Gemini 网页端遭曝鉴权漏洞：免费调用Deep Thinking，谷歌两月未修

一名安全研究人员在开发者社区 Linux.do 发帖披露，发现了 Google Gemini 网页端存在严重的鉴权逻辑漏洞。据描述，利用该漏洞可绕过 Google 的付费订阅机制，实现无限制地调用任意 Gemini 模型，其中重点涉及具备深度推理能力的“Deep Thinking”等高阶模型，这意味着攻击者无需付费即可获取高昂的算力资源。该用户表示，早在两个月前就已通过正规渠道向 Google 提交了漏洞报告，但截至发稿时，未收到官方任何形式的修复确认或漏洞赏金反馈。出于对官方处理进度的失望，该开发者正考虑将漏洞利用代码（POC）上传至 GitHub，试图通过获取社区关注（Stars）来以此作为回应。这一举动引发了关于“负责任的漏洞披露”边界的广泛讨论。通常情况下，公开未修补的严重漏洞可能被视为恶意攻击，但在厂商长期忽视报告的背景下，研究者往往面临两难抉择。该事件不仅直接暴露了 Google 在 Web 端鉴权层面的疏忽，也折射出科技巨头在漏洞赏金计划（VBP）响应效率上的短板，若处理不当，极易导致安全防御体系被公开“破防”。

事件分析

💡 核心观点：漏洞赏金机制的失效倒逼研究者转向公开披露，大厂迟缓的响应速度正成为AI基础设施安全防线上的最大隐患。