API キーが漏れるってなに？

AI の道具を使っていると、「API キーを入力してください」と言われることがあります。長い英数字の文字列で、何となくコピーして貼っている人も多いのではないでしょうか？

この文字列は、ただの番号ではありません。持っている人が、あなたとしてサービスを使える「合い鍵」です。漏れると何が起きるのか、どうすればいいのかを順に見ていきます。

API キーは「合い鍵」

API キー は、プログラムや道具が、あなたの代わりにサービスを使うための鍵です。サービスは、送られてきた鍵を見て「この人の頼みだ」と判断します。

ID やパスワードと違って、多くのサービスでは、鍵の文字列さえあれば使えてしまいます。だから、鍵を持っている人はだれでも、あなたとして頼めてしまいます。

漏れると、何が起きる？

鍵がほかの人の手に渡ると、たとえば次のことが起きます。

• 料金がかかる：AI のサービスは、使った分だけ料金がかかるものが多くあります。他人に使われた分も、あなたの請求になります。
• 中身を読まれる：鍵が読めるもの（ファイル・メール・顧客の情報など）を、他人も読めます。
• 書き換えられる・消される：書き込みもできる鍵なら、データを変えたり消したりされることがあります。

どこまでの被害になるかは、その鍵で何ができるかで決まります。何でもできる鍵ほど、漏れたときの被害が大きくなります。

どこから漏れやすい？

わざと盗まれるより、うっかり置いてしまうことの方がよくあります。

• チャットに貼る：AI やチームのチャットに「この鍵で動かない」と貼ると、会話の記録に残ります。
• 公開の場所に置く：GitHub の公開リポジトリや、だれでも見られる共有のドキュメントに書いてしまう。
• 画面に映る：画面の共有やスクリーンショットに、鍵が映り込む。
• 知らない道具に渡す：会社で決めていない道具に鍵を入れると、どこに保存されるか分かりません（シャドー AI）。

公開の場所に置かれた鍵は、見つけて悪用する仕組みが動いていると考えておきます。置いたのが数分でも、安心はできません。

漏れたら、何をする？

「漏れたかも」と思ったら、次の順で動きます。

1. 鍵を止める：サービスの管理画面で、その鍵を無効にします。新しい鍵を作り、使っている道具に入れ直します。
2. 使われた跡を見る：利用の履歴や請求の画面で、覚えのない使い方がないかを見ます。あれば、サービスの窓口に連絡します。
3. 漏れた場所から消す：チャット・ドキュメント・リポジトリから鍵を消します。リポジトリは、消しても前の版に残るので、鍵を止めることが先です。

順番が大事です。消すより先に、止めます。

漏れにくくするには？

• チャットに鍵を貼らない：うまく動かないときは、鍵の部分を伏せてから相談します。
• できることを絞る：読むだけでよいなら、読むだけの鍵にします（最小権限）。
• 用途ごとに鍵を分ける：1本漏れても、止めるのはその1本で済みます。
• 期限を付ける：期限を付けられる鍵には期限を付け、使わなくなった鍵は止めます。
• 料金の通知を設定する：使いすぎたときに知らせが来るようにしておくと、早く気づけます。

CLUBS は、いつもの AI の設定に URL を登録して、「接続を許可」を押すだけでつながります。API キーを会話に貼ったり、自分で保管したりする必要はありません。つないだあとも、どの AI がいつ何を読んだかが記録に残ります。