AI API 키 도난 대비법 — 내 키로 남이 요금 쓰는 걸 막는 4가지 설정

아침에 일어나 메일함을 열었더니, 쓰지도 않은 AI 사용 요금이 수백 달러 청구돼 있다면 어떨까요.

지난주 실제로 이런 일이 벌어졌습니다. AI 코딩 도구를 쓰는 개발자들의 API 키가 대량으로 도난당해, 낯선 사람이 그 키로 요금을 쓴 사건인데요. 오늘은 이 사건을 짧게 정리하고, 개발자가 아니어도 API 키를 쓴다면 지금 바로 해둘 4가지 설정을 알려드리겠습니다.

이번 사건의 핵심

오픈소스 AI 코딩 도구 OpenCode가 유료 서비스 'Console' 사용자의 1.4%가 피해를 입었다고 밝혔습니다. 공격자는 폐기 예정이던 구형 시스템에 침입해, 사용자 작업 공간에 저장된 OpenAI, Anthropic, 구글의 API 키에 접근했습니다. biggo

피해는 곧바로 요금으로 이어졌습니다. 일부 사용자는 하룻밤 사이 수백 달러에서 1,700달러 가까운 요금을 청구받았다고 SNS에 밝혔습니다. OpenCode는 10월 17일 피해자들에게 메일을 보내 해당 제공사 대시보드에서 키를 폐기하고 새 키로 바꾼 뒤, 그 키를 쓰는 앱을 업데이트하고 최근 사용 내역에서 이상한 활동이 없는지 확인하라고 안내했습니다. dev

한 가지 짚어둘 점은 피해 범위입니다. OpenCode 개발자는 이번 사건이 OpenCode 프로그램 자체가 아닌 Console 서비스의 문제이며, 내 컴퓨터에서 쓰는 OpenCode의 키는 회사로 전송되지 않는다고 설명했습니다. 키를 어디에 저장했느냐가 피해를 가른 셈입니다. redreamality

API 키는 '카드 번호'와 같습니다

API 키는 내 계정으로 AI 모델을 부르는 열쇠입니다. 신용카드 번호에 빗대면 이해가 쉽습니다. 키를 훔친 사람이 그 키로 요청을 보내면, 요금은 원래 주인 계정으로 청구됩니다. biggo

이번 사건에서 회사가 쓴 표현인 '증류 공격'도 같은 맥락입니다. 증류 공격은 AI 모델에 질문을 대량으로 던져 답변을 모으고, 그 답변으로 다른 모델을 학습시키는 방식입니다. 남의 카드로 비싼 학습 재료를 공짜로 사 모으는 셈이죠. blockonomi

그렇다면 카드 번호를 지키듯 키를 지키면 됩니다. 핵심은 4가지입니다.

지금 바로 할 4가지 설정

① 사용 한도와 알림 걸기
OpenAI, Anthropic, 구글 모두 콘솔에서 월 사용 한도나 예산 알림을 설정할 수 있습니다. 카드에 한도를 거는 것과 같습니다. 다만 서비스에 따라 알림만 보내고 자동으로 막지는 않는 경우도 있으니, 설정한 뒤 실제로 차단되는지까지 확인해 두세요.

② 키는 용도별로 쪼개기
하나의 키를 여러 도구에 돌려쓰지 말고, 도구마다 키를 따로 만드세요. 키 이름에 "블로그 자동화용", "코딩 도구용"처럼 용도를 적어두면, 하나가 털려도 그 키만 폐기하면 됩니다.

③ 외부 서비스에 키 저장은 최소화하기
이번 사건처럼 외부 서비스의 서버에 키를 저장해 두면, 그 회사가 뚫릴 때 내 키도 함께 나갑니다. 가능하면 내 컴퓨터에만 저장되는 방식을 고르고, 꼭 외부에 맡겨야 한다면 한도를 낮게 건 전용 키를 쓰세요.

④ 정기 교체와 안 쓰는 키 삭제
분기에 한 번 정도 키를 새로 바꾸고, 더 이상 쓰지 않는 키는 바로 삭제하세요. 잊고 있던 키가 가장 위험합니다.

설정막아주는 것난이도

사용 한도·알림	피해 금액이 커지는 것	쉬움
용도별 키 분리	한 번에 모든 도구가 막히는 것	쉬움
외부 저장 최소화	남의 회사 해킹에 휘말리는 것	보통
정기 교체·삭제	잊힌 키가 악용되는 것	쉬움

이미 털렸다면 이 순서로

1. 키 폐기: 제공사 콘솔에서 해당 키를 즉시 삭제합니다.
2. 새 키 발급과 앱 업데이트: 새 키를 만들어 쓰던 도구에 다시 넣습니다.
3. 사용 내역 확인: 최근 며칠간 사용량에서 내가 쓰지 않은 기록을 찾습니다.
4. 제공사에 문의: 무단 사용 내역을 근거로 고객센터에 상황을 알립니다. 요금 조정 여부는 제공사 정책에 따라 다릅니다.
5. 계정 비밀번호 변경: 키를 보관하던 서비스의 비밀번호도 함께 바꿉니다.

에이전트에 결제수단을 연결할 때 피해를 줄이는 방법은 지난 글 에이전트가 말을 안 들을 때 멈추는 법에도 정리해 두었습니다.

이런 습관은 피하세요

• 키를 코드에 그대로 붙여넣고 깃허브 같은 공개 저장소에 올리기
• 메신저나 메일로 키를 주고받기
• 블로그나 SNS에 설정 화면을 캡처해 올리면서 키를 가리지 않기

특히 마지막은 블로거가 가장 쉽게 하는 실수입니다. 설정 방법을 소개하는 글을 쓸 때는 캡처에 키가 보이지 않는지 꼭 확인하세요.

📌 오늘의 핵심 요약

• OpenCode Console 사용자 1.4%의 API 키가 도난당해, 일부는 수백 달러 이상의 무단 요금을 청구받았습니다.
• API 키는 카드 번호와 같아서, 훔친 사람이 쓴 요금이 원래 주인에게 청구됩니다.
• 사용 한도 설정, 용도별 키 분리, 외부 저장 최소화, 정기 교체로 대비하세요.
• 이미 털렸다면 폐기, 재발급, 사용 내역 확인, 제공사 문의 순서로 대응하세요.
• 블로그나 SNS 캡처에 키가 노출되지 않게 주의하세요.

출처

• DEV Community — OpenCode Told 1.4% of Console Users to Revoke Their OpenAI and Anthropic Keys
• BigGo Finance — OpenCode Reports Breach Exposing Third-Party AI API Keys
• Redreamality — After the OpenCode Breach: Why Coding Agents Became Credential Magnets
• Blockonomi — OpenCode Security Breach Exposes API Keys of 1.4% of Console Users

💡 낯선 용어가 있으셨나요? 👉 AI·IT 용어사전 · IT비즈니스 용어사전 · 블로그·웹 용어사전