狭い権限のキーと明確な制限から始める

顧客側の対策

• キーはサーバーだけに保存
• 検証と本番を分離
• モデル・IP・速度・予算を制限
• 漏えい時にローテーション
• 副作用前に出力を検証

プラットフォーム側の対策

• 上流認証情報をサーバー内に保持
• 利用・残高変更を監査可能にする
• 管理権限をロールで制限
• 秘密を含めず障害を公開

脆弱性報告

再現可能な証拠を添え、他利用者データへのアクセスや本番停止を避けてください。