가장 위험한 건 클라이언트 번들에 박힌 API 키예요

Claude, Cursor, v0로 만든 사이트에서 똑같은 문제가 반복해서 발견된다는 베를린 개발사의 분석이 화제예요.

가장 위험한 건 클라이언트 번들에 박힌 API 키예요. sk-, AKIA, pk_live_ 같은 문자열이 minified JS 안에 그대로 들어 있어서, DevTools만 열면 누구나 계정을 탈취할 수 있거든요. 이 외에도 dev 서버를 그대로 배포하거나, AI 답변 텍스트가 meta 태그에 남아 있거나, Lorem ipsum이 실서비스에 노출되는 일도 흔하게 발견됐어요.

'동작하는 코드'와 '프로덕션 준비된 코드'는 다르다는 걸 AI 툴 사용자라면 꼭 기억해야 해요.