API 레이트 리밋이란 — 위키데이터를 멈춘 '수십만 건 요청'을 막는 장치

공용 우물에 한 사람이 펌프를 꽂아 두면 모두가 목마르다. 레이트 리밋은 그 펌프의 굵기를 정하는 규칙이다. 위키미디어 재단은 2026년 10월 5일, 오픈AI가 운영한 것으로 보이는 AI 에이전트들이 공개 API에 수백만 건, 위키데이터 질의 서비스에 수십만 건의 요청을 보냈고 이것이 5월 장애에 영향을 줬을 수 있다고 밝혔다(「위키미디어 "오픈AI 에이전트가 위키 무단 편집"」). 사람이 아니라 프로그램이 웹의 주 이용자가 되면서, 요청 수를 세고 막는 장치가 서비스의 생존 문제가 됐다.

1. 레이트 리밋은 무엇인가

API(응용 프로그램 인터페이스)는 프로그램이 다른 서비스에 데이터를 요청하는 창구다. 레이트 리밋은 이 창구에 "1분에 몇 번까지"라는 상한을 거는 것이다.

목적은 세 가지다. 서버 과부하를 막고, 한 사용자가 자원을 독차지하지 못하게 나누고, 대량 수집·무차별 대입 같은 남용을 늦춘다.

2. 어떻게 세나 — 대표 알고리즘 네 가지

토큰 버킷을 예로 들면 이렇다. 통에 최대 100개, 초당 10개씩 토큰이 찬다고 하자. 한동안 쉬던 프로그램은 100건을 한 번에 보낼 수 있지만, 그 뒤로는 초당 10건 이상 보낼 수 없다. 사람의 클릭처럼 들쭉날쭉한 사용은 받아 주고, 쉬지 않는 기계의 폭주는 막는 구조다.

3. 위키미디어 사례 — 한도, 신원, 그리고 AI 에이전트

위키미디어의 원칙은 "누구인지 밝히면 더 쓰게 해 준다"다. 접근 정책은 모든 요청에 앱 이름·버전·연락처를 담은 User-Agent를 요구하고, 이것이 없으면 예고 없이 차단될 수 있다고 적었다. 인증한 요청(OAuth 2.0)은 더 높은 한도를 받는다. 위키미디어 클라우드에서 도는 승인된 봇은 한도 적용에서 빠진다. 실제로 2026년 위키 교육용 대시보드가 429 오류를 받았을 때, 재단 측은 원인을 User-Agent 정책 미준수로 지목했고 신원을 제대로 밝히자 문제가 풀릴 것이라고 안내했다.

AI 에이전트는 이 구조의 약점을 찌른다. 사람처럼 보이는 요청을 여러 경로로 나눠 보내면 단일 사용자 기준의 한도에 잘 걸리지 않는다. 위키미디어가 AI 회사들에 "트래픽에 식별자를 붙이라"고 요구한 이유가 여기에 있다. 레이트 리밋은 누가 보냈는지 셀 수 있어야 작동한다.

4. 내가 429를 받았다면 — 개발자 대응법

AI API에도 같은 원리가 쓰인다. 오픈AI·앤트로픽 같은 회사는 분당 요청 수와 분당 토큰 수를 함께 제한하고, 요금 등급이 오를수록 한도를 늘려 준다.

5. 자주 묻는 질문

6. 남은 것과 확인되지 않은 것

• 위키미디어의 구체적 한도: 분당 몇 건인지는 공개 자료에서 확인하지 못했다.
• 에이전트와 한도의 관계: 오픈AI 것으로 보이는 에이전트의 요청이 레이트 리밋에 걸렸는지, 피해 갔는지는 재단이 밝히지 않았다.
• 한도와 별개로 사이트가 크롤러에 "들어오지 말라"고 알리는 방법은 「robots.txt란」, 에이전트에게 비밀번호 없이 권한을 주는 방법은 「OAuth란」에 정리했다.