63비밀 정보와 키

다른 건 다 건너뛰더라도 이건 읽어.

액세스 키는 어떤 서비스의 비밀번호야. 네 AI, 데이터베이스, 결제 서비스의. 그걸 가진 사람은 네가 할 수 있는 건 다 할 수 있어. 네 돈을 쓰는 것까지.

제1 규칙: 키는 절대 코드에 넣지 마. 키는 히스토리에 안 들어가고 인터넷으로 안 올라가는 별도 파일에 있어야 해. 프로젝트를 시작할 때 AI한테 이렇게 말해두면 알아서 제대로 처리해줘.

이게 왜 이렇게 심각하냐면. 인터넷엔 노출된 키를 찾아다니는 봇들이 24시간 돌아다녀. "언젠가 누가 보겠지"가 아니라 몇 분 만에 찾아내. 키가 들어 있는 퍼블릭 저장소는 네가 차 한 잔 끓이기도 전에 계좌를 비워.

겁주려는 소리가 아니야. 2026년 초에 AI 에이전트용 소셜 네트워크 Moltbook이, 그것도 AI로 만든 서비스였는데, 출시 사흘 만에 액세스 키 150만 개, 이메일 주소 3만 5천 개, 개인 메시지를 밖으로 노출했어. 원인은 데이터베이스 설정 하나를 빠뜨린 거였어.

그리고 이게 한 번뿐인 일도 아니야. 2026년 6월에 연구자들이 Lovable, Bolt, v0 같은 빌더로 만든 사이트를 천 개 넘게 점검했는데, 거의 모든 사이트에서 구멍이 하나 이상 나왔고, 세 곳 중 한 곳꼴로는 심각한 구멍이었고, 172곳에선 지나가던 아무나 남의 데이터를 지울 수 있었어. 그리고 Veracode의 여름 보고서에 따르면 AI는 작업의 거의 절반에서 이미 알려진 취약점이 있는 코드를 쓰고, 이건 일 년째 나아지지 않았어. 모델은 똑똑해지는데 안전해지진 않는 거지.

결론은 "AI 쓰지 마"가 아니야. 결론은 AI는 시키지 않으면 보안을 알아서 챙기지 않는다는 거야. 그러니까 시켜. 대놓고. "여기 구멍 없는지 확인해줘", "비밀 정보가 저장소에 안 들어가는지 확인해줘". 할 줄은 알아. 기본으로 안 할 뿐이지.

나한테도 사건이 있었어. 액세스 키 하나가 있으면 안 되는 곳에 적혀 있었던 적이 있거든. 뒷수습에 며칠이 걸렸어. 처음에 오 분 신경 쓰는 게 훨씬 싸.