구글 API 키의 보안 허점: 공개된 지도 API 키가 제미나이 접근 권한으로 변질되는 문제

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

구글 지도와 같은 서비스의 API 키는 웹페이지에 직접 포함되어 공개되는 특성을 갖지만, 제미나이 API 키는 비공개로 유지되어야 하는 비밀 정보이다. 문제는 구글 클라우드 프로젝트 내에서 제미나이 API를 활성화할 경우, 기존에 공개되었던 지도 API 키가 제미나이 엔드포인트에도 접근할 수 있게 된다는 점이다. 개발자에게 별도의 경고 없이 권한이 확장되면서, 공개된 식별자가 민감한 자격 증명으로 변하는 권한 상승 문제가 발생한다. Truffle Security는 실제 웹 크롤링 데이터를 통해 수천 개의 유효한 키를 발견했으며, 구글은 현재 해당 키들을 무효화하는 작업을 진행 중이다.

배경

구글 클라우드 플랫폼(GCP) 프로젝트 관리 이해, API 인증 및 키 관리 기초

대상 독자

구글 클라우드 및 제미나이 API를 사용하는 개발자 및 보안 담당자

의미 / 영향

이 문제는 클라우드 서비스의 통합이 의도치 않은 보안 구멍을 만들 수 있음을 보여준다. 특히 생성형 AI 서비스가 기존 인프라에 통합될 때 기존의 보안 관행이 무너질 수 있으므로 세밀한 권한 관리가 필수적이다.

섹션별 상세

구글 지도 API 키는 웹사이트에 임베딩되어 공개적으로 노출되도록 설계되었으나, 제미나이 API 키는 개인 파일 접근 및 유료 호출이 가능하여 엄격히 보호되어야 한다.

특정 프로젝트에서 제미나이 API를 활성화하면, 해당 프로젝트의 모든 API 키가 제미나이 엔드포인트에 접근할 수 있는 권한을 갖게 된다.

개발자는 API 키의 권한이 변경되었다는 경고를 받지 못하며, 이로 인해 과거에 안전하게 공개했던 키가 갑자기 보안 취약점으로 변하는 권한 상승 현상이 발생한다.

Truffle Security는 2025년 11월 Common Crawl 데이터에서 제미나이 접근이 가능한 2,863개의 API 키를 발견했으며, 이 중에는 구글 자체 소유의 키도 포함되어 있었다.

구글은 현재 노출된 키들을 무효화하고 있으나, 개발자는 자신의 프로젝트에서 API 키의 권한 제한 설정이 적절히 되어 있는지 직접 확인해야 한다.

실무 Takeaway

구글 클라우드 프로젝트에서 제미나이 API를 활성화하기 전, 기존에 공개된 API 키가 있는지 확인하고 권한 범위를 제한해야 한다.
API 키 생성 시 특정 서비스로만 사용을 제한하는 API Restriction 설정을 적용하여 의도치 않은 서비스 접근을 차단해야 한다.
인프라 설정 변경이 기존 보안 자산의 성격을 바꿀 수 있음을 인지하고 정기적으로 노출된 자격 증명을 스캔해야 한다.

언급된 리소스

문서Truffle Security의 API 키 취약점 분석