assistant.starium.site 외부 API 키 라이브니스 감사

• 감사일: 2026-06-26
• 감사관: 인프라 감사관 (임시 CEO 산하)
• 대상 서버: hospital 45.63.121.251 — /opt/assistant
• 배경: 2026-06-24 고도화 스프린트 DC#11(INTERNAL_SERVICE_KEY 로테이션) 완료 후 남은 작업 = 외부 API 키 재발급. 본 감사는 각 키의 live/dead를 실호출로 정밀 판정하고 실제 재발급이 필요한 키만 추린다.
• 방법: 키 값은 hospital 서버 내부에서만 사용, 외부로 반출/저장하지 않음(앞 6자 + 길이만 마스킹). 각 provider에 실제 API 호출 후 HTTP 코드만 캡처. hospital .env는 읽기 전용(무수정).

⚠️ 마스킹 정책: 모든 키는 앞6자... (len=N) 형식으로만 기록. 전체 값은 본 문서 어디에도 없음.

---

1. 판정표 (실호출 기반)

Provider	키이름 (위치)	마스킹값	HTTP	판정	재발급필요
OpenAI	OPENAI_API_KEY (root/.env, ai-service, api-gateway, ecosystem — 동일)	sk-pro... (len=164)	200	live	N
Anthropic	ANTHROPIC_API_KEY (root/.env, ecosystem)	sk-ant... (len=108)	401 authentication_error	invalid	Y
Google Gemini	GEMINI_API_KEY (root/.env, ai-service)	AIzaSy... (len=39)	200	live	N
Groq (ai-service)	GROQ_API_KEY (apps/ai-service/.env)	gsk_q8... (len=56)	200	live	N
Groq (root)	GROQ_API_KEY (root/.env)	gsk_bv... (len=56)	401 invalid_api_key	invalid	Y (동기화로 해결, 아래 참조)
xAI (Grok)	XAI_API_KEY (root/.env)	xai-JY... (len=84)	403 permission-denied (크레딧/월 한도 소진)	quota-dead	N (키 유효, 결제 필요)
Mistral	MISTRAL_API_KEY (root/.env)	cK6HfR... (len=32)	200	live	N
Tavily	TAVILY_API_KEY (root/.env, api-gateway, ecosystem — 동일)	tvly-d... (len=41)	200	live	N
OpenWeatherMap	OPENWEATHERMAP_API_KEY (root/.env, ecosystem)	0fcdd1... (len=32)	200 cod:200	live	N
NewsAPI	NEWS_API_KEY / NEWSAPI_API_KEY (root/.env, ecosystem — 동일)	5cf276... (len=32)	200 status:ok	live	N
Slack Webhook	SLACK_WEBHOOK_URL (root/.env, api-gateway, ecosystem)	https:... (len=81)	—	검증불가 (실 POST=메시지 발송이라 미실행)	N (형식 정상)
Google OAuth	GOOGLE_CLIENT_ID/SECRET (root/.env, api-gateway, ecosystem)	id 535150... (len=72) / secret GOCSPX... (len=35)	—	검증불가 (OAuth)	N (형식 정상)
Naver OAuth	NAVER_CLIENT_ID/SECRET (root/.env, ecosystem)	id 4GpMqn... (len=20) / secret zuHPSw... (len=10)	—	검증불가 (OAuth)	N (형식 정상)
Kakao OAuth	KAKAO_CLIENT_ID (root/.env, ecosystem)	id 184324... (len=32) / secret=<EMPTY>	—	검증불가 (OAuth)	△ (secret 비어있음 — 카카오 로그인 사용 시 채워야 함)

마스킹값 상세 (앞6자+길이)

• 모든 OPENAI_API_KEY(4곳)는 sk-pro... len=164 동일 → live
• ai-service GROQ(gsk_q8 live) ≠ root GROQ(gsk_bv 401) — 두 키가 서로 다름
• XAI 403 응답 원문: team d57ba048-... "used all available credits or reached its monthly spending limit" → 키 자체는 유효, 크레딧 소진

---

2. 판정 요약

• 실호출 검증 대상 (call-tested): 10개 distinct 키
  • live: 7 — OpenAI, Gemini, Groq(ai-service), Mistral, Tavily, OpenWeatherMap, NewsAPI
  • invalid: 2 — Anthropic, Groq(root)
  • quota-dead: 1 — xAI (키 유효, 크레딧/결제 한도 소진)
• 검증불가 (OAuth/webhook, 형식만 확인): 4 — Slack Webhook, Google OAuth, Naver OAuth, Kakao OAuth
• 재발급/조치 필요: 3건 — Anthropic(재발급), Groq root(동기화), Kakao secret(채우기); xAI는 재발급 아닌 결제 조치

2026-06-24 스프린트 메모는 "OpenAI/Anthropic 사용가능키 전무"였으나, 본 감사 시점 root .env의 OpenAI는 200 live로 복구됨(이후 교체된 것으로 보임). Anthropic은 여전히 401.

---

3. 재발급 체크리스트 (사용자 콘솔 작업)

아래는 모두 사용자 콘솔 작업. 감사관은 hospital .env를 수정하지 않았음. 재발급 후 해당 경로에 반영 필요(전부 chmod 600 유지).

☐ 3-1. Anthropic — ANTHROPIC_API_KEY (invalid, 재발급 필수)

• 발급 콘솔: https://console.anthropic.com/settings/keys
• 현재 상태: 401 authentication_error (만료/폐기된 키)
• .env 반영 경로:
  • /opt/assistant/.env → ANTHROPIC_API_KEY=
  • /opt/assistant/ecosystem.config.js (하드코딩 — 런타임 우선순위 1순위, 반드시 같이 교체)
• 반영 후: pm2 restart (ai-service/api-gateway 해당 프로세스) + curl .../v1/models 200 재검증
• ※ 참고: 06-24 스프린트에서 ai-service AI 체인은 이미 Gemini→Groq→OpenAI로 재구성되어 Anthropic 미사용. Anthropic 키가 코드 경로에서 실제 호출되는지 먼저 확인 후, 미사용이면 재발급 대신 제거 고려.

☐ 3-2. Groq root .env — GROQ_API_KEY (invalid, 동기화로 해결)

• 재발급 불필요: ai-service의 gsk_q8... 키가 live(200).
• 조치: root /opt/assistant/.env의 죽은 gsk_bv...를 ai-service의 살아있는 키로 동기화(또는 root에서 Groq 호출 경로가 없으면 제거).
• 발급 콘솔(새 키 필요 시): https://console.groq.com/keys
• .env 반영 경로: /opt/assistant/.env → GROQ_API_KEY=
• 반영 후: curl https://api.groq.com/openai/v1/models 200 재검증

☐ 3-3. xAI — XAI_API_KEY (quota-dead, 재발급 아님 → 결제 조치)

• 재발급 불필요: 키 자체 유효(403 permission-denied = 크레딧 소진/월 지출 한도).
• 조치: https://console.x.ai → Billing에서 크레딧 충전 또는 월 한도 상향. team d57ba048-....
• 대안: 06-24 체인에서 xAI는 폴백 후순위. 비용 정책상 제외 결정이면 .env에서 제거 가능.

☐ 3-4. Kakao — KAKAO_CLIENT_SECRET (비어있음)

• 콘솔: https://developers.kakao.com → 내 애플리케이션 → 보안 → Client Secret
• 현재: KAKAO_CLIENT_ID는 존재(184324... len=32), KAKAO_CLIENT_SECRET=빈 값.
• 조치: 카카오 로그인을 실제 사용한다면 Client Secret 활성화 후 값 입력. 미사용이면 무시 가능.
• .env 반영 경로: /opt/assistant/.env + /opt/assistant/ecosystem.config.js

검증불가(OAuth/webhook) — 재발급 불필요(형식 정상, 필요 시 OAuth 플로우로 별도 점검)

• Slack SLACK_WEBHOOK_URL: 형식 정상. 실 POST는 채널에 메시지를 발송하므로 미실행. 점검은 https://api.slack.com/apps → Incoming Webhooks 에서.
• Google OAuth GOOGLE_CLIENT_ID/SECRET: https://console.cloud.google.com/apis/credentials
• Naver OAuth NAVER_CLIENT_ID/SECRET: https://developers.naver.com/apps
• ※ OAuth 자격증명은 단순 GET으로 liveness 판정 불가(실제 로그인 콜백 플로우 필요). 본 감사에서는 형식/존재만 확인.

---

4. 안전 준수 확인

• 키 전체 값 출력/저장 0건 (앞6자+길이만 기록).
• hospital .env/ecosystem.config.js 무수정 (읽기 전용 감사).
• 키 재발급/교체 미실행 (사용자 콘솔 작업으로 위임).
• 트레이딩/UFW/DB/재부팅/SSH 설정 무관·무접촉.
• 검증 불가 항목은 거짓 live 없이 "검증불가"로 정직 표기.