AI 프로그램을 여러 회사의 모델과 연결할 때 ‘API 키’라는 긴 비밀번호를 넣는 경우가 있습니다. 이 키가 새면 다른 사람이 내 계정으로 AI를 사용해 요금을 발생시킬 수 있습니다. TechCrunch는 2026년 10월 19일 OpenCode Console의 보안 침해로 일부 이용자의 API 키가 노출됐고, 승인하지 않은 AI 사용료가 청구된 사례가 있었다고 보도했습니다. 회사 측 설명상 영향받은 이용자는 약 1.4%였지만, 작은 비율이라도 내 키가 포함되면 피해는 100%입니다.
API 키는 일반 비밀번호보다 더 위험할 수 있습니다
API 키는 프로그램이 OpenAI, Anthropic, Google 같은 서비스에 자동 접속하도록 하는 인증 수단입니다. 이메일과 비밀번호처럼 매번 화면에서 확인하지 않고 백그라운드에서 사용됩니다. 따라서 공격자가 키를 얻으면 눈치채기 전에 많은 요청을 보내 비용을 만들거나, 권한 범위에 따라 저장된 자료에 접근할 가능성도 있습니다.
이번 사건의 중요한 교훈은 “유명한 오픈소스 도구이니 안전할 것”이라고 단정하면 안 된다는 점입니다. 오픈소스 여부와 운영 서버의 보안은 별개입니다. 특히 웹 콘솔이나 제3자 중개 서비스에 키를 저장하면 관리 주체가 하나 더 늘어납니다.
OpenCode Console을 썼다면 지금 할 일
먼저 해당 서비스에 넣었던 모든 API 키를 원 제공업체 화면에서 폐기(revoke)하고 새 키를 만드세요. 단순히 OpenCode 비밀번호만 바꾸는 것으로는 부족합니다. 다음으로 OpenAI·Anthropic·Google Cloud 등의 사용량과 결제 내역을 날짜별로 확인하고, 모르는 사용이 있으면 즉시 제공업체 지원팀과 카드사에 문의하세요. 새 키에는 월별 지출 한도와 사용 알림을 설정하고, 가능하면 특정 프로젝트와 기능에만 쓰도록 제한하세요.
API 키를 메모장, 이메일, 공개 GitHub 저장소에 적어 두지 마세요. 쓰지 않는 키는 지우고, 업무용과 개인용 키를 분리하면 사고 범위를 줄일 수 있습니다. 의심스러운 청구를 발견했다면 화면을 캡처하고 시간·금액·키 이름을 기록한 뒤 키부터 중지하는 순서가 좋습니다.
다른 보안 점검으로는 제로클릭 스파이웨어 예방법, 안드로이드 통화·문자 사기 보호 설정, Microsoft Edge 자동 보안 업데이트도 함께 확인해 보세요.
출처와 한계
출처: TechCrunch 사건 보도. 영향을 받은 범위와 환불 절차는 조사가 진행되며 바뀔 수 있습니다. 실제 청구가 있으면 공개 게시물보다 서비스 사업자의 공식 안내와 결제 명세를 우선 확인하세요.
컴친 한줄 정리
API 키 유출이 의심되면 비밀번호만 바꾸지 말고 키 자체를 폐기한 뒤 새로 만들고, 사용량·결제 내역과 지출 한도를 함께 확인하세요.
