63시크릿과 키

다른 걸 전부 건너뛰더라도 - 이건 읽어라.

액세스 키는 어떤 서비스의 비밀번호다. 네 AI의, 데이터베이스의, 결제의. 그걸 가진 사람은 네가 할 수 있는 모든 걸 할 수 있다. 네 돈을 쓰는 것 포함.

제1규칙: 키는 절대 코드에 눕지 않는다. 히스토리에 안 들어가고 인터넷으로 안 떠나는 별도 파일에 산다. 프로젝트 맨 처음에 AI한테 이 말을 해둬라. 그러면 알아서 전부 올바르게 처리한다.

왜 이게 이토록 심각한가. 인터넷엔 노출된 키를 찾아다니는 봇들이 24시간 돌아다닌다. "언젠가 들키겠지"가 아니다. 몇 분 만에 찾는다. 키가 든 퍼블릭 저장소는 네가 차 한 잔 우리기도 전에 계좌를 비운다.

겁주려는 얘기가 아니다. 올해 1월, 한 앱이 액세스 키 150만 개, 이메일 주소 3만 5천 개, 사용자들의 개인 대화를 바깥에 노출했다. 출시 사흘 만에. AI로 만든 앱 50개를 조사했더니 열에 아홉 꼴로 데이터베이스가 활짝 열려 있었다. 그리고 연구들은 AI가 쓰는 코드의 45퍼센트쯤이 기본 보안 검사를 통과 못 한다고 말한다.

결론은 "AI 쓰지 마라"가 아니다. 결론은: AI는 부탁하지 않으면 보안을 스스로 생각하지 않는다. 부탁해라. 대놓고. "여기 구멍 없는지 확인해줘", "시크릿이 저장소에 안 들어가는지 확인해줘". 할 줄 안다. 그냥 기본값으로 안 할 뿐이다.

나도 내 사건이 있었다. 액세스 키 하나가 있으면 안 될 곳에 적혀 있었던 적이 있다. 뒷수습에 며칠이 갔다. 시작할 때의 오 분짜리 주의가 훨씬 싸다.