AI API 키 유출되면 사용료도 떠안는다

노출 의심 땐 즉시 키 교체하고 사용 내역 점검…공개 코드에도 넣지 말아야

인공지능(AI) 서비스를 앱이나 프로그램에 연결할 때 사용하는 API 키가 유출되면 다른 사람이 해당 계정의 사용 권한을 도용해 예상하지 못한 요금이 발생할 수 있다. 키가 노출된 것으로 의심된다면 발급받은 서비스에서 즉시 교체하고 사용 내역을 확인해야 한다.

API 키는 프로그램이 서비스에 요청을 보낼 때 이용자를 식별하는 비밀 코드다. OpenAI는 유출된 키가 무단 사용에 악용되면 비용이 발생하거나 계정의 사용 한도가 소진돼 서비스 이용이 중단될 수 있다고 안내한다.

키를 웹사이트나 모바일 앱의 화면을 구성하는 코드에 직접 넣는 것은 피해야 한다. 이용자가 접근할 수 있는 영역에 키가 포함되면 다른 사람이 이를 가져갈 수 있기 때문이다. OpenAI는 키를 안전하게 보관할 수 있는 서버를 통해 요청을 처리하도록 권장한다.

소스 코드를 저장하는 저장소에 키를 올리지 않는 것도 중요하다. 공개 저장소뿐 아니라 비공개 저장소에서도 침해가 발생할 수 있다. 개발 환경에서는 키를 코드와 분리해 환경 변수나 별도의 비밀정보 관리 도구로 보관할 수 있다.

이미 키를 공개했거나 유출이 의심된다면 기존 키를 폐기하고 새 키를 발급받아 사용 중인 프로그램의 설정도 바꿔야 한다. OpenAI는 API 사용량을 살펴 예상하지 못한 활동이 있는지 확인하고, 추가 조사가 필요하면 지원팀에 문의하도록 안내한다.

평소 사용량과 비용을 점검하고 조직이나 프로젝트별 지출 한도를 설정하는 것도 피해를 줄이는 방법이다. 다만 OpenAI는 지출 알림만으로는 API 요청이 중단되지 않으며, 강제 한도를 설정해도 적용에 시간이 걸려 기록된 비용이 한도를 조금 넘을 수 있다고 설명한다.

여러 사람이 함께 일할 때 하나의 개인 키를 공유하면 사용 내역을 구분하고 권한을 관리하기 어렵다. OpenAI는 팀원을 초대해 각자 권한을 부여하고, 용도나 프로젝트에 따라 별도의 키를 사용하도록 권장한다. 서비스마다 키 발급과 폐기 방법이 다르므로 해당 업체의 관리 화면을 확인해야 한다.