유명 ERP 코드에서 구글 API 키가 또 나왔다

새벽 1시 51분, 한 참여자가 오모로 어느 유명 ERP의 코드를 들여다보다 구글 API 키를 또 찾았다고 알리며 방이 얼어붙었다.

"구글 api key 또 찾앗어요"

"또"라는 표현이 눈에 띈다. 이번이 처음 발견한 취약점이 아니라는 뜻이기 때문이다. 곧바로 비용 책임을 묻는 농담 섞인 반응이 나왔다.

"그거 쓰면 유명 ERP제작자님이 대신 돈 내주시나요?"

노출된 API 키를 실제로 가져다 쓰면 그 요금이 원래 서비스 운영자에게 청구된다는 점을 짚은 농담이다. 몇 분 뒤에는 더 구체적인 취약점이 이어졌다. 파이어베이스 설정 전체가 그대로 노출돼 있었고, 관리자 권한을 확인하는 로직마저 허술했다.

"FULL FIREBASE CONFIG inline"

관리자 권한을 가르는 판정 로직도 함께 지적됐다. 구체적인 조건식은 악용될 수 있어 그대로 옮기지 않는다. 다만 코드 안에 이메일 주소를 직접 박아 넣고 그걸로 관리자 여부를 가르는 방식은, 계정이 바뀌거나 이메일이 유출되면 그대로 뚫릴 수 있는 구조라는 뜻이기도 하다. 발견 직후에는 곧바로 후속 조치를 지시하는 프롬프트가 공유됐다. 다각도로 QA를 돌리고 보안 위반사항을 고친 뒤 전체 코드 품질까지 점검하라는 내용이었다.

"다각도 qa 굴리고 보안위반사항 수정해줘. 완료되면 전체 코드 품질 검사 진행해. 프로그래밍 스킬로 코드 정리하고, ai-slop 제거해줘. ulw"

발견에서 수정 지시까지 이어지는 흐름이 몇 분 안에 한꺼번에 이루어졌다는 점도 눈에 띈다. 문제를 찾은 사람이 곧바로 고칠 방법까지 프롬프트로 던져놓은 셈이다.

몇 시간 전 자정 무렵 은어로 퍼지던 미공개 베타가, 새벽에는 실제 서비스의 보안 구멍을 찾아내는 도구로 쓰인 셈이다. 코드를 통째로 읽어내는 에이전트 한 대가 있으면 API 키 노출이나 허술한 권한 로직처럼 사람이 놓치기 쉬운 흔적을 프롬프트 한 줄로도 찾아낼 수 있다는 사실을, 이 방은 실시간으로 확인했다. 흥미로 시작된 베타 설치가 몇 시간 만에 실제 보안 점검 도구로 쓰이는 모습을 지켜본 셈이다.

구글 api key를 "또" 찾았다는 첫 마디부터, 파이어베이스 설정과 관리자 판정 로직까지 잇달아 짚어낸 순서를 보면 코드 전체를 훑어 여러 층위의 문제가 한꺼번에 드러난 것으로 보인다. 다만 어떤 방식으로 처음 찾아냈는지는 채팅에 남지 않아 확인되지 않는다. 사람이 코드 리뷰를 하듯 파일을 하나씩 열어보지 않고도, 키 노출 여부와 권한 검증 로직의 허점을 한 번에 짚어낼 수 있었다는 점은 이런 점검 방식이 특정 취약점 하나가 아니라 코드베이스 전반의 위험을 훑는 데 쓰일 수 있다는 뜻이기도 하다.

"유명 ERP"라는 표현에서 드러나듯, 이번에 뜯어본 대상은 소규모 개인 프로젝트가 아니라 이미 여러 곳에서 쓰이고 있을 법한 서비스였다. 그런 서비스에서조차 이메일 주소를 코드에 직접 박아 넣어 관리자를 가르는 방식이 남아 있었다는 사실은, 에이전트가 코드를 읽는 속도가 빨라질수록 이런 허점이 발견되는 속도도 함께 빨라질 수 있다는 점을 시사한다.