API 키 도용이란 — 훔친 AI 키로 해킹 도구를 돌리고 요금은 키 주인이 낸다
API key theft, or LLMjacking, is the use of someone else's AI provider key to run models on the victim's bill. Security firm Bitsight, reported by Help Net Security on October 16, 2026, found a criminal-forum tool called MONST3R-AI that hosts no model of its own: buyers paste in stolen OpenAI, Anthropic and Google keys and point it at targets. Across 16 forums from February to August 2026, AI-related talk rose 45% while ransomware mentions fell 49%.
API 키 도용(LLM재킹)은 남의 AI 서비스 API 키를 훔쳐 그 사람의 요금으로 모델을 돌리는 공격이다. 보안업체 비트사이트는 2026년 10월 16일 공개된 분석에서, 범죄 포럼에서 팔리는 해킹 도구 'MONST3R-AI'가 자체 모델 없이 구매자가 넣은 훔친 오픈AI·앤트로픽·구글 키로 작동한다고 밝혔다. 요금은 키 주인에게 청구되고, 제공사 쪽 안전장치도 그대로 우회된다
3줄 요약
- 정의 — 남의 API 키로 AI를 돌리는 것, 요금은 키 주인이 낸다
- 실태 — 포럼 16곳 분석, AI 관련 언급 45% 늘고 랜섬웨어 언급은 49% 줄었다
- 대응 — 키 유출을 클라우드 비밀번호 유출과 같은 급으로, 사용량 상한과 즉시 교체
핵심 질문
- API 키 유출 대처
- **유출이 의심되면 즉시 키를 폐기하고 새로 발급한다.** | 순서 | 할 일 | |---|---| | 1 | 콘솔에서 해당 키 폐기(revoke) | | 2 | 새 키 발급, 코드·서버에 교체 | | 3 | 사용량·청구 내역에서 이상 호출 확인 | | 4 | 저장소 기록(git 히스토리)에서 키 삭제 | | 5 | 제공사 고객지원에 부정 사용 신고 |
- LLM재킹 뜻
- **훔친 인증 정보로 남의 대형언어모델(LLM) 계정을 무단 사용하는 공격을 말한다.** | 구분 | 내용 | |---|---| | 훔치는 것 | API 키, 세션 토큰 | | 경로 | 공개 저장소 노출, 정보 탈취 악성코드 | | 피해 | 요금 청구, 계정 정지, 범죄에 연루 | | 공격자 이득 | 무료 사용, 추적 회피 |
- MONST3R-AI
- **범죄 포럼에서 '자율 침투 테스트 플랫폼'으로 팔리는 도구다.** | 항목 | 내용 | |---|---| | 자체 모델 | 없음 | | 작동 방식 | 구매자가 훔친 API 키 입력, 예산 상한 설정, 대상 목록 지정 | | 판매자 주장 | 호스트 199곳 스캔, 발견 1,072건(비트사이트 미검증) |
AI 서비스의 API 키는 신용카드와 같다. 훔친 사람이 쓰고, 청구서는 주인에게 간다. API 키 도용, 영어로 'LLM재킹(LLMjacking)'은 남의 AI 계정 키를 훔쳐 그 사람의 요금으로 모델을 돌리는 공격이다. 2026년 10월 16일 공개된 보안업체 비트사이트의 분석은 이 훔친 키가 이제 해킹 도구의 연료로 팔린다는 것을 보여 줬다.
API 키는 프로그램이 AI 서비스에 "나는 이 계정 주인이다"라고 증명하는 긴 문자열이다. 비밀번호와 달리 로그인 화면도 2단계 인증도 거치지 않는다. 키만 있으면 누구든 그 계정으로 AI를 쓸 수 있다.
1. 키는 어떻게 새나
| 경로 | 예 | 얼마나 흔한가 |
|---|---|---|
| 공개 저장소 | 깃허브에 설정 파일째 올림 | 가장 흔한 사고 |
| 정보 탈취 악성코드 | 루마·비다 같은 인포스틸러가 PC에서 키·세션 토큰 수집 | 9월 더해커뉴스 보도 |
| 앱·웹 코드 | 브라우저에서 보이는 자바스크립트에 키를 넣음 | 초보 개발자 실수 |
| 플러그인·에이전트 도구 | 출처 불명의 MCP 서버·플러그인 설치 | 비트사이트 경고 |
| 재판매 계정 | 공유 계정·중개 접근 | 소포스 관찰 |
비트사이트가 함께 짚은 사례가 있다. 'FakeGit'이라는 캠페인은 가짜 깃허브 저장소 약 7,600개로 악성코드를 퍼뜨렸는데, 그중 800개 이상이 AI 스킬이나 MCP 서버를 사칭했다. 개발자가 AI 도구를 깔다가 키를 털리는 경로다.
2. 훔친 키는 어디에 쓰이나 — MONST3R-AI
| 항목 | 내용 |
|---|---|
| 정체 | 범죄 포럼에서 '자율 침투 테스트 플랫폼'으로 판매 |
| 자체 모델 | 없음 |
| 사용법 | 구매자가 훔친 오픈AI·앤트로픽·구글 키를 넣고 예산 상한을 정한 뒤 공격 대상 목록 지정 |
| 요금 | 키 주인에게 청구 |
| 판매자 주장 | 호스트 199곳 스캔, 취약점 등 발견 1,072건(미검증) |
| 재판매 시세 | 한 재판매자가 모델 사용을 100만 토큰당 약 0.1달러에 광고 |
이 구조가 노리는 것은 두 가지다. 하나는 돈이다. 공격자는 비싼 AI 사용료를 한 푼도 내지 않는다. 다른 하나는 추적 회피다. AI 제공사 기록에는 공격자가 아니라 키 주인의 계정이 남는다. 피해자는 요금 폭탄을 맞고, 최악의 경우 자기 계정이 해킹에 쓰였다는 이유로 계정이 정지된다.
비트사이트가 2026년 2~8월 지하 포럼 16곳의 게시물 수천 건을 분석한 결과도 방향이 같다.
| 지표 | 변화 |
|---|---|
| AI 관련 논의 전체 | +45% |
| AI 에이전트·간접 프롬프트 인젝션·MCP 언급 | +67% |
| 탈옥(jailbreak) 논의 | 약 4분의 3 증가 |
| 바이브 코딩 언급 | 2배 이상 |
| 랜섬웨어 언급 | −49% |
| 피싱 언급 | −8.5% |
| 웜GPT 같은 범죄 전용 챗봇 언급 | −8.7% |
범죄 전용 챗봇 대신 정품 AI를 훔친 키로 쓰는 쪽으로 옮겨 가고 있다는 뜻이다. 앞서 중국 AI 에이전트 함대가 막히자 유출된 API 키를 쓴 사례(「중국 AI 에이전트 함대」)도 같은 흐름이다.
3. 키를 지키는 법
| 대책 | 방법 |
|---|---|
| 코드에 넣지 않기 | 환경 변수·비밀 관리 도구 사용, 저장소에 .env 올리지 않기 |
| 사용량 상한 | 제공사 콘솔에서 월 예산·알림 설정 |
| 키 쪼개기 | 프로젝트·용도별로 키를 따로 발급해 피해 범위 축소 |
| 정기 교체 | 일정 주기로 새 키 발급 |
| 노출 스캔 | 저장소 비밀 스캔 기능 켜기 |
| 도구 출처 확인 | MCP 서버·플러그인은 공식 저장소에서만 |
| 사람 승인 | 로컬 코딩 에이전트가 민감한 폴더·셸 명령을 쓸 때 사람 승인 필수 |
비트사이트의 권고 한 줄은 이렇다. AI 키 유출을 클라우드(AWS) 자격 증명 유출과 같은 급으로 다루라. 키가 새면 요금만 문제가 아니라 그 키로 남의 서버를 공격하는 일이 벌어질 수 있다.
4. FAQ와 확인되지 않은 것
| 질문 | 답 |
|---|---|
| 도용으로 나온 요금도 내야 하나 | 제공사 정책에 따라 다르다. 즉시 신고하는 것이 먼저다 |
| 키를 지우면 끝인가 | 폐기 후 새 키로 교체해야 한다. 깃 히스토리에도 남아 있을 수 있다 |
| 개인 사용자도 위험한가 | 키를 직접 발급해 쓰는 개인 개발자는 위험하다. 앱으로만 쓰는 일반 사용자는 해당이 적다 |
- 규모: 도용된 키 전체 숫자와 피해 금액 합계는 공개된 자료가 없다.
- 판매자 주장: MONST3R-AI의 성능 주장은 비트사이트도 검증하지 못했다.
- 관련 개념: 키 대신 사용자가 권한을 위임하는 방식은 「OAuth란」에서, 남의 AI에 질문을 퍼부어 베끼는 공격은 「증류 공격이란」에서 다뤘다.