OmniRoute AI 게이트웨이 무료 토큰 15억의 진실과 설치 전 확인할 위험 신호 5가지

OmniRoute는 스타 65,027개를 모은 무료 AI 게이트웨이지만, 2026-09-10 CVSS 9.5점짜리 원격 코드 실행 취약점이 등록돼 회사 업무 연결은 위험합니다.

결론부터 말하면, OmniRoute를 지금 상태로 회사 업무에 연결하는 건 권할 수 있는 선택이 아니에요. "무료로 15억 토큰을 쓸 수 있다는데, 우리 팀 코드 어시스턴트에 붙여도 될까요?" 요즘 이런 질문을 자주 받습니다. 스타 65,027개짜리 오픈소스라니 혹할 만하죠. 그런데 GitHub·NVD·npm 같은 1차 소스를 직접 열어보니 이야기가 조금 달랐어요. 이 글은 OmniRoute가 실제로 무엇인지, 왜 지금 위험한지, 그래도 써야 한다면 무엇을 지켜야 하는지 순서대로 정리했습니다.

OmniRoute란 무엇인가: 실물부터 확인했습니다

저장소는 diegosouzapw/OmniRoute이고, 2026-09-12 조회 기준 스타 65,027개, 포크 9,095개, 라이선스는 MIT입니다. 생성일은 2026-02-13, 오늘로부터 211일 전이니 7개월 만에 6만 스타를 넘긴 급성장 프로젝트예요. 기본 브랜치는 release/v3.8.51이고 npm에 배포된 최신 버전은 3.8.50(2026-08-28, 15일 전)입니다. 배포본보다 브랜치가 앞서 있다는 건, 지금도 코드가 빠르게 바뀌고 있다는 뜻이죠.

OmniRoute란: 여러 AI 모델 공급사(OpenAI·Anthropic·구글·오픈소스 모델 등)에 대한 요청을 로컬 서버 하나로 모아, 구독 한도가 끊기면 API 키·저가 모델·무료 모델 순으로 자동 전환해주는 오픈소스 라우팅 도구입니다.

구조는 이래요. Claude Code 같은 도구가 로컬 엔드포인트(http://localhost:20128/v1) 하나로 요청을 보내면, OmniRoute가 4단계로 폴백을 시도해요.

Tier 1: 유료 구독
Tier 2: API 키
Tier 3: 저가 모델
Tier 4: 무료 모델

구독 한도가 소진되면 다음 단계로 자동으로 넘어가서 작업이 끊기지 않게 하는 구조예요. 여기까지만 보면 합리적인 설계입니다.

무료 토큰 15.1억이라는 숫자, 실제로는 이렇게 계산됩니다

README 최상단 주장은 "월 약 15.1억 무료 토큰"입니다. 숫자만 보면 엄청나게 크지만, 구조를 뜯어보면 결이 다릅니다.

무료 티어 항목 455개를 40개 순환 풀로 묶어요.
그중 월 예산이 공표된 20개 풀만 합산합니다.
같은 풀을 쓰는 공급사는 중복 계산하지 않아요.
첫 달에는 가입 크레딧이 붙어 약 21.3억까지 올라간다고 적혀 있어요.

한 사람에게 주어지는 단일 무제한 풀이 아니라, 각자 약관과 속도 제한이 딸린 수십 개 무료 티어를 산술로 더한 값입니다. 이걸 실제로 쓰려면 공급사마다 계정을 만들고 키를 따로 발급받아야 해요. "설치만 하면 15억 토큰이 생긴다"는 해석은 명백한 오독입니다.

숫자 자체도 저장소 안에서 흔들립니다. 무료 공급사 수가 소개문에는 "150+", README 히어로 이미지에는 "90+", 본문에는 "154개"로 세 번 다르게 적혀 있고, 프로바이더 총수도 352개와 268개가 서로 다른 분모로 쓰입니다. 인용할 땐 "제작사 주장, 2026-09-12 조회 기준"을 함께 적는 게 안전해요.

2026-09-10 등록된 CVSS 9.5 취약점, CVE-2026-88062

여기부터가 진짜 핵심이에요. 2026-09-10(오늘로부터 이틀 전) NVD에 critical 등급 원격 코드 실행 취약점이 등록됐어요. 식별자는 CVE-2026-88062, 관련 권고문은 GHSA-hf57-cqmx-p4gr이고 CVSS 4.0 점수는 9.5입니다.

취약점의 구조는 간단해요. POST /api/acp/agents 엔드포인트가 사용자가 보낸 binary와 versionCommand 값을 검증 없이 그대로 받아요. 유일한 검사는 versionCommand의 첫 토큰이 binary와 같은지 확인하는 자기 참조 검사인데, binary 자체도 공격자가 마음대로 정하는 값이라 아무 의미가 없어요. 결과적으로 서버 컨테이너 안에서 임의의 자바스크립트·OS 명령이 실행됩니다.

인증 없이 공격이 성립하는 조건은 두 가지예요. 인스턴스가 requireLogin=false로 설정된 경우, 또는 설치 직후 관리 비밀번호를 아직 설정하지 않은 부트스트랩 구간입니다. 이 구간에는 공격자가 먼저 requireLogin을 꺼버린 다음 공격할 수 있어요. 기본값(requireLogin=true + 비밀번호 설정)이라면 인증된 사용자만 악용할 수 있는 수준으로 내려가지만, 그래도 원격 코드 실행이라는 사실은 그대로 남습니다.

패치됐다는 GitHub, 안 됐다는 NVD

여기서 곤란한 지점을 하나 만났어요. 같은 취약점을 두고 두 공식 기록이 서로 다른 말을 합니다.

GitHub 권고문의 구조화 필드: 취약 범위 < 3.8.49, 패치 버전 3.8.49
NVD 등록 본문: "3.8.49 및 그 이하에서 발생하며, 검토 시점 기준 수정 버전이 없다"

어느 쪽이 맞는지는 외부에서 단정할 수 없습니다. 그래서 이 글도 둘 다 그대로 적어요. 실무적으로는 "최신 버전으로 올리되, 버전 번호 하나만 보고 안심하지 않는다"가 안전한 태도입니다.

이전에도 보안 사건은 있었어요. 2026-05-28(107일 전) 이슈 #2863에서는 v3.8.5가 Socket.dev에 MITM·루트 CA 의심 행위로 차단됐고, 2026-09-10(2일 전) 이슈 #13298에서는 JWT_SECRET으로 서명된 모든 JWT가 대시보드 세션으로 인정되는 문제가 보고됐다가 종료됐습니다. 저장소에서 제목에 "security"가 들어간 이슈만 156건이에요. 빠르게 고치고 있다는 뜻이기도 하지만, API 키와 프롬프트가 지나가는 경로에서 이만큼 결함이 반복된다는 뜻이기도 합니다.

문서가 스스로 적어둔 약관 위반 경고, 그런데 막지는 않습니다

FREE_TIERS.md에는 자체 "ToS 주의 표"가 있습니다. 공급사 16곳(README 히어로 이미지에는 15곳으로 표기돼 여기서도 숫자가 어긋나요)이 프록시 사용과 충돌하는 약관 조항을 갖고 있다고 정리돼 있어요. 구글 Antigravity·Fireworks·FriendliAI 같은 곳은 프록시·중개 사용을 명시적으로 금지해요.

문제는 이 경고가 실제 동작에 반영되지 않는다는 점이에요. 문서가 직접 이렇게 적습니다.

ToS 플래그는 권고일 뿐 라우팅 게이트가 아니다. tos로 표시된 공급사도 기본값에서 라우팅과 폴백 조합에 포함된다.

약관 위반 위험이 있는 공급사로도 기본 설정에서 요청이 그대로 나가고, 계정이 정지되면 그 부담은 사용자가 집니다. 참고로 Anthropic은 프록시 서비스를 통한 접근 재판매를 겨냥해 부정 계정 약 24,000개를 차단하고 1,600만 건 이상의 교환을 약관 위반으로 규정한 사례를 공개한 적이 있어요. 개인이 자기 계정을 라우팅하는 상황과 완전히 같지는 않지만, 프록시 경유 접근에 대한 집행 의지가 실재한다는 근거로는 충분합니다.

Claude Code에 연결하면 실제로 무슨 일이 일어나나

연결 방식은 환경변수 주입이에요.

Claude Code에 연결하면 실제로 무슨 일이 일어나나

이미지 출처: docs.anthropic.com

환경변수	역할
`ANTHROPIC_BASE_URL`	게이트웨이 루트 URL
`ANTHROPIC_AUTH_TOKEN`	OmniRoute 액세스 토큰(`Authorization: Bearer`)
`ANTHROPIC_API_KEY`	대안 인증(`x-api-key`), 둘 다 있으면 AUTH_TOKEN 우선
`ANTHROPIC_MODEL`	특정 모델 강제
`ANTHROPIC_DEFAULT_OPUS_MODEL` 등	등급별 모델 치환(Opus 자리에 다른 모델)

Anthropic 공식 문서가 밝히는 부분이 중요해요. ANTHROPIC_BASE_URL만 설정하고 게이트웨이 자격증명을 안 주면 저장된 로그인이 여전히 유효해서 기존 구독 한도와 과금이 그대로 적용돼요. 반대로 게이트웨이 자격증명이 활성화되면 구독 로그인이 쓰이지 않고, 그 트래픽은 토큰 단위로 자격증명 소유자에게 과금됩니다.

Anthropic은 서드파티 게이트웨이 제품을 보증하지도, 유지보수하지도, 감사하지도 않는다고 명시합니다. 어떤 게이트웨이를 거치든 Claude Code를 비-Claude 모델로 라우팅하는 것도 지원 대상이 아니에요. 참고로 과거에는 1M 컨텍스트를 쓰려면 별도 베타 헤더가 필요해서 게이트웨이가 이를 누락하면 컨텍스트가 줄어드는 문제가 있었는데, 그 베타는 2026-04-30(135일 전) 폐지됐고 지금 모델은 1M 컨텍스트가 기본값이라 이 부분은 더 이상 문제가 아니에요. 다만 게이트웨이가 anthropic-beta 헤더 자체를 통째로 전달하지 않으면 OAuth 등 다른 기능이 깨질 수 있다는 위험은 남아 있습니다.

OmniRoute vs OpenRouter vs LiteLLM, 무엇이 다른가

항목	OmniRoute	OpenRouter	LiteLLM
형태	자체 호스팅 오픈소스	호스팅 서비스(SaaS)	자체 호스팅 오픈소스+SDK
라이선스	MIT	비공개 서비스	NOASSERTION
GitHub 스타	65,027	본체 비공개	58,550
최초 공개	2026-02-13(211일 전)	해당 없음	2023-07-27(약 3.1년 전)
무료 티어 스태킹	핵심 기능	제공하나 속도 제한 있음	해당 기능 없음
운영 성숙도	7개월, critical CVE 이력	상용 운영	3년 이상, 프로덕션 레퍼런스 다수

한 줄로 정리하면, OpenRouter는 돈을 내고 안정성과 책임 소재를 사는 선택이에요. LiteLLM은 자체 호스팅으로 거버넌스를 확보하는 성숙한 선택이고요. OmniRoute는 무료 티어를 최대한 끌어모으는 대신 약관과 보안 리스크를 사용자가 떠안는 선택입니다. 세 제품은 경쟁재라기보다 리스크 프로파일이 다른 별개의 도구예요.

누가 써도 되고, 누가 쓰면 안 되는가

시도해볼 만한 경우: 개인 학습이나 사이드 프로젝트에서 계정 정지 리스크를 감당할 수 있는 사람, Node.js 코드를 직접 감사·하드닝할 역량이 있는 사람, 유료 API 키만 연결해 순수 폴백 용도로만 쓰려는 사람이에요.

쓰면 안 되는 경우: 회사 업무·고객 데이터·사내 코드를 다루는 환경, 규정 준수와 감사 추적이 필요한 조직, 계정 정지가 업무 중단으로 이어지는 사람, 보안 패치를 따라갈 여력이 없는 사람입니다. 프롬프트와 코드가 게이트웨이를 거쳐 익명 공급사로 나갈 수 있고, 그 경로에 critical RCE 이력이 남아 있으니까요.

그래도 쓴다면 지킬 최소 안전 수칙

최신 버전으로 올리되, 패치 정보가 엇갈리니 버전만 믿지 않는다.
requireLogin=true를 유지하고 설치 직후 즉시 관리 비밀번호를 설정한다.
localhost 바깥으로 포트 20128을 절대 노출하지 않는다.
JWT_SECRET과 STORAGE_ENCRYPTION_KEY를 직접 설정한다.
주력 계정 대신 버려도 되는 별도 계정을 쓴다.
문서의 ToS 주의 표에서 위험 표시된 공급사는 직접 제외한다.

여기에 하나 더 짚을 만한 신호가 있어요. Hacker News에는 OmniRoute를 다룬 스토리가 0건입니다. 스타 6만 개짜리 개발자 도구가 기술 검증 커뮤니티에서 한 번도 정면 토론되지 않았다는 뜻이죠. X 확산도 2026-06-28부터 2026-08-02 사이에 몰려 있고 최근 30일 안 게시물은 1건뿐이라, 화제성은 이미 하강 국면이에요.

마무리

OmniRoute는 실재하는 저장소고, 무료 모델을 폴백으로 엮는 아이디어 자체는 나쁘지 않습니다. 다만 지금 시점의 상태는 개인 학습용과 회사 업무용 사이에 명확한 선이 있어요. CVSS 9.5짜리 원격 코드 실행 취약점, 엇갈리는 패치 정보, 라우팅을 막지 않는 약관 경고까지 겹쳐 있는 도구를 사내 코드나 고객 데이터 근처에 두는 건 시기상조입니다. 도입을 검토 중이라면 위의 최소 안전 수칙부터 팀 내부에서 먼저 확인해보세요.

자주 묻는 질문 (FAQ)

Q: OmniRoute의 무료 토큰 15억은 정말 무제한으로 쓸 수 있나요?

아니요. 이 숫자는 공급사 20곳의 공표된 무료 티어 예산을 합산한 값입니다. 한 사람에게 주어지는 단일 풀이 아니라, 각 공급사에 개별 계정을 만들고 각자의 속도 제한을 감당해야 얻을 수 있는 산술 합계예요.

Q: 지금 버전에는 취약점이 패치가 됐나요, 안 됐나요?

공식 기록 두 개가 다른 말을 합니다. GitHub 권고문은 3.8.49에서 패치됐다고 적고, NVD 본문은 검토 시점 기준 수정 버전이 없다고 적어요. 두 소스가 충돌하는 상태라, 버전 번호 하나만 보고 안전을 확신하지 않는 게 안전합니다.

Q: 회사 코드나 고객 데이터가 지나가는 프로젝트에 연결해도 괜찮을까요?

권하지 않습니다. 프롬프트와 코드가 게이트웨이를 거쳐 익명 공급사로 나갈 수 있고, 그 경로에 CVSS 9.5짜리 원격 코드 실행 이력이 있습니다. 규정 준수나 감사 추적이 필요한 조직이라면 LiteLLM 같은 자체 호스팅 대안이나 상용 게이트웨이 쪽이 맞습니다.

OmniRoute AI 게이트웨이 무료 토큰 15억의 진실과 설치 전 확인할 위험 신호 5가지

AI 도구, 설치 전 5분 검증법 — 비개발자를 위한 쉬운 가이드