AI API 키 유출 후 30분 대응 체크리스트: 삭제보다 먼저 할 일

핵심 요약

• API 키 유출은 먼저 “삭제”보다 “권한 차단과 재발급” 순서가 중요합니다.
• 30분 안에 할 일은 노출 위치 확인, 키 폐기, 새 키 발급, 로그 점검, 비용 한도 확인입니다.
• 같은 사고가 반복되면 GitHub Secret Scanning, push protection, 로그 마스킹, 키 분리 정책을 바로 적용해야 합니다.

0~5분: 노출된 키를 더 이상 쓰지 못하게 막기

키가 GitHub 커밋, 에러 로그, 슬랙 캡처, 노션 문서에 보였다면 첫 판단은 간단합니다. “누가 봤을까”를 추정하느라 시간을 쓰지 말고, 해당 키가 더 이상 호출에 쓰이지 않도록 폐기 또는 비활성화합니다.

5~15분: 새 키를 넣되, 같은 실수를 반복하지 않게 배치하기

새 키를 만들 때는 기존과 같은 이름으로 아무 데나 붙여 넣지 않는 것이 중요합니다. 로컬 개발, 서버 배포, 크론, 워커가 모두 같은 키를 쓰고 있었다면 사고 범위가 커집니다. 최소한 운영 키와 개발 키를 분리하고, 운영 키는 서버 환경변수나 비밀 저장소에서만 읽게 만듭니다.

• 로컬 .env는 gitignore 상태를 확인합니다.
• CI/CD에는 repository secret이나 environment secret으로 넣습니다.
• 로그에는 키 원문이 아니라 앞뒤 일부만 마스킹한 식별자만 남깁니다.
• 가능하면 프로젝트별, 환경별, 권한별로 키를 나눕니다.

15~30분: 이미 악용됐는지 확인하기

키를 바꿨다고 끝난 것이 아닙니다. 노출된 시각 이후 호출량, 실패 로그, 비용 증가, 비정상 IP, 평소와 다른 모델·엔드포인트 사용 흔적을 확인해야 합니다.

재발 방지 체크리스트

1. GitHub Secret Scanning과 push protection을 켭니다.
2. 로그 마스킹 규칙에 sk-, api_key, Authorization 패턴을 추가합니다.
3. 키 발급·폐기 담당자와 기준을 문서화합니다.
4. 월 비용 한도와 알림을 설정합니다.
5. 정기적으로 사용하지 않는 키를 폐기합니다.

실전 예시: GitHub에 키가 올라간 걸 발견했다면

가장 위험한 선택은 커밋만 지우고 끝내는 것입니다. 공개 저장소에 키가 노출됐다면 누가 복사했는지 알 수 없으므로 키 폐기, 새 키 발급, 사용량 확인, 로그 점검, 재노출 방지 순서로 처리해야 합니다.

• 즉시: 해당 API 키를 비활성화하거나 삭제하고 새 키를 발급합니다.
• 10분 안: 결제·사용량 대시보드에서 비정상 호출이 있는지 확인합니다.
• 30분 안: 저장소 secret scanning, 환경변수 분리, 로그 마스킹 규칙을 점검합니다.

자주 묻는 질문

커밋에서 키를 지우면 안전한가요?

아닙니다. 이미 커밋 기록, 포크, 캐시, 알림에 남았을 수 있습니다. 키 원문을 지운 뒤에도 해당 키는 폐기하고 새 키를 발급해야 합니다.

노출됐지만 호출량이 늘지 않았다면 그냥 써도 되나요?

권장하지 않습니다. 노출 여부를 확인한 순간부터 그 키는 신뢰할 수 없는 키로 보고 교체하는 것이 안전합니다.

API 키 유출 대응 자주 묻는 질문

GitHub Secret Scanning을 켜면 유출 대응이 끝나나요?

끝나지 않습니다. Secret Scanning과 push protection은 노출 가능성을 빨리 발견하고 커밋 단계에서 막는 장치입니다. 이미 노출된 키는 서비스 콘솔에서 폐기·재발급하고, 로그와 비용 한도를 확인한 뒤 저장소 규칙과 환경변수 관리까지 같이 고쳐야 합니다.

새 키를 만들 때 가장 먼저 나눌 기준은 무엇인가요?

운영, 개발, 테스트 환경을 먼저 분리하고 필요한 권한만 부여하세요. 같은 키를 로컬, 서버, 자동화 도구에 함께 쓰면 사고 범위가 커집니다. 새 키 적용 뒤에는 예전 키가 실제로 호출되지 않는지 로그로 확인하는 단계까지 남겨두는 것이 안전합니다.

키를 교체한 뒤에도 저장소 기록을 지워야 하나요?

네, 공개 저장소라면 기록 정리와 접근 범위 점검을 함께 해야 합니다. 다만 기록 삭제만으로는 이미 복사된 키를 회수할 수 없으므로, 먼저 키를 폐기하고 새 키를 배포한 뒤 secret scanning 결과, 배포 로그, 비용 한도, 팀 공유 문서를 순서대로 확인하세요.