En utvecklare somnade med en varning på $10 på Google Cloud: han vaknade av en räkning på mer än $18 000

Molnet är något osynligt tills räkningen kommer. Vi bygger en applikation, testar ett API, lämnar en budget konfigurerad och fortsätter med våra liv och tänker att systemet kommer att varna om något går ur plan. Problemet är att varning inte är detsamma som att sluta.

Och den skillnaden, som kan tyckas vara en teknisk nyans, är precis vad som skiljer ett kontrollerat test från en enorm skuld när en nyckel exponeras, någon använder den och avgifterna börjar ackumuleras utan att vi ser det. Det är vad han hävdar hände Venturaxi, en Reddit-användare som berättade sin historia. Enligt GRYOnline.pl gick han och la sig med en budgetvarning inställd på 10 australiensiska dollar (cirka 7,15 US-dollar) och vaknade av en räkning på 25 672,86 australiensiska dollar i Google Cloud, drygt 18 000 US-dollar till växelkursen.

Användaren hävdar att under natten gjordes cirka 60 000 obehöriga förfrågningar via en API-nyckel som han inte kunde identifiera från början. Historien, det ska betonas från början, kommer från hans offentliga vittnesmål, inte från en oberoende utredning. En varning kan ljuda medan räkningen fortsätter att växa.

Nyckeln är en nyans som Google förklarar i sin egen dokumentation om budgetar: en budgetvarning stoppar inte konsumtionen, den skickar bara meddelanden när vissa trösklar nås. Det vill säga, det tjänar till att informera oss om att kostnaden är nära eller överstiger en siffra, men den fungerar inte som en strömbrytare som automatiskt stänger av tjänsten. Vid normal användning kan det räcka med att reagera i tid.

I ett scenario med automatiserade förfrågningar och en komprometterad nyckel kan räknaren dock fortsätta att köras trots att meddelandet redan har skickats.

Den mest känsliga delen av den här historien förstås bättre om vi lämnar jargongen bakom oss för ett ögonblick. En API-nyckel är rent praktiskt en nyckel som gör att en applikation kan identifiera sig för en tjänst och säga: Jag är det här kontot, släpp in mig. Så länge det är väl lagrat fyller det sin funktion.

Om det avslöjas kan en annan person använda det för att generera förfrågningar som kommer att debiteras det kontot. Google rekommenderar att du skyddar dessa nycklar, roterar dem och begränsar dem efter domän eller IP. Venturaxi hävdar att nyckeln som användes kom från en gammal trädgårdsapp skapad för hans mamma i Cloud Run.

Det verkar vara en av de mest förvirrande delarna av fallet. Användaren förklarar att han till en början inte hittade den nyckeln i den vanliga listan över AI Studio-nycklar, även om Google angav den som konsumtionskällan. Senare, enligt hans uppdatering på Reddit, lyckades han hitta den i en annan del av Google Cloud-instrumentpanelen tack vare en annan användares tips.

Nyckeln matchade det synliga namnet, inte den fullständiga nyckeln, vilket gjorde det svårt att hålla reda på. Det mest frustrerande kom när han försökte be om hjälp. I sin publikation berättar han att han först sysslade med automatiserade agenter, sedan med olika supportmedlemmar, och senare med eskaleringsansvariga, utan att ha en enda person att följa ärendet från början till slut i dagar.

Han hävdar också att han, allt eftersom förfrågningarna fortsatte, var tvungen att insistera flera gånger på att hans konto hade äventyrats innan han fick en eskalering. Den andra känsliga punkten är på kontonivå. Venturaxi hävdar att dess faktureringskonto automatiskt höjdes till en högre nivå baserat på dess ålder och betalningshistorik, även om det drabbade projektet var mycket nyare.

Enligt förklaringen som han säger att han fått från Google, svarade denna förändring på ett förtroendeförhållande förknippat med kontot, inte nödvändigtvis det specifika projektet. Resultatet, alltid enligt hans berättelse, var att han kunde konsumera mer än han förväntade sig, utan tydlig anmälan eller specifikt samtycke. På Xataka har vi redan den första skadliga programvaran utvecklad med AI.

Den stora oro är hur många av oss är omedvetna om dess existens. Fallet har haft en lång historia just för att det inte framstår som isolerat i samtalet. På Reddit hävdar andra användare att de har gått igenom liknande skräck med oväntade avgifter, komprometterade nycklar eller svårlösta faktureringstvister.

Det gör inte varje berättelse till verifierade bevis, men det ger oss en uppfattning om vad som kan hända. Samtidigt hjälper det att förstå varför venturaxis inlägg har gett resonans: det pekar på en oro som delas av flera utvecklare. Enligt utvecklaren slutade fakturan på 25 672,86 australiensiska dollar att annulleras och Google skulle också ha returnerat de 9 800 dollar som, alltid enligt dess historia, hade delats ut i fem ökande insamlingsförsök.

Det ekonomiska resultatet skulle därför ha lösts till deras fördel. Ändå hävdar användaren att han fortfarande inte hade några tydliga svar på flera punkter i händelsen: hur nyckeln exponerades, vad som aktiverade kontonivåhoppet eller var exakt trafiken kom ifrån. Fakturan på 25 672,86 australiensiska dollar slutade med att annulleras.

Det mest slående med den här historien är inte bara figuren, utan hur lätt det är att förstå hur något sådant här kan komma utom kontroll. Vi pratar inte om en stor utbyggnad eller en enorm infrastruktur, utan snarare en nyckel, en gammal app och en varning som inte gjorde vad många användare kunde föreställa sig. Det finns en varning för alla som arbetar med dessa tjänster, även i små tester: det är värt att se över vad som lämnas öppet, vilka gränser som är verkliga och vilka verktyg som bara informerar oss om att problemet redan är på gång.

Bilder | Xataka med Grok | charlesdeluvio I Xataka | Du får ett jobberbjudande från Spotify och ett annat från Disney. Det som ligger bakom är ett nätfiskebedrägeri som väntar