واجه فريق تطوير تقني في المكسيك أزمة مالية حادة عقب اكتشاف ارتفاع مفاجئ وغير مسبوق في فاتورة خدمات الذكاء الاصطناعي الخاصة بهم، حيث قفزت التكلفة من متوسط شهري يقدر بنحو 180 دولاراً إلى 82,314.44 دولاراً خلال 48 ساعة فقط. وتعود تفاصيل الحادثة إلى استغلال جهات خارجية لمفتاح وصول (API key) مسرب مرتبط بمشروع على منصة Google Cloud، ما أتاح لهم تشغيل واجهات البرمجة الخاصة بنماذج Gemini المتطورة بكثافة عالية تسببت في هذه الأعباء المالية الفورية.
وقد حظيت هذه الواقعة بتداول واسع في المجتمعات التقنية والمنصات المتخصصة مثل Reddit، وسلطت الضوء على المخاطر المرتبطة بمفاتيح Google API القديمة عند تفعيل خدمات Gemini الحديثة داخل المشاريع السحابية.
وتشير السجلات التقنية للحادثة إلى أن المهاجمين نفذوا موجة من الطلبات المؤتمتة المكثفة بين يومي 11 و12 فبراير 2026، مستهدفين خدمات Gemini 3 Pro Image وGemini 3 Pro Text. وبلغت نسبة الزيادة في الاستهلاك نحو 455 ضعف المعدل المعتاد، واستمر تراكم الرسوم طوال فترة الهجوم قبل اكتشافه.
وفور رصد هذا الاستنزاف، بادر الفريق بحذف المفتاح المتضرر وتدوير بيانات الاعتماد، بالإضافة إلى تعزيز إعدادات الهوية وإدارة الوصول، المعروفة باسم IAM، وتفعيل المصادقة متعددة العوامل لضمان حماية النظام مستقبلاً.
مخاطر مفاتيح الوصول وتحديات الإدارة الأمنية في البيئات السحابية
تكمن الخطورة الأساسية في التعامل مع مفاتيح API لكونها تعمل وفق مبدأ “اعتماد الحامل” (Bearer Credential)، وهو نظام يمنح أي طرف يمتلك المفتاح صلاحية تنفيذ العمليات والطلبات بصفة صاحب الحساب الأصلية. ويؤدي تسريب هذه المفاتيح، سواء عبر تضمينها في كود الواجهات الأمامية أو رفعها عن طريق الخطأ إلى مستودعات الكود العامة، إلى استنزاف مالي مباشر في الخدمات التي تعتمد نظام الدفع حسب الاستهلاك. وتتضاعف هذه المخاطر في حال غياب حدود الإنفاق الصارمة أو آليات الإيقاف التلقائي للخدمة عند رصد انحرافات حادة في أنماط الاستخدام اليومية.
وبرزت خلال هذه الأزمة زاوية تقنية بالغة الحساسية تتعلق بمفاتيح Google API القديمة التي كانت تستخدم تاريخياً لخدمات مثل Google Maps وتظهر أحياناً بشكل علني في صفحات الويب. قد تكتسب هذه المفاتيح صلاحيات إضافية للوصول إلى واجهة Gemini بمجرد تفعيل هذه الواجهة داخل المشروع نفسه، دون حاجة لإجراءات إضافية من المطور. وبناءً على ذلك، اتخذت Google إجراءات تقنية تهدف إلى كشف المفاتيح المسربة وحجب وصولها إلى نماذج Gemini، مع توجيه مفاتيح AI Studio الجديدة نحو نطاقات أكثر تقييداً وتفعيل تنبيهات استباقية عند رصد أي تسريب محتمل للبيانات.
استراتيجيات الوقاية ونموذج المسؤولية المشتركة في خدمات الذكاء الاصطناعي
تؤكد هذه الواقعة على أهمية فهم “نموذج المسؤولية المشتركة” (Shared Responsibility Model) في الحوسبة السحابية، حيث تلتزم المنصة بتأمين البنية التحتية، بينما تقع على عاتق المستخدم مسؤولية حماية مفاتيح الوصول وضبط القيود التشغيلية. وتظهر الفجوة الأمنية بوضوح عندما تعمل الخدمات المؤتمتة بسرعة تتجاوز قدرة التدخل البشري، إذ تتيح دقائق معدودة توليد تكاليف باهظة إذا كانت الطلبات آلية والنماذج المستخدمة عالية التكلفة. ولذلك، يتطلب العمل الآمن تجنب وضع المفاتيح داخل كود العميل، ومراجعة كافة التطبيقات التي قد تحتوي على مفاتيح تبدأ بالبادئة AIza للتأكد من تأمينها أو استبدالها.
ويعد تقييد مفاتيح API (API key restrictions) خطوة جوهرية لحصر استخدام المفتاح في واجهات محددة أو عناوين IP معينة، لتقليص الأضرار في حال حدوث تسريب. كما يُنصح بالاعتماد على نظام IAM لتوفير بيانات اعتماد قصيرة العمر وتفعيل سجلات المراقبة لصناعة إنذارات مبكرة عند حدوث قفزات غير طبيعية في الاستهلاك. وتكتمل هذه الإجراءات بوضع ميزانيات وتنبيهات إنفاق واضحة وخفض سقف الحصص المخصصة لواجهات الذكاء الاصطناعي لتتوافق مع الاحتياج الفعلي للمشروع، مع إمكانية رفعها تدريجياً عند الحاجة بدلاً من تركها مفتوحة افتراضياً.
