💡 왼쪽 원문을 읽으면서 오른쪽에 따라 써보세요. Tab 키로 힌트를 받을 수 있습니다.

원문 렌더가 준비되기 전까지 텍스트 가이드로 표시합니다.

> "시크릿은 코드가 아니다. 시크릿은 데이터고, 데이터는 그것을 다루는 시스템 — 회전, 감사, 격리, 접근 제어가 있는 시스템 — 안에 살아야 한다." — Armon Dadgar, HashiCorp 공동창업자, KubeCon 2024

2025년 9월의 Microsoft AI 연구자 SAS 토큰 유출 사건(38TB의 내부 데이터가 1년 동안 공개 GitHub에 노출)과 2023년 1월의 CircleCI 침해(개발자 환경변수가 통째로 유출)는 동일한 교훈을 다시 한 번 새겼습니다. **"`.env` 파일을 커밋하지 말라"는 2010년의 충고로는 2026년의 위협을 막을 수 없다.** 시크릿은 회전(rotation), 감사 로그, 워크로드 신원(workload identity), 격리된 환경 변수 주입, push 보호, 그리고 KMS 봉투 암호화가 결합된 "시크릿 관리 플랫폼" 안에 살아야 합니다.

2026년 5월 현재, DevOps 시크릿 관리 시장은 크게 다섯 진영으로 분화되었습니다. **클라우드 네이티브 SaaS(Doppler·Infisical)**, **엔터프라이즈 볼트(HashiCorp Vault·CyberArk Conjur·Akeyless)**, **클라우드 매니지드(AWS Secrets Manager·Azure Key Vault·GCP Secret Manager)**, **파일 기반 GitOps(SOPS·age·git-crypt·Sealed Secrets)**, 그리고 **패스워드 매니저 확장(1Password CLI·Bitwarden Secrets Manager)** 입니다. 이 글에서는 각 진영의 대표 솔루션과 그들의 워크플로, 그리고 Korean/Japanese 도입 사례, 실제 사고와 대응까지 정리합니다.

1. 왜 시크릿 관리가 필요한가 - .env 파일의 종말

2010년대 후반까지 개발자들은 `.env` 파일을 표준으로 받아들였습니다. `python-dotenv`, `dotenv-rs`, `dotenv` for Node가 사실상의 표준이 되었고, `.env` 파일은 `.gitignore` 에 들어가는 것만으로 충분하다는 인식이 퍼졌습니다. 하지만 2020년대 들어 이 모델은 세 가지 방향에서 무너졌습니다.

첫째, **휴먼 에러로 인한 누출**. `.env.example`에 실제 값을 적어 넣고 커밋하는 사례, `.gitignore` 가 다른 디렉터리에서 동작하지 않는 사례, `.env.local` 같은 변형 파일명이 ignore에서 빠지는 사례가 끊임없이 발생했습니다. 2023년 Toyota는 5년간 GitHub에 노출된 자격증명으로 인해 296,019명의 차량 정보가 위협받았다고 발표했습니다.

둘째, **공급망 공격**. 2022년 12월 CircleCI 침해, 2023년 1월 LastPass 2차 침해, 2023년 9월 Microsoft AI Researcher의 SAS 토큰 유출(38TB) — 모두 "환경 변수에 영구 자격증명을 그대로 박아두었다"가 근본 원인이었습니다. 한 번 유출되면 회전(rotation)이 어려워서 공격자에게 무제한의 시간이 주어집니다.

셋째, **AI 코딩 에이전트의 등장**. Claude Code, Cursor, Aider 같은 도구가 코드베이스 전체를 읽기 시작하면서, 시크릿이 평문으로 박힌 파일은 그 자체로 위험합니다. 2025년 OWASP는 LLM Top 10 v2.0에 "Sensitive Information Disclosure in AI Context"를 추가했습니다.

해결책은 단순합니다. **시크릿을 코드와 분리하고, 회전 가능하고 감사 가능한 외부 시스템에 두고, 워크로드 신원으로 단기 자격증명만 발급한다.** 이것이 2026년 시크릿 관리의 핵심 원칙입니다.

2. 시크릿 관리 플랫폼 지도 - 다섯 진영

2026년 5월 기준 시크릿 관리 솔루션은 다음 다섯 카테고리로 정리할 수 있습니다.

|---|---|---|---|

핵심 통찰은 "**한 가지만 쓰는 회사는 거의 없다**" 입니다. 대부분의 팀은 개인 시크릿용 1Password, 팀 시크릿용 Doppler 또는 Vault, K8s 시크릿용 External Secrets Operator, KMS 키용 클라우드 매니지드를 조합해서 씁니다. 2026년의 모범 사례는 단일 도구가 아니라 "**계층화된 시크릿 아키텍처**"입니다.

3. Doppler - 앱 개발자를 위한 사실상의 표준

Doppler(Brian Vallelunga, 2018~)는 2026년 5월 기준 클라우드 네이티브 SaaS 시크릿 관리의 선두 주자입니다. 본사 샌프란시스코, Series B로 2,000만 달러를 조달했고, 가격은 Developer $24/seat/mo, Team $52/seat/mo, Enterprise는 협상가입니다. Stripe, DoorDash, Instacart, Adobe, Coca-Cola 같은 회사가 사용 중이며, ARR은 2025년 기준 4천만 달러 추정입니다.

Doppler의 핵심 가치는 세 가지입니다. 첫째, **`doppler run` 래퍼**. 환경 변수를 셸에 주입하지 않고 자식 프로세스에만 주입해서 `.env` 파일을 완전히 제거합니다. 둘째, **자동 회전(automatic rotation)**. AWS IAM 사용자, Stripe API 키, Twilio Auth 토큰 같은 통합 시크릿을 30/60/90일 주기로 자동 회전시키고 모든 환경에 전파합니다. 셋째, **환경 분리**. dev/stg/prod 같은 환경별로 동일한 키 이름에 다른 값을 매핑하고, 환경 간 promotion을 GitHub Actions처럼 시각화합니다.

Doppler CLI 설치 및 로그인

brew install dopplerhq/cli/doppler

doppler login

프로젝트 연결

doppler setup --project my-app --config dev

시크릿 설정

doppler secrets set DATABASE_URL=postgres://localhost/mydb

doppler secrets set STRIPE_API_KEY=sk_test_xxx

앱 실행 - 환경변수가 doppler에서 주입됨

doppler run -- npm run dev

다른 환경으로 promotion

doppler secrets download --no-file --format env > .env.prod

2026년 4월 Doppler는 **Doppler Workplace** 기능을 추가해, 같은 사람이 여러 회사에 속해 있을 때 워크스페이스를 분리하는 기능을 정식 출시했고, **Doppler Audit** 기능으로 시크릿 접근 로그를 SOC 2 / ISO 27001 감사용으로 7년 보관합니다.

4. Infisical - 오픈소스 + SaaS의 균형

Infisical(Maidul Islam·Vladislav Matsiiako, 2022~)은 Doppler에 가장 빠르게 도전하는 오픈소스 + SaaS 하이브리드입니다. GitHub 16K 스타, 2024년 Series A로 1,500만 달러를 조달했습니다. 가격은 Free, Pro $9/user/mo, Enterprise(self-hosted 포함)이며, "self-host도 가능하고 SaaS도 가능하다"는 이중성이 채택 이유로 자주 꼽힙니다.

Infisical의 차별점은 네 가지입니다. 첫째, **AGPL-3.0 라이선스 코어**로 self-host가 합법적이고 무료입니다. 둘째, **End-to-End 암호화** — 클라이언트 사이드 암호화로 Infisical 서버조차 평문을 볼 수 없습니다. 셋째, **Universal Auth** 라는 워크로드 신원 통합으로 GitHub Actions, Kubernetes Service Account, AWS IAM 같은 OIDC를 그대로 끌어다 쓰며 발급한 자격증명에 TTL을 적용합니다. 넷째, **시크릿 스캐닝 + 브로커 기능** — `infisical scan` 으로 코드베이스의 평문 시크릿을 탐지하고, 동적 시크릿 발급(데이터베이스 비밀번호를 매번 새로 생성)도 지원합니다.

.infisical.json 예시

{

"workspaceId": "your-workspace-id",

"defaultEnvironment": "dev",

"gitBranchToEnvironmentMapping": {

"main": "prod",

"staging": "staging",

"develop": "dev"

}

2026년 3월 Infisical은 **Infisical PKI** (사설 인증서 관리)와 **Infisical SSH** (단기 SSH 인증서 발급)를 GA로 출시하면서 "시크릿 + PKI + SSH"의 통합 플랫폼으로 진화했습니다. HashiCorp Vault의 영역을 정면으로 공격하는 행보입니다.

5. HashiCorp Vault - 엔터프라이즈 시크릿의 황금 표준 (IBM 인수 이후)

HashiCorp Vault(2015~)는 엔터프라이즈 시크릿 관리의 사실상 표준입니다. 2024년 4월 IBM이 HashiCorp를 64억 달러에 인수 발표하고 2025년 2월 인수가 완료되면서 Vault는 IBM Software 포트폴리오에 편입되었습니다. 라이선스는 2023년 8월 MPL에서 BSL(Business Source License)로 전환되었고, OpenBao 가 OSI-호환 포크로 등장했습니다.

Vault의 핵심 가치는 다른 솔루션과 격을 달리합니다. 첫째, **동적 시크릿(Dynamic Secrets)** — PostgreSQL, MySQL, MongoDB, AWS, GCP 같은 시스템에 대해 매 요청마다 새 자격증명을 생성하고 TTL이 지나면 자동 폐기. 둘째, **Transit Engine** — 키를 노출하지 않고 암호화/복호화/서명/검증을 위임하는 Encryption-as-a-Service. 셋째, **PKI 엔진** — 내부 CA로서 인증서를 발급하고 회전. 넷째, **30개 이상의 인증 메서드** — Kubernetes, AWS IAM, AppRole, OIDC, JWT, LDAP, AzureAD, GCP 등.

Vault Policy 예시 - 특정 시크릿에 read-only

path "secret/data/app/production/*" {

capabilities = ["read", "list"]

}

동적 데이터베이스 자격증명 - role을 통한 발급만 허용

path "database/creds/readonly" {

capabilities = ["read"]

}

2025년 출시된 Vault 1.18에서는 **Workload Identity Federation** 이 강화되었고, **HCP Vault Secrets**(매니지드 SaaS)는 Doppler와 직접 경쟁하는 가격($0.50/secret/mo + API 요청 과금)으로 재포지셔닝되었습니다. Vault Enterprise는 노드당 라이선스 기반으로 평균 $30,000~$80,000/년 수준입니다.

6. HashiCorp Boundary - 인접한 워크로드 신원 + 세션 관리

Boundary(2020~)는 Vault의 자매 제품으로, 시크릿 관리 자체보다는 "단기 자격증명으로 인프라에 접근"하는 동적 PAM(Privileged Access Management)에 집중합니다. SSH·RDP·DB·Kubernetes API 같은 타겟에 대해 "사용자 → Boundary → 타겟" 세션을 brokered/proxied 방식으로 열고, Vault의 동적 시크릿과 결합해서 영구 SSH 키나 영구 DB 패스워드 없이 모든 접근을 처리합니다.

2025년 Boundary 0.18에서는 **Multi-Hop Session** 과 **Session Recording**(SSH/RDP 세션 영상 녹화)이 GA로 출시되어, SOC 2 Type 2 / PCI DSS 4.0 감사 요구를 만족합니다. CyberArk PSM, Teleport와 경쟁하는 영역입니다.

7. AWS Secrets Manager + Parameter Store - 클라우드 네이티브의 양대 산맥

AWS는 시크릿 관리 솔루션을 두 가지 제공합니다. **AWS Secrets Manager** 는 시크릿당 $0.40/월 + API 요청당 $0.05/10K이며, 자동 회전(Lambda 기반 rotation function), KMS 봉투 암호화, 7년 자동 백업이 핵심입니다. **AWS Systems Manager Parameter Store** 는 Standard tier는 무료(최대 10K 파라미터), Advanced tier는 $0.05/parameter/월이며, 회전 기능은 없지만 단순 K/V로는 비용 효율적입니다.

2025년 11월 AWS는 **Secrets Manager Multi-Region Replication** 을 모든 리전으로 확장했고, **Cross-Account Access via Resource Policy**를 강화했습니다. RDS, ElastiCache, DocumentDB 같은 매니지드 DB는 Secrets Manager와 통합되어 30/60/90일 주기로 자동 회전이 가능합니다.

AWS SDK로 시크릿 조회 (Python)

client = boto3.client('secretsmanager', region_name='ap-northeast-2')

response = client.get_secret_value(SecretId='prod/db/credentials')

secret = json.loads(response['SecretString'])

db_url = f"postgres://{secret['username']}:{secret['password']}@{secret['host']}/{secret['dbname']}"

선택 가이드는 단순합니다. **회전이 필요하면 Secrets Manager, 단순 환경변수면 Parameter Store**. 둘 다 IAM Role 기반 워크로드 신원을 직접 지원하므로 EC2/ECS/EKS/Lambda에서 영구 자격증명 없이 시크릿을 조회할 수 있습니다.

8. Azure Key Vault - 시크릿 + 키 + 인증서 통합

Azure Key Vault는 시크릿(Secrets), 키(Keys), 인증서(Certificates) 세 가지를 한 서비스에서 다룹니다. Standard tier는 작업당 $0.03/10K, Premium tier(HSM 지원)는 키당 $1/월 + 작업 비용입니다. 2025년 GA된 **Azure Managed HSM** 은 FIPS 140-2 Level 3 인증을 받은 단일 테넌트 HSM 풀로, 정부/금융 고객을 타깃합니다.

핵심은 **Azure AD 통합**입니다. Managed Identity(System-assigned/User-assigned)를 통해 VM·App Service·AKS Pod이 영구 자격증명 없이 Key Vault에 접근하고, RBAC을 통해 세분화된 권한 제어가 가능합니다. Key Vault Reference라는 기능은 App Service 환경변수에 시크릿을 직접 매핑해서, 앱 코드 변경 없이 시크릿을 외부화합니다.

9. Google Cloud Secret Manager - 단순함의 미덕

GCP Secret Manager는 2020년 GA된 비교적 젊은 서비스로, 시크릿당 $0.06/월 + 접근 작업당 $0.03/10K입니다. 단순한 K/V 모델에 자동 회전(Pub/Sub 메시지로 트리거), 버전 관리, IAM 통합을 더한 형태입니다.

차별점은 **Workload Identity Federation** 의 완성도입니다. GCP는 GitHub Actions, GitLab CI, Azure AD, OIDC 어떤 외부 ID 제공자도 GCP Service Account에 매핑할 수 있어, GCP가 아닌 환경에서도 영구 키 없이 GCP 리소스에 접근할 수 있습니다. 2025년 GA된 **Secret Manager Regional Replication** 은 EU 데이터 거주지 요구를 만족합니다.

GCP Secret Manager에서 시크릿 조회

from google.cloud import secretmanager

client = secretmanager.SecretManagerServiceClient()

name = "projects/my-project/secrets/db-password/versions/latest"

response = client.access_secret_version(request={"name": name})

db_password = response.payload.data.decode("UTF-8")

10. Akeyless - Vaultless 아키텍처의 도전자

Akeyless(Refael Angel·Shai Onn, 2018~)는 "vaultless"라는 마케팅 메시지로 차별화합니다. 본사 텔아비브, 2022년 Series B로 6,500만 달러를 조달했고, JPMorgan·Cisco 같은 엔터프라이즈 고객을 보유합니다. 핵심은 **DFC(Distributed Fragments Cryptography)** — 시크릿을 여러 조각으로 나누어 다른 클라우드/리전에 분산 저장하고, 어떤 조각만으로는 복원이 불가능하게 합니다.

기능 범위는 Vault와 거의 동일합니다(시크릿, 동적 자격증명, PKI, SSH, Encryption-as-a-Service). 가격은 SaaS 모델로 $0.85/secret/mo 부터 시작합니다. Vault 대비 장점은 "self-host가 필요 없다(이미 분산)"이고, 단점은 오픈소스 커뮤니티가 약하다는 것입니다.

11. CyberArk Conjur + Conjur Open Source - 엔터프라이즈 PAM의 시크릿 확장

CyberArk Conjur는 CyberArk(엔터프라이즈 PAM 시장 1위)가 2017년 Conjur 인수를 통해 확보한 시크릿 관리 제품입니다. Conjur Open Source는 무료이고, Conjur Enterprise는 PAM·Endpoint Privilege Manager 같은 다른 CyberArk 제품과 통합되어 판매됩니다.

Conjur의 차별점은 **정책 코드(Policy-as-Code)** 입니다. YAML 기반 정책 언어로 시크릿, 사용자, 호스트, 권한을 선언적으로 정의하고 Git으로 버전 관리합니다. Kubernetes Authenticator를 통한 K8s 네이티브 통합이 강력하고, 금융/정부 시장에서 Vault와 양강 구도를 형성합니다.

12. Delinea Secret Server (구 Thycotic) + BeyondTrust Password Safe

Thycotic Secret Server는 2021년 Centrify와 합병되어 **Delinea** 로 리브랜딩되었습니다. 윈도우 기반 PAM 시장의 전통 강자로, Active Directory 통합과 RDP 세션 관리가 강점입니다. BeyondTrust Password Safe는 비슷한 윈도우 중심 PAM 시장에서 경쟁합니다.

이 두 솔루션은 "**개발자 워크플로보다 윈도우 관리자 워크플로 우선**"이라는 점에서 Doppler/Infisical/Vault와 결이 다릅니다. 금융/정부에서 윈도우 서버가 많은 환경에 적합하고, REST API와 CLI 자동화는 후순위입니다.

13. SOPS (Mozilla) - YAML/JSON 암호화의 표준

SOPS(Secrets OPerationS, Mozilla 2017~)는 YAML/JSON/ENV/INI/Binary 파일의 값을 부분적으로 암호화하는 도구입니다. 키 이름은 평문으로 두고 값만 암호화해서 Git diff가 의미 있게 동작하도록 합니다. 백엔드 KMS로 AWS KMS, GCP KMS, Azure Key Vault, HashiCorp Vault, PGP, AGE(권장)를 지원합니다.

평문 시크릿

database:

url: postgres://user:secret_password@host/db

api_key: sk_live_abc123

sops -e --age <pubkey> secrets.yaml 실행 후

database:

url: ENC[AES256_GCM,data:aBcDeFgH...,iv:...,tag:...,type:str]

api_key: ENC[AES256_GCM,data:...,iv:...,tag:...,type:str]

sops:

age:

- recipient: age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p

enc: |

-----BEGIN AGE ENCRYPTED FILE-----

...

-----END AGE ENCRYPTED FILE-----

SOPS의 핵심 강점은 **GitOps 친화성**입니다. ArgoCD·Flux 같은 GitOps 도구가 SOPS와 통합되어 K8s 매니페스트에 시크릿을 암호화된 상태로 커밋하고, 클러스터 내에서만 복호화합니다. CNCF Sandbox 졸업 후 2024년에 Independent project로 전환되었고, 현재는 GetSops/sops 조직이 유지보수합니다.

14. age (Filippo Valsorda) - 모던 파일 암호화

age(2019~, Filippo Valsorda)는 GPG의 복잡성을 거부하고 만든 모던 파일 암호화 도구입니다. X25519 + ChaCha20-Poly1305 기반의 단일 알고리즘, 키 파일은 sshkeygen 처럼 단순한 텍스트 파일, 명령행 인터페이스는 `age -r <recipient>` 로 끝납니다.

SOPS와 결합된 age는 2026년 GitOps의 사실상 표준 시크릿 암호화 방식입니다. 단일 사용자/팀 키를 SOPS의 recipient로 지정하면 SOPS가 자동으로 age로 위임합니다. age 자체는 약 1MB 미만 단일 바이너리로, Go·Rust 양쪽 구현이 존재합니다.

age 키 생성

age-keygen -o key.txt

Public key: age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p

파일 암호화

age -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p secrets.txt > secrets.txt.age

SSH 키를 recipient로 사용도 가능

age -R ~/.ssh/authorized_keys secrets.txt > secrets.txt.age

2024년 발표된 **rage**(Rust 구현, Jack Grigg) 는 age의 reference 구현 중 하나로 메모리 안전성이 강점이고, 같은 키 포맷을 공유합니다.

15. git-crypt + BlackBox - Git 통합 암호화

git-crypt(2013~, Andrew Ayer)는 Git 저장소 안에서 특정 파일을 GPG 키로 투명하게 암호화하는 도구입니다. `.gitattributes` 에 `secret.yaml filter=git-crypt diff=git-crypt` 를 지정하면 commit 시 자동 암호화, checkout 시 자동 복호화됩니다. SOPS와 달리 파일 전체를 암호화하므로 diff가 의미 없게 되는 단점이 있습니다.

BlackBox(StackExchange, 2014~)는 비슷한 컨셉의 더 오래된 도구로, GPG 기반 파일 암호화를 Git workflow에 통합합니다. 두 도구 모두 2026년에는 점진적으로 SOPS + age 조합에 자리를 내주는 추세입니다.

16. Sealed Secrets (Bitnami) - Kubernetes 네이티브 GitOps

Sealed Secrets(Bitnami/VMware, 2018~)는 K8s 네이티브 시크릿 암호화 솔루션입니다. 클러스터에 controller를 설치하면 controller가 X.509 키쌍을 생성하고, 개발자는 `kubeseal` CLI로 평문 Secret을 SealedSecret으로 봉인합니다. 봉인된 SealedSecret은 GitHub에 안전하게 커밋되고, controller가 클러스터 안에서만 복호화해 진짜 Secret을 생성합니다.

평문 Secret 생성 후 kubeseal로 봉인

kubectl create secret generic db-creds --from-literal=password=secret123 --dry-run=client -o yaml \

| kubeseal --controller-namespace kube-system -o yaml > db-creds-sealed.yaml

봉인된 매니페스트를 Git에 안전하게 커밋

git add db-creds-sealed.yaml

git commit -m "Add encrypted DB credentials"

Sealed Secrets의 단점은 controller 키 회전과 클러스터 간 시크릿 이전이 까다롭다는 것입니다. 이 단점을 보완하기 위해 등장한 것이 External Secrets Operator입니다.

17. External Secrets Operator (ESO) - 외부 백엔드 추상화

External Secrets Operator(ESO, 2021~)는 K8s 환경에서 외부 시크릿 매니저(AWS Secrets Manager, GCP Secret Manager, Azure Key Vault, HashiCorp Vault, Doppler, Infisical, 1Password, Bitwarden 등 30+ 백엔드)를 추상화하는 컨트롤러입니다. 개발자는 `ExternalSecret` CR을 정의해서 "외부 시크릿을 K8s Secret으로 동기화"하는 선언만 하면 됩니다.

apiVersion: external-secrets.io/v1beta1

kind: ExternalSecret

metadata:

namespace: production

spec:

refreshInterval: 1h

secretStoreRef:

kind: ClusterSecretStore

target:

creationPolicy: Owner

data:

- secretKey: password

remoteRef:

key: prod/db/credentials

property: password

2024년 CNCF Sandbox 졸업 후 2025년 Incubating으로 승급한 ESO는 K8s 시크릿 패턴의 사실상 표준이 되었습니다. 2026년 5월 기준 v0.10이 GA로 출시되어 push 모드(K8s Secret → 외부 백엔드)와 generator(동적 자격증명 생성)를 지원합니다.

18. Vault Secrets Operator + CSI Secret Store Driver - K8s 시크릿 주입 패턴

HashiCorp의 **Vault Secrets Operator(VSO)** 는 ESO의 Vault 전용 버전으로, Vault의 고급 기능(동적 시크릿, PKI, Transit)을 K8s CR로 직접 노출합니다. ESO 대비 Vault 통합 깊이가 깊지만, Vault만 쓸 수 있다는 제약이 있습니다.

**CSI Secret Store Driver**(Microsoft/Azure 주도, Kubernetes SIG-Auth) 는 다른 접근입니다. 시크릿을 K8s Secret 객체로 변환하지 않고, Pod의 볼륨에 직접 마운트합니다. etcd에 평문이 저장되지 않으므로 etcd 침해 시에도 시크릿이 노출되지 않습니다. AWS, GCP, Azure, Vault 4가지 provider가 공식 지원됩니다.

선택 가이드: **외부 시크릿 매니저 다양성이 중요하면 ESO, Vault 깊이가 필요하면 VSO, etcd에 시크릿을 두기 싫으면 CSI Driver**. 많은 팀이 ESO + CSI Driver 조합으로 운영합니다.

19. 1Password CLI + Secrets Automation + SDKs - 개발자 워크플로의 침투

1Password(AgileBits, 1Password Inc., 2006~)는 2022년 Secrets Automation 기능을 출시하면서 개발자 시크릿 시장에 본격 진입했습니다. `op` CLI로 1Password Vault의 항목을 셸에서 직접 참조하고, **Connect Server**(self-hosted REST API)로 CI/CD 통합이 가능하며, 2024년 출시된 **1Password SDKs**(Go, Python, JS)로 코드에서 직접 시크릿을 가져올 수 있습니다.

op CLI로 시크릿을 환경변수에 주입해서 실행

op run --env-file .env -- npm start

.env 파일 내용

DATABASE_URL=op://Production/Database/url

STRIPE_KEY=op://Production/Stripe/api_key

1Password의 강점은 **이미 팀이 사용 중인 패스워드 매니저를 시크릿 매니저로 확장**한다는 점입니다. 별도 도구 학습이 필요 없고, 1Password Business($7.99/user/mo)에 Secrets Automation이 포함됩니다. 단점은 자동 회전과 동적 시크릿 같은 고급 기능이 약하다는 것입니다.

20. Bitwarden Secrets Manager + bws CLI - 오픈소스 + 합리적 가격

Bitwarden(8bit Solutions, 2016~)은 2023년 Secrets Manager를 별도 제품으로 출시했습니다. 개인 사용자는 무료, Teams $6/user/mo + $0.40/secret/mo, Enterprise $12/user/mo. 1Password 대비 약 30% 저렴하고, 서버 코드는 GPL-3.0으로 self-host가 가능합니다.

`bws` CLI는 `op` CLI와 거의 동일한 워크플로를 제공하고, GitHub Actions·GitLab CI·Jenkins·Kubernetes 통합이 준비되어 있습니다. 2024년 Vaultwarden(비공식 Rust 구현)이 self-host 옵션으로 인기를 얻으면서, "1Password 라이선스 비용이 부담스러운 팀"의 대안으로 자리잡았습니다.

21. LastPass / Dashlane / Keeper - 침해 이후의 자리

LastPass는 2022년 8월·12월 두 차례의 침해(특히 12월 침해는 암호화된 vault 데이터 전체가 유출)로 신뢰가 크게 흔들렸고, 2024년에는 다중 LastPass 사용자의 가상자산 도난 사건이 추적되어 보고되었습니다. 그럼에도 LastPass Business($7/user/mo)는 여전히 사용 중이지만, 개발자 시크릿 매니저 시장에서는 1Password·Bitwarden 대비 점유율이 빠르게 감소 중입니다.

Dashlane, Keeper, Roboform 같은 다른 패스워드 매니저들도 Secrets Manager 기능을 추가했지만, 개발자 워크플로 통합 깊이는 1Password·Bitwarden에 비해 부족한 편입니다.

22. dotenv-vault · doppler run · vault agent · direnv - 워크플로 통합 패턴

시크릿 매니저 자체보다 "**앱에 어떻게 주입하느냐**" 가 더 중요할 때가 많습니다. 2026년 주요 패턴은 네 가지입니다.

**dotenv-vault**(Mot, 2022~)는 `.env` 파일을 그대로 두되 암호화된 `.env.vault` 파일로 변환해 Git에 커밋 가능하게 합니다. 클라이언트 SDK가 환경별로 복호화 키를 받아 런타임에 복호화합니다. 가장 적은 마찰로 `.env` 워크플로를 유지하는 방법입니다.

**doppler run** / **infisical run** / **op run** 패턴은 셸 환경변수를 오염시키지 않고 자식 프로세스에만 주입하는 방식입니다. CI/CD에서 가장 안전합니다.

**Vault Agent**는 사이드카로 동작하면서 Vault에서 시크릿을 받아 파일이나 환경변수로 노출합니다. K8s Init Container 또는 Sidecar로 가장 많이 배포됩니다.

**direnv + sops** 조합은 디렉터리 단위 환경변수 자동 로드(direnv)와 GitOps 친화 암호화(sops)를 결합한 개발자 친화 패턴입니다. NixOS 사용자에게 특히 인기입니다.

23. gopass · pass · 1Password에 대한 UNIX 클래식 대안

UNIX 클래식인 **pass(2012~, Jason Donenfeld)** 는 GPG로 암호화된 텍스트 파일을 디렉터리 트리에 저장하는 가장 단순한 모델입니다. `pass insert facebook/myemail` 같은 명령으로 시크릿을 추가하고, Git 저장소에 그대로 커밋 가능합니다.

**gopass**(2017~)는 pass와 호환되면서 팀 사용을 위해 다중 키·다중 마운트·OTP·자동완성을 추가한 Go 구현입니다. 작은 팀에서 self-host 옵션으로 여전히 사용됩니다. 단점은 회전·감사 같은 엔터프라이즈 기능이 없다는 것입니다.

24. GitGuardian · TruffleHog · gitleaks - 시크릿 스캐닝 (탐지)

이미 코드베이스에 들어간 평문 시크릿을 찾는 시크릿 스캐닝은 별개의 산업입니다. **GitGuardian**(Paris, 2017~)은 시장 선두로, 350+ 시크릿 유형 탐지, GitHub/GitLab/Bitbucket 통합, 자동 알림·회전 워크플로를 제공합니다. 가격은 Business $42/dev/mo부터 시작합니다.

**TruffleHog**(Truffle Security, 2017~)는 오픈소스 + 상용 하이브리드로, 자체 호스팅이 가능하고 700+ 시크릿 유형을 탐지합니다. CLI로 무료 사용 가능하며, 상용 버전은 검증(verification — 발견된 키가 진짜 유효한지 API 호출로 확인) 기능을 제공합니다.

**gitleaks**(Zach Rice, 2018~)는 완전 오픈소스인 단일 바이너리 도구로, pre-commit hook과 CI 통합에 자주 쓰입니다. 패턴 정의 파일(`.gitleaks.toml`)로 커스터마이징이 쉽습니다.

gitleaks로 코드베이스 스캔

gitleaks detect --source . --verbose

pre-commit hook으로 시크릿 커밋 방지

cat > .git/hooks/pre-commit <<EOF

#!/bin/sh

gitleaks protect --staged --verbose

EOF

chmod +x .git/hooks/pre-commit

25. GitHub secret scanning + push protection · GitLab Secret Detection · Spectral

GitHub의 **Secret Scanning** 은 무료(public repo) 또는 GitHub Advanced Security 라이선스로 사용 가능하며, 200+ 토큰 유형을 GitHub-managed 패턴으로 탐지하고 발급자에게 직접 통지합니다. 2023년 GA된 **Push Protection** 은 시크릿이 포함된 push 자체를 차단해서 "이미 유출된 후 회전"이 아니라 "유출 자체를 막는" 패러다임 전환을 가져왔습니다.

GitLab은 **Secret Detection** 을 Ultimate tier에 포함시켰고, **Spectral**(Check Point 인수, 2021~)은 GitGuardian과 비슷한 SaaS 시크릿 스캐닝을 제공합니다.

2026년 모범 사례는 "**push protection으로 사전 차단 + scanning으로 사후 탐지 + 자동 회전 워크플로**" 3단 방어입니다.

26. KMS - AWS KMS · GCP KMS · Azure Key Vault HSM · Vault Transit

시크릿 매니저 아래에는 더 깊은 계층, **Key Management Service(KMS)** 가 있습니다. KMS는 시크릿 자체가 아니라 시크릿을 암호화하는 **키**를 관리합니다. 봉투 암호화(Envelope Encryption) 패턴으로, KMS의 마스터 키는 절대 노출되지 않고 데이터 키(DEK)만 발급/암호화/복호화에 사용됩니다.

**AWS KMS** 는 키당 $1/월 + API 요청당 $0.03/10K. **GCP KMS** 와 **Azure Key Vault HSM** 도 비슷한 가격대. **HashiCorp Vault Transit Engine** 은 Encryption-as-a-Service로 같은 패턴을 self-host로 제공합니다.

**YubiHSM 2**(Yubico) 는 USB 형태의 하드웨어 HSM으로 $650 정도이며, 소규모 팀의 root CA 키 보관에 적합합니다. **Cloudflare Keyless SSL** 은 TLS 개인키를 Cloudflare에 노출하지 않고 고객 데이터센터에 유지한 채 핸드셰이크 서명만 위임하는 모델입니다.

27. OIDC · 워크로드 신원 · SPIFFE/SPIRE - 시크릿이 없는 미래

2026년의 진정한 시크릿 관리 방향은 "**시크릿을 더 잘 관리하는 것이 아니라, 시크릿이 필요 없는 워크로드 신원을 사용하는 것**"입니다.

**GitHub OIDC + AWS IAM OIDC Trust** 패턴은 가장 널리 채택되었습니다. GitHub Actions가 발행한 단기 JWT를 AWS IAM이 신뢰하면, AWS Access Key 없이도 GitHub Actions가 AWS 리소스에 접근할 수 있습니다. 2024년 GitLab CI, CircleCI, Buildkite, Bitbucket Pipelines 모두 동일한 OIDC 패턴을 지원합니다.

**SPIFFE/SPIRE**(CNCF Graduated, 2022)는 워크로드 신원의 산업 표준입니다. SVID(SPIFFE Verifiable Identity Document) 라는 단기 X.509 또는 JWT 인증서를 워크로드에 발급해서, 시크릿을 미리 박지 않고도 워크로드 간 mTLS와 권한 부여를 합니다.

**Pomerium**, **Teleport**, **OPA(Open Policy Agent)** 는 인접한 영역에서 정책 기반 접근 제어를 담당합니다. Teleport는 SSH·Kubernetes·DB·웹 앱에 대해 단기 인증서 기반 접근을 제공해서 영구 SSH 키를 없애는 데 자주 쓰입니다.

28. Mobile + Frontend - Expo Secrets · React Native Keychain · Capacitor

모바일과 프론트엔드에는 다른 시크릿 모델이 필요합니다. 빌드 시점 시크릿(API 키), 런타임 시크릿(사용자 토큰), 키체인 시크릿(생체 인증 보호 자격증명)이 모두 다른 처리가 필요합니다.

**Expo Secrets** 와 **EAS Secrets** 는 React Native 앱의 빌드 시 환경변수와 런타임 환경변수를 분리해서 다룹니다. **React Native Keychain**(oblador)은 iOS Keychain과 Android Keystore를 한 API로 통합합니다. **Capacitor Secure Storage**(Ionic)는 Capacitor 앱에서 비슷한 역할을 합니다.

브라우저 프론트엔드는 그 자체로 시크릿을 안전하게 저장할 방법이 거의 없습니다. 모범 사례는 "**브라우저에 시크릿을 두지 말고, 모든 시크릿 사용은 서버 API 뒤로 숨긴다**" 입니다. JWT는 HttpOnly+Secure 쿠키, OAuth 토큰은 BFF(Backend-for-Frontend) 패턴.

29. 컴플라이언스 - SOC 2 · PCI DSS 4.0 · ISO 27001:2022 · FedRAMP · HIPAA

시크릿 관리는 단순 기술 문제가 아니라 컴플라이언스 요구사항이기도 합니다. 2026년 5월 기준 주요 요구사항을 정리합니다.

**SOC 2 Type 2** 는 시크릿 접근 로그 7년 보관, 분기별 접근 검토, 자동 회전을 요구합니다. **PCI DSS 4.0**(2024년 3월 발효)은 키 회전 1년 이내, HSM 사용, 키 보관 시 이중 통제 같은 더 강한 요구를 추가했습니다. **ISO 27001:2022** 는 Annex A.8.24(키 사용·보호)와 A.5.16(신원 관리)에서 시크릿 관리를 직접 다룹니다.

**FedRAMP High** 는 미국 정부 시스템에 대해 FIPS 140-2 Level 3 이상의 HSM, 키 분리 보관, 다중 인증 관리자를 요구하며, **HIPAA** 는 PHI 접근 시 모든 시크릿 사용 로그를 6년 이상 보관할 것을 요구합니다.

도구 선택은 컴플라이언스 인증서를 확인해야 합니다. AWS Secrets Manager·GCP Secret Manager·Azure Key Vault·HashiCorp Vault Enterprise는 SOC 2 / ISO 27001 / FedRAMP를 모두 보유합니다. Doppler·Infisical도 SOC 2 Type 2를 보유합니다.

30. 한국 도입 사례 - NAVER · KAKAO · NCSOFT · 금융보안원

**NAVER Cloud Secret Manager**(2022 GA)는 NAVER Cloud Platform 내부 서비스로 KMS와 통합되어 운영됩니다. NAVER 내부에서는 자체 개발한 시크릿 매니지먼트 플랫폼이 사용되고, 외부 고객 대상으로는 NAVER Cloud Secret Manager가 제공됩니다.

**KAKAOENT**(카카오엔터테인먼트)는 자체 KMS 인프라 위에 HashiCorp Vault를 운영하는 사례로 2024년 if(kakao) 컨퍼런스에서 발표되었습니다. 게임/엔터테인먼트 자회사들을 통합 관리하는 멀티테넌트 Vault 구성입니다.

**NCSOFT**, **카카오뱅크**, **토스(비바리퍼블리카)** 등 주요 한국 테크 회사들은 대부분 Vault 또는 자체 솔루션을 운영합니다. **금융보안원(FSI)** 의 "전자금융감독규정" 과 "금융 분야 클라우드 이용 가이드라인"은 한국 금융권 시크릿 관리의 사실상 표준 요구사항을 정의합니다. 키 회전 주기, 키 분리 보관, 클라우드 KMS 사용 시 추가 통제 같은 요구가 포함됩니다.

31. 일본 도입 사례 - Sakura Cloud · Mercari · Smartbank · NTT

**Sakura Cloud Secret Manager**(2023 GA)는 일본 국내 클라우드의 시크릿 매니저로, 데이터 거주지(국내 보관) 요구가 강한 정부/금융 고객을 타깃합니다. **Mercari** 와 **Smartbank** 는 모두 GCP Secret Manager + HashiCorp Vault 조합을 운영하는 것으로 알려져 있고, Mercari는 2024년 Engineering Blog에서 Vault Workload Identity 마이그레이션 사례를 공유했습니다.

**NTT Communications** 는 자체 시크릿 관리 서비스를 제공하며, 일본 정부 클라우드(政府共通プラットフォーム) 에 통합되어 있습니다. **DeNA**, **CyberAgent**, **LINE Yahoo** 같은 회사들도 Vault 기반 운영 사례를 공개 발표한 바 있습니다.

일본 시장의 특이점은 **APPI(개인정보보호법) 와 데이터 거주지 요구**입니다. AWS Secrets Manager 도쿄 리전, GCP Secret Manager 도쿄/오사카 리전이 강제되는 경우가 많고, Sakura Cloud나 IIJ 같은 국내 사업자 솔루션의 점유율이 클라우드 기준보다 높습니다.

32. 실제 사고 - Uber 2022 · Microsoft AI 38TB · CircleCI 2023

세 가지 대형 사고가 2022~2023년 시크릿 관리 패러다임을 바꿨습니다.

**Uber 2022년 9월 침해** — 외주 직원의 자격증명을 피싱으로 탈취한 공격자가 Uber 내부 PowerShell 스크립트에 박혀 있던 PAM(Thycotic) 관리자 자격증명을 발견하면서 침해가 시작되었습니다. 이로 인해 G-Suite, AWS, Slack, GitHub 등 거의 모든 시스템에 접근이 가능해졌습니다. 교훈은 "**자동화 스크립트에 영구 자격증명을 박지 말고 워크로드 신원을 쓰라**"였습니다.

**Microsoft AI Researcher SAS 토큰 유출**(2023년 6월 발견, 9월 공개) — Microsoft AI 팀의 한 연구원이 GitHub에 모델 가중치를 공개하기 위해 사용한 Azure Storage SAS URL이 사실상 만료 없이 컨테이너 전체에 쓰기 권한을 부여하고 있었습니다. 38TB의 내부 데이터(개인 파일, 패스워드, 30K+ Teams 메시지)가 외부에 노출된 채로 1년 이상 유지되었습니다. 교훈은 "**SAS 토큰처럼 만료 없는 자격증명을 절대 만들지 말라**"와 "**자동 시크릿 스캐닝으로 자격증명 유출을 탐지하라**" 였습니다.

**CircleCI 2023년 1월 침해** — CircleCI 직원의 노트북에 설치된 멀웨어가 세션 쿠키를 탈취해서 MFA 우회로 내부 시스템에 접근했고, 고객의 모든 환경변수와 컨텍스트가 노출되었습니다. CircleCI는 모든 고객에게 시크릿 회전을 요청했고, 이 사건은 "**CI/CD 시스템에 평문 시크릿을 보관하지 말고 외부 시크릿 매니저를 통해 동적으로 주입하라**"는 패턴 전환을 가속화했습니다.

33. 비용 비교 - 실제 가격 (2026.05 기준)

100명 개발팀, 10K 시크릿, 월 1M 시크릿 접근 가정으로 비교합니다.

| 솔루션 | 월 비용(USD) | 비고 |

|---|---|---|

| Doppler Team | $5,200 | $52 × 100 seat |

| Infisical Pro | $900 | $9 × 100 user |

| HCP Vault Secrets | $5,000 + API | $0.50 × 10K secrets |

| Vault Enterprise | $6,000~ | 노드당 라이선스 |

| AWS Secrets Manager | $4,050 | $0.40 × 10K + API |

| GCP Secret Manager | $630 | $0.06 × 10K + API |

| Azure Key Vault | $300~ | 작업 기반 |

| 1Password Business | $800 | $7.99 × 100 |

| Bitwarden Teams | $4,600 | $6 × 100 + $0.40 × 10K |

| SOPS + age | $0 | 오픈소스, 인프라 비용만 |

가격만 보면 SOPS + age가 압도적이지만, 운영 부담(키 회전, 멤버 이동 시 키 재배포, GitOps 통합)을 감안하면 Doppler/Infisical 같은 SaaS가 종합적으로 저렴할 수 있습니다.

34. 의사결정 트리 - 어떤 솔루션을 고를 것인가

규모와 컴플라이언스 요구에 따른 가이드입니다.

**1~10명 스타트업** — 1Password Business + GitHub Actions OIDC 조합. 추가 도구 없이도 80% 커버됩니다. 시크릿 회전이 필요해지면 Doppler Developer($24) 추가.

**10~100명 시리즈 B+ 스타트업** — Doppler Team 또는 Infisical Pro. K8s를 쓰면 ESO를 백엔드와 함께. 시크릿 스캐닝은 gitleaks(무료) + GitHub Push Protection.

**100~1000명 성장 단계** — Doppler/Infisical을 메인으로, AWS Secrets Manager를 RDS·ECS 같은 AWS-네이티브 워크로드에 직접 통합. 시크릿 스캐닝은 GitGuardian 또는 TruffleHog 상용.

**1000명+ 엔터프라이즈, 금융/정부** — HashiCorp Vault Enterprise + Boundary + HCP Vault. SPIFFE/SPIRE로 워크로드 신원 통합. CyberArk Conjur는 PAM과 결합 시 검토. 컴플라이언스 (SOC 2 / PCI / FedRAMP) 인증이 필수.

**K8s 중심 팀** — External Secrets Operator + (Doppler / Infisical / AWS Secrets Manager / Vault). Sealed Secrets는 단순한 경우만, GitOps 친화성이 핵심이면 SOPS + age + ArgoCD.

35. 마이그레이션 가이드 - .env에서 시크릿 매니저로

기존 `.env` 기반 프로젝트를 시크릿 매니저로 마이그레이션하는 6단계입니다.

1. **스캔과 정리** — `gitleaks detect` 로 이미 커밋된 시크릿을 찾고, 발견되면 즉시 회전합니다. `git filter-repo` 로 히스토리에서 제거하는 것은 보조 조치입니다 — 이미 유출된 시크릿은 회전이 우선입니다.

2. **시크릿 매니저 선택과 셋업** — 위 의사결정 트리에 따라 도구 선택. Doppler/Infisical 모두 무료 티어로 PoC 가능합니다.

3. **개발자 워크플로 결정** — `doppler run`, `infisical run`, `op run` 같은 래퍼를 선택하고 `package.json` 또는 `Makefile`에 통합합니다.

4. **CI/CD 마이그레이션** — GitHub Actions Secrets를 매니저로 옮기고, OIDC로 단기 자격증명만 발급하도록 변경합니다. 모든 영구 자격증명(AWS Access Key, GCP Service Account Key)을 OIDC로 교체.

5. **프로덕션 워크로드 마이그레이션** — K8s면 ESO 설치 후 점진적으로 Secret을 ExternalSecret으로 전환. ECS/Lambda면 환경변수 참조를 Secrets Manager ARN으로 교체.

6. **검증과 운영** — 모니터링과 알림 설정. 회전 일정 등록, 분기별 접근 검토 자동화, 시크릿 스캐닝 CI 통합.

36. 마무리 - 2026년 시크릿 관리의 원칙

2026년 시크릿 관리의 다섯 가지 원칙으로 마무리합니다.

첫째, **시크릿을 코드에서 분리**합니다. `.env` 파일은 로컬 개발 환경에서만, 다른 모든 환경은 매니저에서 주입합니다.

둘째, **워크로드 신원으로 영구 자격증명을 제거**합니다. GitHub OIDC, AWS IAM Roles, GCP Workload Identity, SPIFFE/SPIRE — 가능한 모든 곳에서 단기 인증을 사용합니다.

셋째, **자동 회전**을 모든 데이터베이스 자격증명, API 키, TLS 인증서에 적용합니다. 회전이 어려운 시크릿은 사용을 금지합니다.

넷째, **사전 차단 + 사후 탐지의 이중 방어**를 적용합니다. Push Protection + 시크릿 스캐닝으로 유출을 막고 탐지합니다.

다섯째, **감사와 검토**를 자동화합니다. 모든 시크릿 접근 로그를 SIEM으로 보내고, 분기별 접근 검토를 자동으로 트리거합니다.

시크릿은 "보관"의 문제가 아니라 "라이프사이클"의 문제입니다. 발급 → 사용 → 회전 → 폐기까지 전 과정을 시스템이 자동으로 다루는 플랫폼이 2026년의 표준입니다.

참고 자료

- Doppler — Pricing and Documentation: https://www.doppler.com/pricing

- Infisical — Open Source Secrets Management: https://infisical.com/

- HashiCorp Vault — Documentation: https://developer.hashicorp.com/vault

- HashiCorp Boundary — Documentation: https://developer.hashicorp.com/boundary

- HCP Vault Secrets — Product Page: https://www.hashicorp.com/products/vault/secrets-management

- IBM Acquisition of HashiCorp — Press Release: https://newsroom.ibm.com/2024-04-24-IBM-To-Acquire-HashiCorp-Inc-Creating-a-Comprehensive-End-to-End-Hybrid-Cloud-Platform

- AWS Secrets Manager — Documentation: https://docs.aws.amazon.com/secretsmanager/

- AWS Systems Manager Parameter Store — Documentation: https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-parameter-store.html

- Azure Key Vault — Documentation: https://learn.microsoft.com/en-us/azure/key-vault/

- Google Cloud Secret Manager — Documentation: https://cloud.google.com/secret-manager/docs

- Akeyless — DFC Whitepaper: https://www.akeyless.io/distributed-fragments-cryptography/

- CyberArk Conjur — Open Source: https://www.conjur.org/

- SOPS — GitHub: https://github.com/getsops/sops

- age — GitHub (Filippo Valsorda): https://github.com/FiloSottile/age

- git-crypt — GitHub: https://github.com/AGWA/git-crypt

- Sealed Secrets — GitHub (Bitnami): https://github.com/bitnami-labs/sealed-secrets

- External Secrets Operator — Documentation: https://external-secrets.io/

- Vault Secrets Operator — HashiCorp Docs: https://developer.hashicorp.com/vault/docs/platform/k8s/vso

- CSI Secret Store Driver — GitHub: https://github.com/kubernetes-sigs/secrets-store-csi-driver

- 1Password Developer — Documentation: https://developer.1password.com/

- Bitwarden Secrets Manager — Product Page: https://bitwarden.com/products/secrets-manager/

- GitGuardian — State of Secrets Sprawl Report 2025: https://www.gitguardian.com/state-of-secrets-sprawl-report-2025

- TruffleHog — GitHub: https://github.com/trufflesecurity/trufflehog

- gitleaks — GitHub: https://github.com/gitleaks/gitleaks

- GitHub Secret Scanning + Push Protection: https://docs.github.com/en/code-security/secret-scanning

- SPIFFE/SPIRE — CNCF Graduated Project: https://spiffe.io/

- Teleport — Documentation: https://goteleport.com/docs/

- Microsoft AI SAS Token Leak (Wiz Research, 2023): https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers

- CircleCI Security Incident Report (January 2023): https://circleci.com/blog/jan-4-2023-incident-report/

- Uber 2022 Breach — Statement: https://www.uber.com/newsroom/security-update

- PCI DSS 4.0 — PCI Security Standards Council: https://www.pcisecuritystandards.org/document_library/

- NAVER Cloud Secret Manager — 공식 문서: https://www.ncloud.com/product/security/secretManager

- Mercari Engineering — Vault Migration Blog: https://engineering.mercari.com/en/blog/

- 금융보안원 (FSI) — 금융 분야 클라우드 이용 가이드라인: https://www.fsec.or.kr/