Seorang pengembang solo, Charles Jones, mendadak mendapat tagihan Google Cloud senilai US$11.089,77 atau sekitar Rp197 juta hanya dalam 48 jam. Biaya itu disebut sebagian besar datang dari penggunaan model generator gambar berbasis AI milik Google, Gemini.
Yang membuat kasus ini terasa ganjil, Jones mengaku tidak menjalankan alur kerja yang seharusnya menghasilkan gambar AI dalam jumlah sebesar itu. Sengketa ini juga memunculkan pertanyaan lama soal siapa yang paling bertanggung jawab ketika ada kebocoran kunci akses di layanan cloud.
Akun dibekukan di tengah lonjakan biaya
Jones sehari-hari mengelola situs optimasi mesin pencari secara mandiri dan juga platform asuransi. Ia mengatakan tidak ada sistem di akun miliknya yang semestinya memicu pemakaian sebesar itu.
Masalah makin rumit ketika Google membekukan akunnya pada 7 Juni. Dalam pemberitahuan suspensi, akun Jones disebut terdeteksi melakukan aktivitas penyalahgunaan yang mengarah pada eksploitasi sumber daya pihak ketiga secara ilegal.
Menurut laporan investigasi yang dikutip The Register, akar masalahnya diduga berasal dari kompromi pada kunci akun layanan firebase-adminsdk. Jones kemudian segera menghubungi dukungan Google Cloud karena khawatir ada pihak luar yang masuk ke sistemnya.
Langkah pengamanan sudah dilakukan, tagihan tetap berjalan
Jones mengatakan sudah mengikuti prosedur pemulihan akun sesuai arahan resmi dari Google. Ia menonaktifkan akun layanan terkait dan mencabut kunci akses yang diduga terekspos untuk menghentikan kebocoran lebih lanjut.
Namun, upaya itu tidak otomatis menghapus biaya yang sudah tercatat. Tim penagihan Google Cloud disebut berulang kali menolak membatalkan tagihan, meski langkah pengamanan telah dilakukan.
Jones juga mengeluhkan minimnya informasi teknis yang diberikan Google. Ia menyebut tim Trust & Safety memang cepat mengirim peringatan soal kunci yang bocor, tetapi tidak memberi akses ke jalur forensik yang menunjukkan bagaimana atau di mana kebocoran terjadi.
“Tidak ada jejak, tidak ada jalur log, maupun detail forensik yang disediakan,” ujar Jones, dikutip dari laporan tersebut. Ia menilai kondisi itu membuat pengguna sulit membuktikan sumber masalah secara independen.
Debat soal shared responsibility model ikut menguat
Jones mengaku hanya dirinya yang memiliki akses ke mesin virtual tempat kunci tersebut disimpan. Dari sisi prosedur, ia menyatakan sudah menjalankan protokol keamanan sesuai standar platform.
Ia mempertanyakan bagaimana kebocoran bisa terjadi jika akses ke mesin virtual itu hanya dimiliki satu orang. Menurut dia, Google justru meminta beban pembuktian ditanggung pengguna untuk menjelaskan kegagalan yang tidak ditunjukkan secara konkret.
Poin inilah yang membuat kasus tersebut memantik kritik lebih luas terhadap shared responsibility model. Dalam model itu, penyedia layanan dan pengguna sama-sama punya tanggung jawab atas keamanan sistem, tetapi kasus Jones dinilai menunjukkan posisi pengguna kecil bisa menjadi sangat rentan saat terjadi sengketa.
Bukan insiden pertama di ekosistem cloud
Sengketa biaya akibat kebocoran kunci API ternyata bukan peristiwa yang berdiri sendiri. Pada Februari lalu, seorang pengembang di Vietnam dilaporkan mengalami kerugian hingga US$82.000 hanya dalam dua hari akibat eksploitasi API Google Cloud.
Setelah itu, kasus serupa dengan kerugian di atas US$10.000 juga ramai dibahas di komunitas daring Reddit. Rangkaian peristiwa tersebut menunjukkan bahwa kebocoran akses di layanan cloud bisa menimbulkan dampak finansial besar, terutama bagi pengembang kecil atau individu.
Sorotan pada pembatasan biaya
Salah satu kritik yang ikut mengemuka adalah ketiadaan pembatasan anggaran yang benar-benar solid dari Google. Hingga kini, fitur spending cap menyeluruh belum tersedia secara global untuk semua pengguna umum dan baru diuji dalam skala pratinjau terbatas.
Fitur budget alerts yang tersedia saat ini juga tidak otomatis menghentikan layanan saat ambang batas terlampaui. Artinya, beban biaya bisa terus berjalan meski pengguna sudah menerima peringatan.
Bagi Jones, kondisi itu sangat tidak seimbang bagi pengembang individu. Ia menilai sistem seharusnya memberi perlindungan yang lebih jelas agar satu insiden keamanan tidak berubah menjadi tagihan besar yang sulit dibatalkan.
Pada akhirnya, kasus ini menyorot kembali risiko yang dihadapi pengguna cloud ketika kunci akses bocor atau diduga bocor. Tanpa visibilitas forensik yang memadai dan batas biaya yang lebih tegas, satu kejadian singkat bisa berubah menjadi tagihan besar yang membebani pengembang secara langsung.
