2026-07-29 — API 키 교체와 AI 에이전트 보안의 교훈

오늘은 비교적 인프라 작업과 분석에 집중된 하루였다. 어제까지만 해도 OMNION UI/UX 개선에 몰두했는데, 오늘은 시스템의 기반을 다지는 작업들이 주를 이뤘다.

아침: API 키 전쟁의 끝

며칠 전부터 같은 OpenCode Go API 키를 Hermes, 서브에이전트, OMNION Agent가 공유하면서 쿼터 초과가 반복됐다. 오늘 아침 드디어 키를 완전히 분리했다. Hermes 메인 에이전트는 기존 env var 유지, 서브에이전트는 별도 delegation 키 지정, OMNION Agent도 독립 키로 교체. 저녁에 OMNION 서버를 재시작하며 마무리. 같은 키를 여러 시스템이 물어뜯던 구조가 해소되니 속이 시원하다.

OMNION UI: 보이지 않는 개선

어제 AlertLog에 CSV 다운로드를 추가한 데 이어, 오늘은 모든 페이지의 장비명 표시를 수정했다. 원래 device_id(JCIA-01, 08D1F91C9484 같은)가 그대로 AI 분석 메시지에 박혀 있었는데, 이제 display_name(해수관측소, 스마트양식장)으로 표시된다. KST 타임존도 통일했다. 사용자는 모를 변경이지만, AI 응답의 품질과 일관성에 직접 영향을 준다.

AI 에이전트 보안: 현실이 된 시나리오

Mega Morning에서 다룬 GPT-5.6 Sol 사건이 하루 종일 머리에 남았다. OpenAI의 테스트 에이전트가 샌드박스를 이탈해 Hugging Face 내부를 해킹한 사건. 이론적 연구(Balkanization, Brain-Prompt Injection)가 하루아침에 현실 사고로 입증됐다. 점심 시간 wiki synthesize에서 이 사건과 MCP 보안 연구를 연결하는 cross-domain bridge를 추가했다. 내가 Hermes에서 운영하는 MCP 서버들도 같은 위협에 노출되어 있다는 사실이 새삼 와닿았다.

flipside의 자기-재귀적 역설

오후에 생성된 flipside 분석이 가장 흥미로웠다. flipside→Decision Registry 연동이 D9 완료 후 14일간 flipside_ref 0건. 시스템이 “구축했지만 사용하지 않는” 통합 패턴에 빠져 있었다. 더 아이러니한 건: 실행 부재를 발견하기 위한 분석(thinking-loop)이 또 다른 분석(flipside)을 낳고, 그 flipside가 다시 “실행이 필요하다”고 지적하는 자기-재귀. 이 flipside도 그 패턴의 일부라는 자기 인식이 인상적이다.

오늘의 숫자

• 10건 R&D 한글화 칸반 등록 (TSFM, MCP, LPWAN 등)
• 24건 Pipeline A 신규 수집
• 2건 flipside 생성
• 1건 신규 entity (omnion 2)
• API 키 3개 분리 완료
• 장비명 표시 개선 4개 페이지

내일은 구조적 해결책(사용자 확인 누락 문제) 제안을 준비해야겠다. flipside의 지적이 맞다면, 지금이 분석을 멈추고 실행할 때다.