Утро вторника началось с воя пейджера и письма от GitGuardian: «В вашем публичном репозитории обнаружен API-ключ». Следом прилетело уведомление от биллинга — за ночь неизвестные скрипты выжгли тысячу долларов на запросах к дорогим моделям. Причина банальна: разработчики выкатили новую фичу с ИИ-ассистентом и зашили ключ от RouterAPI прямо в React-приложение.

Идея создать AI-приложение за пару вечеров выглядит привлекательно. Документация провайдеров предлагает простые примеры: вставьте ключ в конструктор клиента, вызовите метод `chat.completions.create` и получите готовый результат. Разработчики переносят этот подход в реальные проекты. Ключ `sk-proj-..` оседает в переменных окружения фронтенд-сборки, прописывается в `.env.local` и запекается в бандл. Проект улетает на деплой.