사흘 만에 방향이 정반대야. 그런데 같은 논리야

8월 7일 오픈AI는 차기 모델 애스트라(Astra)에 대해 "치명적(Critical) 사이버 능력을 배제할 수 없다"며 개발 속도를 늦췄어. 자사 대비 프레임워크(Preparedness Framework)의 최상위 등급을 근거로 회사가 스스로 브레이크를 밟은, 프론티어 랩 역사상 처음 공개된 장면이었지.

그리고 사흘 뒤인 8월 10일, 같은 회사가 정반대로 보이는 발표를 했어. 사이버보안 이니셔티브 '데이브레이크(Daybreak)'를 블루와 레드 두 등급으로 쪼개고, 취약점 연구와 익스플로잇 검증에 특화된 신규 모델 'GPT-5.6-Cyber'를 심사를 통과한 보안 연구자에게 열어준 거야. 일반 챗GPT라면 "죄송하지만 도와드릴 수 없습니다"로 끝날 요청의 95%를 이 모델은 끝까지 수행해.

모순처럼 보이지? 그런데 오픈AI가 발표 글에 붙인 제목을 보면 논리가 드러나. "사이버 방어 창(window)이 좁아지는 가운데 데이브레이크를 확장한다." 회사의 주장은 이거야. 공격 쪽이 AI를 쓰기 시작하면 취약점 발견 속도가 빨라지고, 방어자가 패치를 배포할 시간은 그만큼 줄어든다. 그러니 그 격차가 완전히 벌어지기 전에 방어자 손에 같은 도구를 쥐여줘야 한다는 것.

애스트라를 멈춘 것과 GPT-5.6-Cyber를 연 것은 사실 같은 문장의 앞뒤야. 통제할 수 없는 능력은 늦추고, 통제할 수 있는 능력은 자격을 확인한 사람에게만 연다. 문제는 그 '통제'가 실제로 얼마나 촘촘하냐인데, 이번 발표에는 그 부분이 꽤 구체적으로 적혀 있어.

데이브레이크는 뭐고, 블루와 레드는 뭐가 다른가

데이브레이크는 오픈AI가 올해 초 내놓은 사이버보안 전용 프로그램이야. 일반 챗GPT나 API로는 걸리는 보안 작업 — 악성코드 분석, 익스플로잇 코드 검증, 취약점 리버싱 같은 — 을 신원이 확인된 조직에게만 열어주는 '신뢰 접근(Trusted Access)' 창구지. 오픈AI는 별도로 '패치 더 플래닛(Patch the Planet)'이라는 이름으로 오픈소스 메인테이너에게 이 도구를 무상 제공하는 프로그램도 굴리고 있어.

8월 10일 발표로 이 창구가 두 갈래로 나뉘었어.

데이브레이크 블루는 방어자용이야. 접근 대상은 GPT-5.6 Sol을 비롯한 프론티어 범용 모델인데, 인가받은 방어 업무에 맞춰 안전장치가 재조정돼 있어. 취약점 탐지, 보안 코드 리뷰, 악성코드 분석, 사고 대응, 패치 검증이 명시된 용도야. 쉽게 말해 "우리 회사 코드에서 구멍을 찾아줘"는 되지만 "남의 서버를 뚫어줘"는 안 되는 층이야.

데이브레이크 레드는 공격 시뮬레이션 쪽이야. 인가된 취약점 연구, 익스플로잇 검증, 보안 테스트를 위한 등급이고, 여기서만 GPT-5.6-Cyber를 쓸 수 있어. 이 모델은 고위험 사이버 작업에 대한 거부율을 의도적으로 낮추도록 학습됐어. 즉 "안전을 위해 답변하지 않겠다"는 반응을 줄이는 게 설계 목표 중 하나였다는 뜻이야. 프론티어 랩이 자사 모델의 거부율을 낮추는 걸 성과로 발표한 건 흔한 일이 아니야.

여기서 짚어야 할 게 하나 있어. 레드 등급에 접근한다고 아무 요청이나 통과되는 건 아니야. 오픈AI는 신원 검증, 계정 보안 조치, 사용 모니터링, 그리고 법적 진술서(legal attestation)를 필수로 걸었어. 2026년 9월 1일부터는 모든 데이브레이크 계정에 하드웨어 보안 키가 의무화돼. 회사는 격리된 샌드박스 환경에서 쓰고 코덱스는 자동 리뷰(Auto-Review) 모드로 돌릴 것을 권고하고 있어. 접근 권한이 곧 무제한 면허는 아니라는 구조야.

숫자로 보면 이 모델이 뭘 하는지 명확해져

오픈AI가 공개한 지표 중 핵심은 '고난도 사이버보안 완수율(Advanced Cybersecurity Completion Rate)'이야. 민감한 보안 요청을 던졌을 때 모델이 거부하지 않고 실제로 작업을 끝내는 비율이지.

모델 고난도 사이버보안 완수율 접근 경로
GPT-5.6-Cyber 95% 데이브레이크 레드 전용
GPT-5.5-Cyber (직전 세대) 57.3% 구 신뢰 접근
GPT-5.6 Sol + 데이브레이크 블루 안전장치 2% 데이브레이크 블루
GPT-5.6 Sol (기본 가드레일) 1.5% 일반 챗GPT·API

1.5%에서 95%. 이 격차가 이번 발표의 전부라고 해도 과언이 아니야. 일반 이용자가 만나는 GPT-5.6 Sol은 이런 요청의 98.5%를 거절해. 같은 기반 모델을 쓰면서도 데이브레이크 레드를 통과한 연구자는 사실상 전부를 받아. 모델의 능력이 아니라 정책이 문지기 역할을 하고 있다는 걸 이 표가 그대로 보여줘.

익스플로잇 생성 능력을 재는 ExploitGym 벤치마크에서도 GPT-5.6-Cyber는 GPT-5.6 Sol과 GPT-5.5-Cyber를 모두 앞섰어. 웹소켓 인증 우회 테스트에서는 실제로 동작하는 익스플로잇 코드를 만들어낸 유일한 변형이었고.

성능 주장을 뒷받침하는 실전 결과도 함께 나왔어. 학습이 끝난 직후 오픈AI는 이 모델로 크롬의 자바스크립트 엔진 V8을 파고들었고, 알려지지 않은 취약점 2건을 찾아냈어. 두 건을 엮으면 메모리를 손상시키고 V8 힙 샌드박스를 탈출할 수 있는 조합이었지. 오픈AI는 이를 검증한 뒤 조율된 취약점 공개(coordinated disclosure) 절차로 구글에 신고했고, CVE-2026-15903으로 번호가 붙었어. 여기에 더해 널리 쓰이는 모바일 운영체제 하나에서도 최소 5건의 결함을 찾았는데, 그중에는 권한 상승으로 이어지는 체인도 포함돼 있어.

대비 프레임워크 등급은 '높음(High)'이야. 애스트라를 멈추게 만든 '치명적(Critical)' 문턱에는 닿지 않았다는 게 오픈AI의 판단이고, 그래서 배포가 가능했다는 논리야. 뒤집어 말하면 애스트라는 이 문턱을 넘을 가능성이 있다고 회사가 본다는 뜻이지.

이 발표로 누가 뭘 챙기나

가장 직접적인 수혜자는 보안 연구자와 기업 보안팀이야. 지금까지 취약점 연구자들은 상용 LLM 앞에서 이상한 처지에 있었어. 합법적이고 인가받은 업무를 하는데도 모델이 "위험한 요청"으로 분류해 거절하는 일이 반복됐거든. 결국 로컬 오픈웨이트 모델을 직접 파인튜닝하거나, 프롬프트를 우회적으로 짜서 능력을 끌어내는 식으로 대응해왔어. 데이브레이크 레드는 그 우회를 공식 창구로 대체하겠다는 제안이야.

오픈AI가 챙기는 건 세 가지야. 첫째는 정당성이야. 애스트라 감속으로 "안전 때문에 성능을 포기하는 회사"라는 이미지를 얻은 직후, 같은 안전 프레임워크를 근거로 강력한 모델을 내놓으면서 프레임워크가 브레이크만이 아니라 액셀 역할도 한다는 걸 보여줬어. 둘째는 데이터야. 자격 심사를 통과한 최고 수준의 보안 연구자들이 이 모델로 무엇을 어떻게 시도하는지, 그 로그는 다음 세대 모델의 사이버 능력 평가에 그대로 쓰여. 셋째는 실적이야. V8 제로데이 2건과 모바일 OS 결함 5건은 "우리 모델이 실제로 찾았다"는, 벤치마크보다 반박하기 어려운 증거야.

구글도 뜻밖의 수혜자야. 크롬 V8은 세계에서 가장 공격 표면이 큰 소프트웨어 중 하나고, 그 취약점 2건이 공격자보다 먼저 발견돼 패치 경로로 들어갔어. 조율된 공개 절차를 밟았다는 점에서 이건 경쟁사끼리도 취약점 앞에서는 협력한다는 업계 규범이 작동한 사례야.

반대편에는 부담을 지는 쪽도 있어. 신원 검증·하드웨어 키·모니터링·법적 진술서를 요구한다는 건, 이 창구를 쓰려는 조직이 상당한 컴플라이언스 절차를 감수해야 한다는 뜻이야. 소규모 보안 스타트업이나 개인 버그바운티 헌터에게는 문턱이 높아. 오픈AI가 패치 더 플래닛으로 오픈소스 메인테이너를 따로 챙기는 이유도 여기에 있을 거야. 문턱을 세우면 문턱 밖에 남는 사람이 생기니까.

능력을 열어준 쪽과 잠가둔 쪽, 과거의 성적표

이중용도 기술을 '자격 심사 후 공개'로 다룬 시도는 처음이 아니야. 그리고 성적은 엇갈렸어.

성공 쪽 사례는 취약점 공개 규범 자체야. 1990년대 후반 보안 업계는 취약점을 공개할 것인가 숨길 것인가를 두고 오래 싸웠어. 결과적으로 정착한 건 '조율된 공개' — 벤더에게 먼저 알리고 일정 기간 뒤 공개하는 절충안이었지. 구글 프로젝트 제로가 90일 시한을 못 박아 운영하면서 이 규범은 업계 표준에 가까워졌고, 그 덕에 지금 오픈AI가 V8 취약점을 구글에 넘기는 절차가 논쟁 없이 굴러가. 규범이 먼저 만들어져 있으면 새 도구가 들어와도 사고가 덜 난다는 사례야.

실패에 가까운 사례도 있어. 침투 테스트 프레임워크 메타스플로이트(Metasploit)는 방어자를 위해 만들어졌지만, 공개된 익스플로잇 모듈은 실제로 공격자들에게도 표준 도구가 됐어. 코발트 스트라이크(Cobalt Strike)는 더 극단적이야. 상용 레드팀 도구로 라이선스를 팔았는데 크랙된 버전이 유출되면서 랜섬웨어 조직이 가장 애용하는 인프라가 됐지. 두 사례의 공통점은 하나야. 도구의 배포를 통제하려 했지만, 통제 지점이 '한 번 내려받으면 끝'이었다는 것.

여기가 데이브레이크의 구조적 차이야. GPT-5.6-Cyber는 다운로드되는 바이너리가 아니라 오픈AI 서버에서만 도는 API야. 계정을 정지시키면 그 순간부터 접근이 끊겨. 크랙 버전이 유출될 수 없고, 사용 로그가 남고, 하드웨어 키로 계정 탈취도 막아. 클로즈드 웨이트 모델의 통제력이 이중용도 기술에서는 오히려 장점으로 작동하는 드문 경우야.

다만 반대 사례도 이미 나와 있어. 메타의 라마 계열이 그랬듯, 오픈웨이트 모델이 충분히 강해지면 이 통제 구조 전체가 우회 가능해져. 오늘 GPT-5.6-Cyber가 95%를 달성한 작업을 2년 뒤 로컬에서 돌아가는 30B 모델이 70%쯤 해낸다면, 신원 검증과 하드웨어 키는 그때부터 의미가 옅어져. 오픈AI가 "창이 좁아진다"고 말한 건 방어자 관점의 표현이지만, 통제 자체의 유효기간에도 똑같이 적용되는 말이야.

경쟁사는 어떻게 받아칠까

앤스로픽은 이미 비슷한 방향으로 움직여 왔어. 클로드를 사이버보안 워크플로에 붙이는 기업 기능을 확장해왔고, 최근에는 추론 훅(inference hooks) 같은 엔터프라이즈 제어 장치를 내놨지. 다만 앤스로픽은 '거부율을 낮춘 전용 모델'을 별도 SKU로 파는 방식에는 오픈AI보다 보수적이었어. 회사의 책임 있는 스케일링 정책(RSP)이 사이버 항목을 다루는 방식상, 완수율 95%짜리 모델을 별도 등급으로 여는 건 내부 승인 절차가 더 무거울 가능성이 커. 앤스로픽이 택할 법한 카운터는 "우리는 방어 자동화로 승부한다" — 즉 익스플로잇 생성이 아니라 코드 리뷰·패치 검증·사고 대응 쪽 성능으로 차별화하는 노선이야.

구글은 입장이 미묘해. 이번에 취약점을 신고받은 당사자이면서, 동시에 제미나이와 프로젝트 제로·빅슬립(Big Sleep) 같은 자체 취약점 탐지 연구를 굴리는 회사거든. 구글이 "우리 모델도 V8에서 제로데이를 찾는다"고 응수하는 건 자연스러운 수순이야. 다만 자사 제품의 취약점을 자사 모델이 찾았다는 발표는 오픈AI가 남의 제품에서 찾은 것만큼의 뉴스 밸류를 갖기 어려워. 이번 건이 오픈AI에게 특히 효과적인 홍보였던 이유가 여기 있어.

전통 보안 벤더 쪽 반응도 봐야 해. 크라우드스트라이크·팔로알토네트웍스 같은 회사들은 이미 자사 플랫폼에 LLM 기반 분석 기능을 붙여왔어. 이들에게 GPT-5.6-Cyber는 위협이자 부품이야. 오픈AI가 모델 레이어를 장악하면 보안 벤더의 차별점은 데이터와 배포망으로 밀려나. 반대로 이 모델을 자사 플랫폼 안에 감싸 파는 게 가장 빠른 대응이기도 해. 실제로 이번 크롤에 함께 잡힌 이노데이터의 'AI 사이버 트레이닝 스위트' 같은 학습 데이터 상품이 나오는 것도 같은 흐름이야 — 모델이 아니라 모델을 먹이는 데이터로 자리를 잡겠다는 거지.

중국 쪽 변수도 있어. 미국 프론티어 랩이 자격 심사로 사이버 능력을 통제하는 동안, 심사 체계 밖에서 학습되는 모델들이 같은 능력에 도달하면 통제의 실효성은 지역별로 갈려. 이건 오픈AI 혼자 풀 수 있는 문제가 아니고, 규제 논의가 붙을 지점이기도 해.

그래서 뭐가 달라지는데

기업 보안 담당자에게는 지금이 판단할 때야. 인가된 방어 업무를 하면서 모델의 거부 반응 때문에 시간을 버려왔다면 데이브레이크 블루는 검토할 만해. 다만 9월 1일부터 하드웨어 보안 키가 의무라는 점, 사용이 모니터링된다는 점, 법적 진술서가 필요하다는 점은 조직 내부 승인 절차에 미리 반영해둬야 해. 신청부터 승인까지의 리드타임을 감안하면 8월 안에 움직이는 게 현실적이야.

개발자에게는 간접적인 영향이 커. V8 취약점 2건이 이미 패치 경로로 들어갔다는 건 크롬·일렉트론·Node.js 계열 스택을 쓴다면 업데이트를 미룰 이유가 하나 더 줄었다는 뜻이야. 그리고 앞으로 AI가 찾아내는 취약점의 절대량이 늘면, 패치 주기가 짧아지고 의존성 업데이트 압박도 커져. "분기에 한 번 올린다"는 관행이 버티기 힘들어지는 방향이야.

일반 이용자에게는 당장 바뀌는 게 없어. 챗GPT에서 해킹 관련 질문을 하면 여전히 거절당해. 오히려 이번 발표의 핵심은 그 거절이 유지된다는 데 있어 — 1.5%라는 숫자가 그 뜻이야. 달라지는 건 우리가 쓰는 브라우저와 OS의 구멍이 조금 더 빨리 메워질 가능성이야.

투자자 관점에서는 보안 소프트웨어 업계의 경쟁 구도가 흔들리는 신호로 읽을 수 있어. 취약점 탐지가 모델 성능의 함수가 되면, 자체 모델이 없는 보안 벤더는 원가 구조와 차별점을 동시에 다시 짜야 해. 다만 오픈AI가 이 시장에서 직접 얼마를 버는지는 공개된 게 없고, 데이브레이크의 가격 정책도 발표되지 않았어. 지금 단계에서 매출로 환산하는 건 이르다는 뜻이야.

정책 쪽에서는 새로운 질문이 하나 열렸어. 프론티어 랩이 스스로 정한 프레임워크에 따라 어떤 능력은 잠그고 어떤 능력은 자격 심사 후 연다면, 그 심사 기준을 검증하는 주체는 누구인가. 오픈AI는 대비 프레임워크 등급과 시스템 카드를 공개하지만, 등급 판정 자체는 회사 내부 절차야. 애스트라를 멈춘 것도, GPT-5.6-Cyber를 연 것도 같은 내부 절차의 결과라는 점을 기억해둘 필요가 있어.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 보안 업무를 안 한다면 직접적인 영향은 없어. 다만 이 모델이 크롬 V8에서 찾은 취약점 2건은 이미 패치 경로에 들어갔으니, 브라우저 업데이트 알림을 미루지 않는 정도가 오늘 할 수 있는 실질적인 대응이야.

— 거부율을 일부러 낮춘 모델을 푸는 게 위험하지 않아? 위험하지 않다고는 못 해. 다만 이 모델은 다운로드되는 게 아니라 오픈AI 서버에서만 돌고, 신원 검증·모니터링·9월부터의 하드웨어 키가 붙어 있어. 유출되면 끝인 과거 도구들과는 통제 구조가 다르다는 게 회사의 방어 논리야. 그 통제가 충분한지는 사고가 나기 전엔 증명되지 않는 종류의 주장이라 단정하긴 일러.

— 애스트라는 멈추고 이건 여는 게 앞뒤가 안 맞는 거 아냐? 오픈AI 기준으로는 등급이 달라. GPT-5.6-Cyber는 대비 프레임워크에서 '높음'이고, 애스트라는 '치명적'에 닿을 가능성이 있다고 회사가 봤어. 다만 그 등급을 매기는 것도 오픈AI 자신이라 외부 검증 장치는 아직 없어.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.