học xương máu cho giới lập trình viên khi làm việc với các API AI tiêu tốn nhiều tài nguyên:

Tuyệt đối không hard-code khóa API: Luôn sử dụng biến môi trường hoặc các dịch vụ quản lý bí mật (Secret Manager).
Thiết lập hạn mức chi tiêu (Billing Quotas): Đây là "phao cứu sinh" quan trọng nhất để chặn đứng các hóa đơn nghìn đô trước khi chúng kịp hình thành.
Cảnh giác với kho lưu trữ công khai: Dù nhóm lập trình viên phủ nhận, nhưng việc vô tình đẩy khóa API lên GitHub vẫn là nguyên nhân hàng đầu dẫn đến các vụ rò rỉ tương tự.

Câu chuyện của nhóm phát triển Mexico là lời nhắc nhở rằng trong kỷ nguyên AI, một sai lầm nhỏ về bảo mật có thể dẫn đến hậu quả tài chính khủng khiếp, vượt xa khả năng xử lý của bất kỳ startup nào.

Razer Naga V3 Pro ra mắt: Chuột MMO 3 mặt hông, 12 nút và pin lên tới 280 giờ

Razer chính thức ra mắt Naga V3 Pro, thế hệ mới nhất của dòng chuột MMO Naga. Sản phẩm nổi bật với ba mặt hông từ tính có thể thay đổi, cảm biến Focus Pro 50K Gen-3, kết nối HyperSpeed và thời lượng pin tối đa 280 giờ, hướng tới khả năng sử dụng linh hoạt từ MMO, MOBA đến FPS.

CORSAIR NIGHTSWORD v2 WIRELESS SD: Không chỉ là chuột gaming, đây còn là "Stream Deck thu nhỏ"

Nếu chỉ nhìn vào thông số, NIGHTSWORD v2 WIRELESS SD là một mẫu chuột gaming flagship đúng nghĩa với cảm biến 33K DPI, polling rate 8.000Hz, switch quang học, kết nối ba chế độ và thời lượng pin lên tới 170 giờ.

Razer ra mắt Huntsman V3 HE Magnetic 8KHz: Bàn phím Hall Effect dành cho game thủ esports

Sản phẩm được giới thiệu với hai phiên bản Tenkeyless (TKL) và Mini 65%, trang bị Razer Magnetic Hall Effect Switches, cho phép tùy chỉnh điểm kích hoạt từ 0,1 mm đến 4,0 mm.

CORSAIR ra mắt SKIFF 100 PLUS, SKIFF 100 và HARPOON V2 WIRELESS: Bộ gear đa năng cho cả chơi game lẫn làm việc

SKIFF 100 PLUS, SKIFF 100 và HARPOON v2 WIRELESS mang đến cho game thủ khả năng điều khiển linh hoạt cùng độ chính xác cao, tạo sự thoải mái khi chơi game, làm việc hay tham gia bất kỳ hoạt động nào khác hằng ngày.

Corsair CLIPPER PRO MINI 60: Bàn phím Hall Effect nhỏ gọn nhưng sở hữu sức mạnh

Corsair CLIPPER PRO MINI 60 sở hữu gần như đầy đủ những gì game thủ cạnh tranh mong muốn ở một bàn phím hiện đại: switch từ tính Hall Effect, Rapid Trigger, FlashTap SOCD, polling rate 8000Hz, RGB per-key cùng khả năng tùy chỉnh chuyên sâu thông qua nền tảng Web Hub.

Đập hộp Corsair HS35 v3 Wireless: Quá nhiều nâng cấp đáng giá cho một chiếc tai nghe gaming quốc dân

Corsair HS35 v3 không phải là mẫu headset gaming nhiều công nghệ nhất thị trường, nhưng lại là một trong những lựa chọn cân bằng và thực dụng nhất trong phân khúc.

TUYỆT ĐỈNH ĐỒNG BỘ: CHOÁNG NGỢP KHÔNG GIAN GIỚI THIỆU GHẾ GAMING RAZER SOMA CHROMA

Là sản phẩm mở đường cho dòng ghế gaming mang trải nghiệm đắm chìm thế hệ mới của Razer, Soma Chroma đồng thời là chiếc ghế chơi game RGB đầu tiên của hãng.

Đánh Giá Chi Tiết Corsair Nautilus 360 RS ARGB: Tản Nhiệt 360mm Đáng Mua Nhất Phân Khúc?

Đây là sản phẩm hướng tới nhóm người dùng đề cao hiệu năng, sự ổn định và phong cách tối giản.

Razer Seiren V3 Pro ra mắt: Micro dynamic cao cấp hỗ trợ 32-bit Float, kết nối USB-C và XLR

Chia sẻ về sản phẩm mới, bà Addie Tan, Giám đốc Toàn cầu mảng Lifestyle của Razer cho biết Seiren V3 Pro được thiết kế để đồng hành cùng nhà sáng tạo trong mọi giai đoạn phát triển, từ những streamer mới bắt đầu cho tới các broadcaster chuyên nghiệp.