API 프록시

API 프록시는 이용자와 실제 서비스 사이에 끼어들어 요청을 대신 전달하고 응답을 돌려주는 중간 서버다. 편지를 직접 부치는 대신 우체국을 거치는 것과 비슷한데, 이 우체국이 발신지 주소를 다른 나라 것으로 바꿔 써서 보내는 셈이다. 그래서 원래는 접근이 막힌 지역에서 보낸 요청도, 프록시를 거치면 허용된 지역에서 온 것처럼 보이게 된다.

문제는 이 중간 다리가 요청뿐 아니라 응답도 손댈 수 있다는 점이다. 이용자가 값비싼 고성능 모델을 불렀는데, 프록시가 몰래 더 싸거나 전혀 다른 모델로 바꿔 처리한 뒤 그 결과만 돌려줘도 이용자는 알아채기 어렵다. 지역 제한이나 신원 확인을 피하려고 프록시를 쓰는 경우, 겉으로는 정상 이용처럼 보여도 실제로는 무엇이 응답을 만들었는지 아무도 확인할 수 없는 구조가 된다.

API 프록시 자체는 나쁜 기술이 아니다. 기업들은 여러 서비스의 접속 정보를 한곳에서 관리하거나 트래픽을 통제하려고 정상적으로 프록시를 쓴다. 다만 신원 확인이나 지역 제한을 피하는 용도로 악용되면, 서비스 제공자가 걸어둔 안전장치와 요금 체계가 통째로 무력화될 수 있다.

기사에서는 중국 이용자들이 앤스로픽의 지역 접근 제한을 피하려고 해외 서버에 올린 API 프록시, 이른바 '환승역'을 거쳐 클로드 토큰을 정가의 10% 수준에 사들이는 사례를 다뤄요. 프록시가 요청 발신지를 마치 허용된 지역인 것처럼 바꿔 전달해 신원 확인을 통과시키는데, 같은 다리를 이용해 이용자가 요청한 모델을 몰래 더 싼 모델로 바꿔치기하는 일도 벌어진다고 지적해요. 흔히 프록시를 단순한 중계 서버로만 오해하기 쉽지만, 실제로는 요청과 응답 양쪽을 다 조작할 수 있는 지점이라는 게 핵심이에요.