【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스]AI 시대 새로운 공격 표적 'API Key'…기업 키 관리체계 중요성 커진다

온카뱅크관리자

2026-09-15 09:37:25

<div id="layerTranslateNotice" style="display:none;"></div> 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="qEKuxtWIOi">
 <figure class="figure_frm origin_fig" contents-hash="5505fba6b6cde6a7511204d27acbd5619580c9751d81a2a0a5eb0f90d5df4784" dmcf-pid="BHLRD8B3sJ" dmcf-ptype="figure">
 <img alt="이미지 제공: 케이스마텍" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/15/etimesi/20260915093339855puzf.png" data-org-width="700" dmcf-mid="zKCwHjJ6En" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/15/etimesi/20260915093339855puzf.png" width="658">
 <figcaption class="txt_caption default_figure">
 이미지 제공: 케이스마텍
 </figcaption>
 </figure>
 인공지능(AI) 서비스와 클라우드 기반 개발환경이 빠르게 확산하면서 응용프로그램 인터페이스 키(API Key)와 액세스 토큰Access Token 등 시스템이 사용하는 인증정보가 새로운 공격 표적으로 떠오르고 있다. 특히 개발 편의를 위해 중요 인증정보를 환경변수나 설정파일 등에 저장하는 방식이 공격에 노출될 경우 여러 서비스의 자격증명이 한꺼번에 유출될 수 있어 관리체계 개선이 요구된다.
 최근에는 AI 기반 오픈소스 프로젝트에 악성코드를 삽입해 개발자의 인증정보를 탈취하는 공급망 공격 사례도 확인되고 있다. 정상적인 프로젝트로 위장한 악성코드가 사용자 환경에서 실행되면서 개발환경에 저장된 중요정보를 수집해 외부로 전송하는 방식이다.
 공격 대상에는 .env 파일과 환경변수에 저장된 AI 서비스 API Token뿐 아니라 모델 콘텍스트 프로토클(MCP)) 설정정보 등도 포함됐다. API Token이 탈취될 경우 서비스 무단 이용이나 인프라 오남용으로 이어질 수 있다. MCP 설정정보가 노출되면 AI와 연결된 시스템이나 데이터에 대한 추가적인 보안 위협으로 확대될 가능성도 있다.
 이처럼 클라우드와 AI 서비스가 확대되면서 API Key를 비롯해 기업이 보호해야 할 인증정보의 범위도 빠르게 넓어지고 있다. 사용자 ID와 패스워드뿐 아니라 API Key, Access Token, 인증서, 암호키 등 애플리케이션과 시스템이 사용하는 다양한 보안정보가 서비스 간 인증과 데이터 접근에 활용되고 있기 때문이다.
 문제는 이러한 중요정보가 소스코드나 설정파일, 서버 및 개발환경 등에 분산돼 있을 경우다. 하나의 시스템이 침해됐을 때 해당 환경에 저장된 여러 인증정보가 함께 노출될 가능성이 커진다. 이에 따라 중요한 키와 인증정보를 단순히 저장하는 것을 넘어 어디에 보관하고, 누가 접근하며, 어떻게 사용하도록 통제할 것인지에 대한 관리체계가 중요해지고 있다.
 특히 클라우드 네이티브 환경에서는 컨테이너와 애플리케이션 운영에 사용되는 쿠버네티스(Kubernetes) 리소스(Secret·ConfigMap)에 저장·관리되는 정보에 대한 보호도 중요한 보안 과제로 꼽힌다. 보안 리소스에는 API Key, Access Token, 비밀번호, 인증서 등 민감정보가 포함될 수 있으며, ConfigMap 역시 애플리케이션 운영에 필요한 각종 설정정보를 관리하는 데 활용된다.
 보안 전문기업 케이스마텍은 이러한 클라우드 네이티브 환경의 보안 요구에 대응해 'KEY4C Kubernetes(K8s) Resource Security Service'를 아마존웹서비스(AWS) 마켓플레이스를 통해 제공하고 있다. 해당 서비스는 Kubernetes 리소스(Secret·ConfigMap)의 중요정보를 보호하고, 이를 위한 암호키 관리에 HSM(Hardware Security Module) 기반 보안체계를 적용한다.
 특히 중요정보 암호화에 사용되는 데이터 암호화 키(DEK)를 키 암호화 키(KEK)로 보호하고, KEK는 HSM 내부에서 생성·보관해 외부 노출 위험을 줄이는 구조를 적용했다. 이와 함께 HSM 기반 인증서를 활용한 상호인증과 보안통신을 통해 Key4C와 에이전트 간 통신구간을 보호하고, 중요 암호키가 불필요하게 노출되는 위험을 최소화하는 데 초점을 맞췄다.
 이를 통해 Kubernetes 환경에서 중요정보 자체뿐 아니라 이를 보호하기 위한 암호키와 접근 과정까지 함께 고려한 보안체계를 구축할 수 있도록 지원한다. 케이스마텍은 해당 서비스를 AWS Marketplace에 등록해 클라우드 환경에서도 이용할 수 있도록 제공하고 있다.
 다만 이러한 기술이 공급망 공격이나 API Key 탈취 자체를 차단하는 것은 아니다. 중요한 것은 시스템 침해 가능성까지 고려해 API Key와 같은 중요 인증정보가 무분별하게 노출되지 않도록 보호하고, 이를 저장·사용하는 클라우드 환경과 암호키까지 함께 관리하는 다층적인 보안체계를 갖추는 것이다.
 AI Agent와 MCP 등 AI와 외부 시스템을 연결하는 기술이 확대되면서 API Key, Access Token 등 시스템과 애플리케이션이 사용하는 인증정보(Machine Credential)도 빠르게 증가하고 있다. 이에 따라 이러한 인증정보를 사용하는 비인간 신원(NHI·Non-Human Identity)을 어떻게 보호하고 통제할 것인지가 새로운 보안 과제로 부상하고 있다.
 AI·클라우드 환경이 복잡해질수록 보안 역시 사용자 계정 중심에서 시스템과 애플리케이션이 사용하는 인증정보까지 관리 범위를 확대할 필요가 있다.
 케이스마텍은 HSM 기반 암호키 관리와 Kubernetes 리소스 보호 기술을 바탕으로 클라우드 환경의 중요정보 보호 기술을 지속 고도화할 계획이다.
 이경민 기자 kmlee@etnews.com
 </section> 
 </div> 
 Copyright © 전자신문. 무단전재 및 재배포 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기