구글 API 키의 보안 허점: 공개된 지도 API 키가 제미나이 접근 권한으로 변질되는 문제

섹션별 상세

구글 지도 API 키는 웹사이트에 임베딩되어 공개적으로 노출되도록 설계되었으나, 제미나이 API 키는 개인 파일 접근 및 유료 호출이 가능하여 엄격히 보호되어야 한다.

특정 프로젝트에서 제미나이 API를 활성화하면, 해당 프로젝트의 모든 API 키가 제미나이 엔드포인트에 접근할 수 있는 권한을 갖게 된다.

개발자는 API 키의 권한이 변경되었다는 경고를 받지 못하며, 이로 인해 과거에 안전하게 공개했던 키가 갑자기 보안 취약점으로 변하는 권한 상승 현상이 발생한다.

Truffle Security는 2025년 11월 Common Crawl 데이터에서 제미나이 접근이 가능한 2,863개의 API 키를 발견했으며, 이 중에는 구글 자체 소유의 키도 포함되어 있었다.

구글은 현재 노출된 키들을 무효화하고 있으나, 개발자는 자신의 프로젝트에서 API 키의 권한 제한 설정이 적절히 되어 있는지 직접 확인해야 한다.

권한 상승(Privilege Escalation): — 낮은 권한을 가진 사용자나 프로세스가 시스템의 취약점이나 설정 오류를 이용해 의도되지 않은 높은 수준의 권한을 획득하는 보안 공격 유형이다.
API 키(API Key): — 애플리케이션이 특정 API 서비스에 접근할 때 자신을 식별하고 인증하기 위해 사용하는 고유한 문자열로, 유료 서비스 호출이나 데이터 접근 권한을 제어한다.
커먼 크롤(Common Crawl): — 웹 전체를 크롤링하여 수집한 대규모 데이터를 누구나 이용할 수 있도록 공개하는 비영리 단체 및 해당 데이터셋으로, 보안 연구자들이 노출된 자격 증명을 찾는 데 활용하기도 한다.
엔드포인트(Endpoint): — API가 서버의 특정 리소스나 기능에 접근할 수 있도록 제공하는 통신 지점으로, 각 서비스마다 고유한 URL 형식을 가진다.