AI 에게 API 키를 건네지 않는 법

보안 · 2026년 10월 11일 · SO EASY

이미지 만들기, 문자 보내기, 결제처럼 외부 서비스를 프로그램에서 쓰려면 API 키가 필요합니다. 키는 비밀번호와 같습니다. 남이 알면 내 이름으로 서비스를 쓰고, 요금은 내가 냅니다.

AI 와 일할 때 키가 새는 길

• 대화창에 키를 붙여 넣으면 대화 기록에 그대로 남습니다.
• AI 가 코드를 쓰면서 키 값을 파일에 직접 적을 수 있습니다.
• 그 파일이 커밋되어 저장소에 올라가면, 나중에 지워도 기록에는 남습니다.
• 실행 결과나 오류 메시지에 키가 찍혀 나오기도 합니다.

원칙 세 가지

• 키 값은 대화에 쓰지 않습니다. AI 에게 키를 알려 줄 일은 없습니다.
• 파일에는 값이 아니라 이름만 적습니다. 어떤 키를 쓸지만 적고, 값은 다른 곳에 둡니다.
• 키는 쓰는 순간에만 넣어 줍니다. 프로그램이 실행될 때만 키를 받고, 끝나면 남기지 않습니다.

SO EASY 키 금고는 이렇게 합니다

키는 이 PC 의 내 윈도우 계정에만 암호화해 저장하고, 어디로도 보내지 않습니다. 프로그램을 실행할 때만 키를 넣어 주고, 쓸 때마다 확인 창이 떠서 내가 허용해야 합니다. 설정 파일에는 키 값 대신 금고 속 키의 이름만 적습니다.

GEMINI_API_KEY=soeasy:gemini_api_key

AI 직원이 키 값을 직접 조회하려 하면 금고가 거부합니다. AI 는 키 이름으로 프로그램을 실행하고, 값은 보지 않은 채 일합니다.

한계도 있습니다

직접 조회를 거부한다고 해서 모든 경우를 막는다는 보장은 아닙니다. 그래서 SO EASY 는 커밋하기 전에 키 값이 파일에 섞였는지 한 번 더 대조합니다. 금고가 있어도 아래 습관은 함께 지키는 편이 안전합니다.

지금 해 볼 것

• 대화 기록과 코드 폴더에서 키처럼 생긴 긴 글자가 있는지 찾아봅니다.
• 한 번이라도 대화나 저장소에 올라간 키는 서비스 화면에서 새로 발급하고, 옛 키는 끕니다.
• 키를 발급하는 서비스 계정에는 2단계 인증을 켭니다.
• 키를 만들 때 쓸 수 있는 범위와 한도를 꼭 필요한 만큼으로 좁힙니다. 접근 권한도 같은 생각입니다.