사내에서 LLM을 사용하는 상황이 늘어나면, 반드시 한 번은 보게 되는 것이 AI API를 공식 가격보다 훨씬 저렴하게 판매한다는 중계 서비스 광고다. 공식 Anthropic이나 OpenAI의 요금과 비교하면 믿기지 않는 할인율이며, 심지어 OpenAI 호환 엔드포인트(Endpoint)를 그대로 제공한다. 비용 절감을 요구받는 현장일수록 이 유혹은 강렬하다.

2026년 7월 말 HackerNews에서 화제가 된 조사 기사가 이 초저가 API 시장의 뒷면을 상세히 밝혀냈다. 어떤 중계업자는 3,333달러 상당의 Anthropic 크레딧을 425위안, 일본 엔화로 약 9천 엔 미만에 판매하고 있었다. 공식 가격 대비 할인율은 약 97.8%에 달한다. 이 정도라면 비즈니스 모델로서 성립할 수 없으며, 이를 성립시키고 있는 것은 부정한 자금원과 교묘한 계정 운영이다.

이 기사는 두 가지 의미에서 일본 엔지니어와 관련이 있다. 하나는 구매하는 쪽의 관점에서, 이러한 중계 서비스에 사내 프롬프트나 고객 데이터를 흘려보내는 것이 무엇을 의미하는가 하는 점이다. 다른 하나는 만드는 쪽의 관점에서, 자사가 LLM 기능을 외부로 제공했을 때 이 시장이 키워낸 공격 수법, 특히 Denial of Wallet에 어떻게 대비할 것인가 하는 점이다. 단순한 해외 부정 사례로 치부하지 않고, 자사의 조달 판단과 설계 판단에 반영하고 싶다.

조사 기사가 묘사하는 것은 단독 사기꾼이 아니라 분업화된 하나의 산업이다. 시장은 네 개의 계층으로 구성되어 있다.

최상류에 있는 것은 카드와 계정 공급업자로, 미·유럽의 결제 심사를 통과하도록 만들어진 가상 카드(Virtual Card)와 대량 등록된 계정을 도매한다. 그 아래 계층은 계정 풀(Pool)로, 수백 개의 계정을 묶어 인증 토큰과 레이트 리밋(Rate Limit)을 관리하며, 플래그(Flag)가 지정된 계정을 자동으로 분리하여 페일오버(Failover)하고, 외부에는 단일 API처럼 보이게 한다. 그 아래에는 중계업자가 있어, 풀의 API를 중국어 소비자용 제품으로 포장하여 WeChat 결제와 서포트를 붙여 가격 경쟁을 한다. 최하류는 실제 이용자로, 저렴한 추론을 원하는 개발자나 스타트업을 비롯해 모델 증류(Model Distillation)를 위해 대량 접속하는 구매자도 있다.

규모 또한 무시할 수 없다. 트래픽 상위 10개의 중계업자만으로도 월간 합계 접속 수가 360만 회에 달하며, 증류를 통해 국산 모델을 학습시키는 업체는 하루에 수십만 위안을 번다고 하며, 업계 전체로는 수십억 위안 규모의 연쇄라고 표현된다. 원전은 중국의 기술 포럼 V2EX에 게시된 분석으로, 거기서 영어권으로 전해져 논의가 확산되었다.

부정 자금원은 여러 가지가 있다. 무료 트라이얼(Free Trial)의 자동 대량 취득을 통한 크레딧 착취, 이용 후 결제를 취소하는 차지백(Chargeback), 한도를 제한한 선불 카드를 통한 입금, 그리고 기업이 무방비하게 공개하고 있는 서포트용 챗봇을 발판으로 삼는 수법이다. 그중에서도 설계자가 경계해야 할 것은 예산을 모두 소진시키는 것만을 목적으로 동시 대량 요청을 퍼붓는 Denial of Wallet, 이른바 '지갑에 대한 공격'이다.

거의 모든 중계업자가 one-api 또는 new-api라는 오픈 소스 API 게이트웨이(Gateway) 위에서 작동하고 있다. 둘 다 본래는 정당한 용도를 가진, OpenAI 호환 멀티 프로바이더(Multi-provider) 게이트웨이다.

one-api 공식 리포지토리(GitHub)를 보면 그 기능이 그대로 전매 인프라로 전용될 수 있음을 알 수 있다. OpenAI, Azure, Claude, Gemini, DeepSeek 등 20개 이상의 프로바이더를 단일한 OpenAI 호환 엔드포인트로 통합하고, 채널(Channel)이라는 단위로 여러 상류 API 키의 풀을 등록한다. 요청은 여러 채널로 자동 분산되며, 실패하면 다른 채널로 재시도(Retry)된다. 이용자마다 액세스 토큰을 발행하고 유효 기간과 이용 상한, IP 제한 및 모델 제한을 설정할 수 있으며, 그룹별로 과금 배율을 변경할 수도 있다. 파생 프로젝트인 new-api(GitHub)도 같은 계통이다.

정규 멀티 프로바이더 운영과 전매 풀의 운영은 기술적으로 거의 같은 형태를 띠고 있다. 차이점은 상류의 키가 정당하게 계약된 것인지, 아니면 도난당한 카드나 일회용 계정으로 양산된 것인지 그 한 점에 있다. 즉, 게이트웨이 자체는 중립적인 도구이며, 나쁜 것은 공급되는 키의 출처다. 이 부분을 혼동하면 one-api를 사용하는 것 자체가 위험하다는 잘못된 이해로 이어질 수 있다.

이용자 측에서 바라본 중계의 낮은 투명성 또한 중요하다. 중계는 사실상의 로드 밸런서 (Load Balancer)로서 동작하기 때문에, 요청이 어느 상류 (Upstream)로 흘러갔는지 알 수 없다. 논의 과정에서는 열등한 모델을 몰래 바꿔치기하는 교체에 대한 우려나, 에이전트 (Agent)의 실행 로그가 저장되어 학습 데이터로 재판매되는 것이 아니냐는 우려가 지적되었다. 프롬프트 (Prompt)에 포함된 사내 정보나 고객 데이터가 누구의 손을 거쳐 어디에 저장되는지, 구매하는 입장에서는 원리적으로 확인할 방법이 없다.

이 시장이 정당한 제공자 측에 가져다주는 최대의 위협이 바로 Denial of Wallet, 즉 DoW다. OWASP는 2026년판 LLM 애플리케이션 취약점 Top 10에서 이를 'LLM10:2025 Unbounded Consumption (OWASP GenAI)'으로 정리하고 있다. 종량제 방식의 클라우드 AI에서는 공격자가 대량의 추론 (Inference)을 발생시키는 것만으로도, 가용성 (Availability)이 아닌 청구 금액을 파괴할 수 있다. 서비스를 다운시키는 것이 아니라, 지갑을 털어가는 공격이다.

자사가 LLM 기능을 외부로 공개할 경우, 상정해야 할 요청은 선의의 이용자뿐만이 아니다. 무료 할당량을 노리는 봇 (Bot), 무방비한 엔드포인트 (Endpoint)를 전매 풀의 상류로 사용하는 중계업자, 그리고 순수하게 예산 고갈을 노리는 공격자가 뒤섞여 있다. 여기서 핵심이 되는 것이 상한 설계 (Quota Design)이다.

# 위험한 구성 (많은 PoC가 이와 같이 되어 있음)
[이용자] --> [자사 API 게이트웨이] --> [LLM 프로바이더]
인증 없음 / 상한 없음 / 동시 실행 제어 없음 / 예산 알림 없음
...

조사 기사의 저자는 탐지 수단으로서 카나리아 값 (Canary Value)의 삽입을 가장 현실적이라고 평가하는 한편, 디바이스 핑거프린트 (Device Fingerprint)는 쉽게 회피될 수 있다며 회의적인 태도를 보였다. 공격자와 방어자 사이의 쫓고 쫓기는 싸움에 AI가 박차를 가하고 있으며, 깔끔한 해결책은 존재하지 않는다는 것이 결론에 가깝다. 그렇기에 탐지에만 전적으로 의존할 것이 아니라, 상한 설정을 통해 피해 금액 자체를 유한하게 가두는 설계가 관건이다.

일본의 현장에서는 구매하는 측과 만드는 측, 두 방향 모두에서 대비해야 한다.

먼저 구매하는 측이다. 초저가 중계 API는 비용 절감이 아니라 리스크의 외부화인 경우가 많다. 프롬프트에 대외비나 개인정보를 실어 정체불명의 중계지로 흘려보내면, 수탁자 관리나 국외 이전 통제가 불가능해지며, 개인정보 보호법상의 제3자 제공이나 위탁 관점에서 설명 책임을 다할 수 없다. 게다가 상류가 도난 카드나 부정 계정으로 유지되고 있는 이상, 어느 날 갑자기 모든 키 (Key)가 만료되어 서비스가 중단될 리스크를 항상 안게 된다. 사업의 기반을 타인의 부정행위가 지속될 것이라는 기대에 거는 셈이다. 조달 원칙은 단순하다. LLM API는 공식 업체나 정식 재판매 계약을 명시하는 벤더 (Vendor)로부터만 구매하며, 가격이 공식 가격과 크게 괴리되는 중계 서비스는 채택하지 않는다.

다음은 만드는 측이다. 자사 서비스에 LLM 기능을 통합한다면, DoW를 전제로 상한을 다층적으로 설계해야 한다. 최소한 테넌트 (Tenant) 단위와 API 키 단위의 쿼터 (Quota), 동시 실행 수 제한, 입력 토큰 (Token) 길이 상한, 그리고 프로바이더 측의 예산 상한과 알림을 병행해야 한다. 많은 프로바이더는 조직이나 키의 이용 상한을 설정할 수 있으며, 예를 들어 Claude API의 레이트 리밋 (Rate Limit, platform.claude.com)처럼 상한과 헤더 (Header)를 통한 잔량 가시화 기능을 제공한다. 이를 애플리케이션 측의 쿼터와 이중으로 적용해야 한다.

의사 코드 (Pseudo-code)로 표현하면, 방어의 골격은 다음과 같다.

def guarded_llm_call(tenant, req):
# 1. 인증 및 테넌트 식별 (익명의 종량제 액세스를 만들지 않음)
assert tenant.authenticated
...

포인트는 익명으로 무제한 호출할 수 있는 엔드포인트를 절대 만들지 않는 것, 그리고 예산 관리는 소프트한 경고가 아닌 하드한 차단 (Hard Block)으로 구현하는 것이다. 알림만으로는 공격자가 야간에 예산을 태워버리는 속도를 인간이 따라잡을 수 없다.

보안 운영 관점에서는 사내에서 정체불명의 AI 중계 도메인으로 통신이 나가고 있지 않은지 이그레스 (Egress) 모니터링을 통해 파악해 두어야 한다. 직원이 선의로 초저가 API를 사용하기 시작하면, 그곳이 기밀 유출 경로가 된다. 일본 국내의 위협 동향으로는 IPA 정보 보안 10대 위협 2026에서 공급망 및 클라우드 부정 이용을 지속적으로 언급하고 있으며, 인시던트 (Incident) 발생 시에는 JPCERT/CC가 상담 창구가 된다.

초저가 AI API의 정체는 도난 카드와 일회용 계정을 묶은 전매 릴레이이며, 이 시장은 동시에 정식 제공자를 겨냥하는 Denial of Wallet이라는 공격을 키우고 있다. 엔지니어가 취해야 할 액션은 다음 세 가지로 요약할 수 있다.

첫째, 구매자로서 공식 가격에서 크게 벗어나는 중계 API를 조달 선택지에서 제외하고, 프롬프트에 포함되는 데이터의 국외 유출 및 제3자 제공을 관리 하에 두어야 한다. 둘째, 제작자로서 자사의 LLM 엔드포인트(Endpoint)를 인증(Authentication), 속도 제한(Rate Limiting), 동시 실행 제어(Concurrency Control), 입력 길이 제한(Input Length Limit), 그리고 강력한 예산 차단(Hard Budget Cutoff)을 통해 다층적으로 보호하여, 익명의 종량제 접근(Pay-as-you-go access)이 발생하지 않도록 해야 한다. 셋째, 운영 측면에서는 출처가 불분명한 AI 중계 서비스로의 통신을 송신(Egress) 모니터링으로 포착하고, 카나리(Canary) 테스트와 이상 소비 탐지 기능을 구축해야 한다. one-api와 같은 게이트웨이(Gateway) 자체는 중립적인 도구이며, 핵심은 상류(Upstream) 키의 출처와 상한 설계(Limit Design)의 유무이다.