Google API安全规则突变：未限制的浏览器密钥致开发者13小时欠下5.4万欧元AI账单

一名开发者遭遇了高达5.4万欧元（约42万人民币）的天价账单，起因是其Firebase项目中使用了未设置引用限制的浏览器API密钥来调用Gemini接口。过去十年，Google一直教导开发者用于浏览器端的API密钥“非机密”，无需严格隐藏，但在AI时代，这一旧规则已不再适用。攻击者利用公开密钥在短短13小时内疯狂消耗算力配额。该事件警示行业：随着大模型调用成本激增，旧的API密钥管理策略已失效，开发者必须立即将所有密钥视为最高机密，否则将面临巨大的财务风险。