AI 가 내 API 키를 대화창에 그대로 찍었다

그대로 붙여 넣기 · Claude Code (hook 이 있는 다른 도구도 같은 방식)

이 프로젝트에 «키 유출 막기» hook 을 만들어 적용하라. 내가 입력한 글, 도구를 부르기 전, 도구 결과, 도구가 실패했을 때의 결과, 응답이 끝날 때, 이 다섯 자리에서 비밀번호·API 키처럼 보이는 값이 나오면 즉시 멈추고, 알림에는 값 대신 «어디서 나왔는지» 만 적어라. 인터넷에서 가져온 글이나 코드를 설치하거나 실행하는 명령, 전역 설정과 hook 파일을 바꾸거나 밖으로 올리는 명령은 실행 전에 내 확인을 받게 하라. hook 이 고장 나면 조용히 통과하지 말고 멈추게 하라.

이 문장을 주면 이렇게 달라진다

• 키처럼 보이는 값이 나오면 hook 이 자동으로 멈추고 값은 숨긴 채 어디서 나왔는지만 알려 준다.
• 바깥에서 가져온 코드는 점검 전에는 설치·실행되지 않는다.
• 우리 결과. 7일간 도구 결과에서 키 값이 나와 6번 멈췄고, 시험 입력 1번을 뺀 5번이 진짜 키였다. 어떤 키를 새로 발급할지 가릴 수 있었다.
• 안 된 것. 이미 기록 파일에 쓰인 키는 hook 으로 못 지운다. 위험 변경 확인이 오류로 5번 막지 못하고 넘어간 원인은 아직 모른다.

이런 증상이 보이면 이 글이 맞다

• AI 가 키 값을 출력해 대화 기록이나 문서에 남는다
• 남이 쓴 글과 코드를 점검 없이 설치하거나 실행하려 한다
• 적용한 보안 장치가 고장 나도 알 방법이 없다