사이버 요청 응답률 95%로 연 오픈AI, 공격 성공률은 따로입니다

이번 발표에서 바뀐 것은 모델의 성능보다 안전장치를 어디에 두느냐입니다. 오픈AI는 평소 배포에서 사이버 관련 요청을 모델 바깥의 시스템 차원에서 걸러내는데, 이 필터는 오남용을 막는 대신 정당한 방어 작업까지 함께 막습니다. Daybreak는 이 통제를 모델에서 걷어내는 대신, 누가 쓰는지를 오픈AI가 심사하고 계정 단위로 제어하는 쪽으로 옮겼습니다.

Blue는 필터를 걷고 Red는 전용 모델을 엽니다

Daybreak Blue는 GPT-5.6 Sol 같은 범용 모델에 걸린 시스템 차원 필터를 걷어 줍니다. 모델은 그대로 두고 필터만 빠지므로, 취약점 탐색과 보안 코드 검토, 악성코드 분석, 침해 대응, 패치 검증 같은 방어 작업에서 원래 성능을 더 넓게 쓸 수 있습니다. 오픈AI는 대부분의 방어자에게 Blue부터 시작하라고 권했습니다.

Blue로도 풀리지 않는 요청이 있습니다. 운영 중인 시스템을 상대로 한 모의 침투처럼 공격과 방어의 경계가 가까운 작업은 필터를 걷어내도 Sol이 거절합니다. 그 거절을 줄이려고 따로 훈련한 모델이 GPT-5.6-Cyber이고, Daybreak Red가 이 모델을 엽니다. 취약점 연구와 공격 코드 검증, 보안 테스트가 Red의 대상입니다.

1.5%에서 95.0%로 오른 것은 응답률입니다

오픈AI는 응답률을 재는 내부 평가(Advanced Cybersecurity Completion Rate)를 새로 만들었습니다. 위험도가 높은 사이버 요청을 넣었을 때 모델이 거절하지 않고 답변을 끝까지 내놓는 비율입니다.

필터만 걷어낸 Blue는 응답률을 1.5%에서 2.0%로 0.5%포인트 올리는 데 그쳤습니다. 고위험 요청을 거절하는 판단이 필터보다 모델 자체에 들어 있다는 신호입니다. 전용 모델은 직전 세대 GPT-5.5-Cyber의 57.3%보다도 37.7%포인트 높았습니다.

여기서 응답률과 공격 성공률은 다른 값입니다. 95.0%는 거절하지 않은 비율이고, 오픈AI가 이 평가를 만든 목적도 거부가 얼마나 줄었는지 재려는 것이었습니다. 이 숫자를 능력 지표로 읽으면 발표문보다 앞서 나가게 됩니다.

능력 숫자는 한 방향으로만 오르지 않았습니다

실제 사이버 능력은 다른 평가에 나옵니다. 알려진 취약점을 작동하는 공격 코드로 바꾸는 ExploitGym에서는 GPT-5.6-Cyber가 Sol과 GPT-5.5-Cyber를 모두 앞섰습니다. 아직 알려지지 않은 취약점을 찾아 심각도를 매기고 기술 문서를 쓰게 하는 내부 평가에서도 Sol보다 나았습니다.

그런데 저장소를 주고 취약점을 찾아 보고서까지 제출하게 하는 평가에서는 Sol보다 못했습니다. 오픈AI는 GPT-5.6-Cyber가 때때로 더 짧고 덜 상세한 보고서를 내놓기 때문이라고 설명했습니다. 보고서는 사람이 다음 판단을 내리는 재료라서, 여기서 밀리면 발견 자체의 가치가 깎입니다.

가장 어려운 과제에서는 순서가 뒤집혔습니다. ExploitBench는 크롬 자바스크립트 엔진 V8의 취약점 하나를 끝까지 작동하는 공격 코드로 키우는 평가로, 보호 장치가 더 많이 켜져 있고 어떤 취약점을 노려야 하는지 정보도 덜 줍니다. 표준 조건인 300턴에서는 Daybreak Blue로 접근한 범용 Sol이 전용 모델보다 높은 점수를 더 적은 토큰으로 냈고, 600턴까지 늘려야 두 모델의 차이가 좁혀졌습니다. 전용 모델이 범용 모델을 못 이겼다는 결과를 오픈AI가 직접 실은 것입니다.

V8에서 취약점 두 개를 찾아 구글이 패치했습니다

GPT-5.6-Cyber로 V8을 조사해 아무도 모르던 취약점 두 개를 찾아냈습니다. 오픈AI 연구자가 검증한 뒤 조율된 취약점 공개 절차로 구글에 알렸고, 구글이 고치면서 CVE-2026-15903이라는 번호가 붙었습니다. 문제가 생긴 곳은 최적화 컴파일러로, 값을 정수로 바꿀 때 안전 검사를 건너뛴 탓에 메모리가 손상될 수 있는 취약점이었습니다.

다른 대상에서 나온 발견은 아래와 같습니다. 오픈AI는 어떤 제품인지는 밝히지 않고 종류와 건수만 공개했으며, Daybreak 파트너와 오픈소스 커뮤니티와 함께 고치는 중이라고 적었습니다.

먼저 써 본 보안 기업 SpecterOps는 이전 모델이 몇 주 동안 붙잡고도 못 풀던 작업을 GPT-5.6-Cyber가 하루 안에 끝냈다고 밝혔습니다. 찾는 속도가 이만큼 빨라지면 병목은 찾은 것을 처리하는 쪽으로 넘어갑니다. 앤트로픽도 7월 말 자사 사이버 평가 기록을 다시 분석해 모델이 실제 시스템에 닿은 사고 몇 건을 공개했는데, 그 내용은 인터넷이 없다고 적힌 프롬프트로 실제 시스템에 닿은 사례에 정리했습니다.

커널 400건을 받은 팀은 조치 속도에 막힙니다

오픈AI도 발표문에서 취약점 보고서 자체는 조직을 지켜 주지 않는다고 적었습니다. 조직을 지키는 것은 그 약점이 실제로 뚫리는지 검증하고, 위험한 시스템을 골라 우선순위를 매기고, 패치를 배포해 운영에 반영됐는지까지 확인하는 일입니다.

찾는 쪽 단가는 몇 년 사이 크게 내려왔습니다. 국내 보안 운영 사례를 봐도 탐지 리드타임은 90% 넘게 줄었고 건당 분석 비용은 100분의 1 수준까지 내려왔습니다. 반면 검증하고 우선순위를 매기고 패치를 배포하고 운영 반영을 확인하는 과정은 사람의 검토와 결재 속도에 묶여 있습니다.

국내에서 이 불균형이 먼저 걸리는 곳은 정보통신기반보호법을 적용받는 주요정보통신기반시설입니다. 지정된 기관은 정기적으로 취약점 분석과 평가를 받아 그 결과를 보호 대책에 반영해야 하는데, 이 절차는 사람이 검토하고 결재하는 속도로 돌아갑니다. 발견량이 열 배가 되면 보고서가 쌓이는 속도만 열 배가 되고 조치 속도는 그대로여서, 미조치 목록이 길어집니다.

사고를 공개한 지 6일 만에 접근을 넓혔습니다

이 관리 방식으로 바꾸기 앞서 사고가 두 건 있었습니다. 8월 4일 오픈AI는 제3자 평가에서 벌어진 사고를 공개했습니다. 영국 AISI(AI 보안연구소)의 사이버 레인지 평가에서 범위를 벗어난 행동 19건이 확인됐고, 그중 2건이 GPT-5.6 Sol의 행동이었습니다. 나머지는 다른 연구소의 모델이었습니다. 두 사고 모두 모델의 행동을 제한하는 안전장치를 일부러 낮춘 평가 환경에서 나왔고, AISI는 7월 28일 비정상적인 외부 전송을 탐지한 뒤 한 시간 안에 환경을 격리했습니다.

3일 뒤인 8월 7일 오픈AI는 차기 모델 Astra의 사이버 능력이 최고 등급인 Critical에 이를 가능성을 배제할 수 없다고 판단하고, 격리 환경과 네트워크 제한, 가중치 암호화, 전면 감시를 적용하며 요건을 못 갖춘 내부 작업 일부를 멈췄습니다. 이 결정은 출시 전부터 Astra를 첫 Critical 모델로 다룬 조치에서 따로 정리했습니다. 그리고 다시 3일 뒤에 나온 것이 이번 Daybreak 확대입니다.

앞뒤가 안 맞아 보이지만 오픈AI의 등급 체계를 따르면 이렇게 됩니다. 아직 배포하지 않은 모델(Astra)은 묶고, 최고 등급 바로 아래인 High로 이미 판정된 모델은 조건을 붙여 더 많은 방어자에게 넘깁니다. GPT-5.6 Sol도, 이번 GPT-5.6-Cyber도 High 판정을 받았습니다.

통제는 모델에서 계정과 파트너로 옮겨 갔습니다

Daybreak Blue와 Red는 승인받은 개인과 조직에만 열립니다. 조건은 신원 확인, 계정 보안, 사용 감시, 승인된 용도 준수, 법적 서약입니다. 9월 1일부터는 Daybreak를 쓰는 모든 개인 계정이 하드웨어 보안키를 써야 합니다. 계정을 뺏기면 능력도 같이 넘어가니, 자격 심사만으로는 부족하다고 본 것입니다.

실행 단계에서도 한 번 더 막습니다. 오픈AI는 Codex 이용자에게 전체 접근 대신 자동 검토 모드를 권했습니다. 권한이 필요한 동작을 실행하기 전에 검사해 위험한 행동을 막는 기능입니다. 운영 환경과 인터넷에서 분리된 곳에서 모델을 돌리고, 그 격리가 유지되는지 주기적으로 점검하며, 어떤 시스템에서 어떤 행동까지 허용할지 미리 정해 두라는 권고도 함께 나왔습니다.

같은 날 파트너 프로그램도 늘렸습니다. 서비스 쪽에는 액센츄어와 IBM, 캡제미니, 코그니전트, EY, KPMG, PwC가, 기술 쪽에는 팔로알토네트웍스와 크라우드스트라이크, 시스코, 소포스, 아카마이, 포티넷, 클라우드플레어가 들어갔습니다. 모델 접근권이 고객에게 바로 넘어가지는 않습니다. 승인받은 파트너가 모델을 쓰고, 고객은 그들이 파는 보안 서비스로 그 능력을 씁니다. 심사가 한 겹 더 생긴 구조입니다.

오픈웨이트와의 간격은 4~7개월입니다

이 방식이 통하지 않는 곳도 있습니다. 가중치를 통째로 공개하는 오픈웨이트 모델에는 승인 절차가 없고, 파일을 내려받은 사람이 안전장치를 얼마나 유지할지 직접 정합니다. 계정을 정지할 회사도, 신원을 확인할 방법도 없습니다.

영국 AISI는 오픈웨이트와 폐쇄형 프런티어의 사이버 능력 간격을 4~7개월로 쟀습니다. 지난해 내내 6~10개월이던 간격이 더 좁아진 것으로, 이 측정과 오픈웨이트 모델의 사이버 성적은 한 판에 85달러와 1.19달러로 갈린 AISI 평가에서 다뤘습니다. 지난달에는 이미 공개된 오픈웨이트 모델이 보안 평가 도중 격리 환경에서 바깥으로 이어지는 네트워크 경로를 스스로 찾아낸 사례도 나왔습니다.

방어자에게 먼저 강한 능력을 준다는 논리는 방어자가 누구인지 정할 수 있을 때만 성립하고, 지금은 그 판정을 오픈AI 한 회사가 합니다. 오픈AI가 GPT-5.6-Cyber의 시스템 카드를 아직 내지 않아, 심사 기준도 그 기준이 만든 결과도 바깥에서 검증할 수 없습니다. 승인제가 통할지는 4~7개월 안에 드러납니다. 오픈웨이트가 따라오기 전에 방어자에게 능력을 충분히 보급해 대응 속도를 올리면 근거가 생기고, 그러지 못하면 능력 간격은 사라지고 절차만 남습니다.

한국 방어자·기업에 달라지는 것

국내 보안 연구자와 기업이 Daybreak를 쓰려면 신원 확인과 법적 서약을 거쳐 승인을 받아야 하고, 개인 계정은 9월 1일부터 하드웨어 보안키가 필요합니다. 강한 사이버 모델을 바로 받는 대신, 승인받은 국내외 보안 서비스 파트너를 거쳐 그 능력을 쓰는 경로가 더 현실적입니다.

공격 쪽 시간과 비용은 이미 내려가고 있습니다. 패치가 공개된 뒤 작동하는 공격 코드가 나오기까지 며칠 걸리던 시간이 한 시간대로 줄어든 사례가 나왔고, 기업 네트워크를 통째로 훑는 32단계 모의 침투를 100파운드도 안 되는 비용으로 끝낸 평가 결과도 있습니다. 그동안 방어 쪽 병목은 여전히 사람의 검토와 결재 절차라, 국내 기반시설이 준비할 것은 찾는 능력보다 찾은 것을 빠르게 검증하고 반영하는 절차입니다.

읽어 주셔서 고맙습니다.

초이 드림