AI APIキーとは？

どういうものか

ソフトウェアがAPI経由でAIサービスを呼び出すとき、サービス側はどのアカウントに請求するかを知る必要があります。それを伝える手段がキーです。プログラム用のパスワードのようなものです。人の顔や電話に紐づいていないため、2段階目のサインインでは守られません。キーの文字列を知っている人は誰でも、取り消されるまで、どこからでも使えます。

キーは、ありふれた方法で漏れます。チャットやサポートチケットに貼り付けたり、共有ドキュメントに保存したり、Gitのコードにコミットしたりすると、削除しても履歴に残ります。自動スキャナーが、公開されたキーを探しているため、漏れたキーはすぐに悪用されるおそれがあります。

企業にとって重要な理由

• 課金：サービスはリクエストごとにアカウントへ請求するため、盗まれたキーは、取り消されるまで料金を積み上げます。
• データの漏えい：サービスによっては、キーからアカウントに保存されているファイルやその他のデータにも届いてしまいます。
• 人の入れ替わり：退職した従業員が知っているキーは、誰かが差し替えるまで有効なままです。
• キーの共有は問題を隠す：すべてのツールが1つのキーを使っていると、どのツールが利用量の急増や漏えいの原因なのか判別できません。

当社の業務での関わり

当社は、APIキーをパスワードマネージャーに保管し、チャットやコードには決して置きません。アプリケーションごとに専用のキーを発行するため、問題が起きても原因をたどり、そのキーだけを取り消せます。プロバイダーが対応している場合は利用額の上限を設定し、スタッフが退職したときはキーをローテーションします。AIと自動化の業務でこの方法でキーを扱い、マネージドITでも同じアクセスのルールを適用しています。これらのキーを使ってツールが動作するエージェント型AIもあわせてご覧ください。

詳しく見る

• WikipediaのAPIキーAPIキーとは何か、セキュリティ対策としてどこに限界があるかについての中立的な解説。
• OpenAI APIのドキュメントキーを作成する担当者向けの、ある提供元の手順。
• Claudeのドキュメントキーの管理方法を比較するための、別の提供元の開発者向けリファレンス。