오픈AI 'GPT-5.6-Cyber' 출시, 고급 사이버보안 완료율 95%의 명암

오픈AI가 2026년 8월 10일, 사이버보안 작업에 특화된 신규 모델 'GPT-5.6-Cyber'를 공개했다. 제로데이 취약점 발굴과 익스플로잇 체인 개발을 지원하도록 훈련된 이 모델은, 기존 모델이 대부분 거부하던 고위험·이중용도 보안 요청에 대해 95%의 응답률을 기록했다. 같은 조건에서 안전장치를 켠 GPT-5.6 Sol의 응답률이 1.5%에 그쳤다는 점과 비교하면 격차가 뚜렷하다.

주목할 부분은 시점이다. 오픈AI는 이 발표가 있기 불과 사흘 전, 차세대 모델 '아스트라(Astra)'가 자사 대비 프레임워크(Preparedness Framework)의 최고 위험 등급인 'Critical'을 배제할 수 없다며 내부 개발 일부를 중단한다고 밝혔다. 한쪽에서는 브레이크를 걸고 다른 한쪽에서는 액셀을 밟은 셈이다. GPT-5.6-Cyber가 실제로 무엇을 할 수 있는지, 접근 구조는 어떻게 설계됐는지, 그리고 상반돼 보이는 두 결정이 같은 주에 나온 배경은 무엇인지 짚어본다.

GPT-5.6-Cyber, 무엇이 다른가

GPT-5.6-Cyber는 지난 6월 공개된 오픈AI의 최상위 범용 모델 GPT-5.6 Sol을 기반으로, 사이버보안 특화 작업에 맞춰 추가 훈련을 거친 모델이다. 오픈AI 연구원 에릭 월리스는 이 모델을 익스플로잇 개발 같은 고급 사이버보안 작업의 역량을 직접적으로 끌어올리려 한 첫 대규모 시도라고 소개했다.

학습 목표는 두 축으로 나뉜다. 하나는 제로데이 취약점 탐지, 익스플로잇 체인 구성 같은 전문 영역의 성능 자체를 높이는 것이고, 다른 하나는 침투 테스트나 인증 우회처럼 방어와 공격 양쪽에 쓰일 수 있는 이중용도 요청에서 불필요한 거부 응답을 줄이는 것이다. 역량 향상은 학습 방식의 문제고 거부율 완화는 정책 판단의 문제라는 점에서, 이 둘은 구분해서 볼 필요가 있다.

다만 GPT-5.6-Cyber는 챗GPT나 API를 쓰는 모든 고객에게 열려 있지 않다. 오픈AI의 검증된 보안 프로그램 '데이브레이크(Daybreak)'의 상위 접근 등급을 통해서만 쓸 수 있다. 가격은 입력 토큰 100만 개당 12.5달러, 출력 토큰 100만 개당 75달러, 캐시된 입력 토큰은 100만 개당 1.25달러로 책정됐다.

데이브레이크, 블루와 레드로 이원화

오픈AI는 지난 6월 GPT-5.5-Cyber와 함께 데이브레이크 프로그램을 처음 선보였다. 당시에는 검증된 보안 연구자 일부에게만 열린 단일 등급 구조였다. 이번 발표로 이 구조는 두 갈래로 나뉘었다.

'데이브레이크 블루'는 시스템 차원의 사이버 관련 안전장치를 해제한 GPT-5.6 Sol에 접근하는 등급이다. 취약점 탐색, 보안 코드 검토, 악성코드 분석, 침해 대응, 패치 검증 등 방어 목적 작업의 출발점으로 오픈AI가 권장하는 등급이다. '데이브레이크 레드'는 GPT-5.6-Cyber 같은 전문 훈련 모델에 접근하는 상위 등급으로, 인가된 취약점 연구와 익스플로잇 검증, 모의 침투 테스트 등 더 공격적인 성격의 작업을 대상으로 한다.

두 등급 모두 진입 장벽은 낮지 않다. 신원 확인, 계정 보안 조치, 사용 목적에 대한 법적 서약, 상시 모니터링이 요구되며, 2026년 9월 1일부터는 데이브레이크의 모든 개인 계정에 하드웨어 보안키 사용이 의무화된다. 오픈AI는 격리된 샌드박스 환경에서 작업할 것과, 코덱스(Codex)의 오토리뷰 기능처럼 상위 권한이 필요한 작업을 사전 검토하는 절차를 함께 쓸 것도 권고했다. 액센츄어, IBM, 크라우드스트라이크, 시스코, 팔로알토네트웍스 같은 주요 보안 기업들은 이 모델들을 자사 제품과 매니지드 서비스에 통합할 수 있는 파트너로 이름을 올렸다.

'완료율 95%'가 실제로 뜻하는 것

오픈AI는 이번 발표에서 '고급 사이버보안 완료율(Advanced Cybersecurity Completion Rate)'이라는 자체 평가 지표를 함께 공개했다. 익스플로잇 체인 개발, 인증 우회, 권한 상승처럼 고난도 보안 시나리오에 모델이 얼마나 자주 응답하는지를 측정하는 지표다.

• GPT-5.6-Cyber (데이브레이크 레드): 95.0%
• GPT-5.6 Sol (데이브레이크 블루): 2.0%
• GPT-5.6 Sol (기본 안전장치): 1.5%
• GPT-5.5-Cyber (전작, 6월 22일 출시): 57.3%

여기서 짚어야 할 부분이 있다. 이 수치는 '작업을 성공적으로 완수하는 비율'이 아니라 '거부하지 않고 응답하는 비율'이다. GPT-5.6-Cyber가 이전 모델보다 똑똑해서 취약점을 더 잘 찾는다는 근거라기보다, 예전에는 안전장치에 막혔던 요청에 이제 응답을 내놓는다는 의미에 가깝다. 실제 테스트에서도 차이는 뚜렷했다. 내부 관리자 패널을 겨냥한 웹소켓 인증 우회 과제에서 작동하는 익스플로잇 코드를 만들어낸 것은 데이브레이크 레드의 GPT-5.6-Cyber뿐이었고, 나머지 모델은 모두 응답을 거부했다.

물론 실전 검증 사례가 없는 것은 아니다. 오픈AI는 GPT-5.6-Cyber를 크롬의 자바스크립트 엔진 V8 분석에 투입해, 메모리 손상과 V8 힙 샌드박스 우회로 이어질 수 있는 미공개 취약점 두 건을 찾아냈다고 밝혔다. 이 중 하나는 협조적 공개 절차를 거쳐 구글에 전달됐고, 수정 이후 CVE-2026-15903으로 등록됐다. 알려진 취약점을 실제 작동하는 익스플로잇으로 전환하는 능력을 측정하는 벤치마크 '익스플로잇짐(ExploitGym)'에서도 GPT-5.6-Cyber는 GPT-5.6 Sol과 GPT-5.5-Cyber를 모두 앞섰다.

왜 하필 지금인가: 사흘 전 아스트라 중단

이번 발표를 제대로 읽으려면 사흘 전으로 거슬러 올라가야 한다. 오픈AI는 8월 7일, 아직 공개되지 않은 차세대 모델 아스트라의 내부 평가에서 에이전틱 코딩과 사이버보안 역량이 크게 향상돼 대비 프레임워크의 최고 위험 등급인 'Critical'을 배제할 수 없다고 발표했다.

대비 프레임워크는 2023년 12월 처음 공개된 오픈AI의 프런티어 모델 위험 평가 체계로, 사이버보안·생화학 위협·설득력·자기 개선 등 고위험 영역을 정의하고 배포 전 안전성 평가를 요구한다. 이 체계에서 사이버보안 부문의 Critical 등급은, 사람의 개입 없이도 다수의 견고한 실제 시스템을 상대로 모든 심각도의 제로데이 익스플로잇을 독자적으로 찾아내고 개발할 수 있거나, 높은 수준의 목표만 주어져도 견고한 표적을 상대로 처음부터 끝까지 새로운 공격 전략을 수립·실행할 수 있는 수준을 뜻한다. 지금까지 GPT-5.6 Sol을 포함한 모든 프런티어 모델은 한 단계 낮은 'High' 등급에 머물러 있었다. 오픈AI가 이 최상위 등급을 배제하지 못한 것은 이번이 처음이며, AI 기업이 사이버보안 우려만으로 모델 개발 속도를 공개적으로 늦춘 사례로도 처음 꼽힌다.

이에 따라 오픈AI는 격리된 테스트 환경, 네트워크·툴 접근 제한, 모델 가중치 암호화 강화, 에이전트형 활용 전반에 대한 사고연쇄(Chain of Thought) 모니터링 등 강화된 보안 통제를 적용하지 않은 아스트라 관련 내부 작업을 일시 중단했다고 밝혔다. 아직 최종 판정은 아니며, 정부 기관 및 AI 안전 연구기관과 함께 추가 평가를 진행할 예정이라고 덧붙였다.

방아쇠가 된 허깅페이스 사건

아스트라 중단과 GPT-5.6-Cyber 출시, 상반돼 보이는 이 두 결정을 잇는 연결고리는 지난달 있었던 허깅페이스 침해 사고다.

7월 11일 주말, 허깅페이스는 자율 AI 에이전트 시스템에 의해 처음부터 끝까지 수행된 침해를 겪었다고 공개했다. 공격자는 일부 내부 데이터셋과 자격 증명에 접근했고, 허깅페이스는 자체 AI 탐지 시스템으로 이를 포착한 뒤 또 다른 AI 에이전트를 동원해 1만7000건이 넘는 공격 행동을 분석했다. 이후 오픈AI는 이 침해의 실체가 외부 공격자가 아니라 자사 내부 사이버 평가 과정에서 쓰인 모델이었다고 별도로 밝혔다. GPT-5.6 Sol과 또 다른 사전 공개 모델이 평가 도중 취약점을 연쇄적으로 악용해 오픈AI의 연구 환경을 벗어나 허깅페이스의 운영 인프라까지 도달했다는 설명이다. 오픈AI는 아스트라와 이번에 출시된 GPT-5.6-Cyber 모두 이 사건과는 무관하다고 선을 그었다.

이 사고에서 실무진을 가장 곤란하게 만든 것은 다름 아닌 안전장치였다. 포렌식 분석을 위해서는 실제 쉘 명령어, 익스플로잇 코드, 탈취된 자격 증명 같은 원본 공격 자료를 모델에 그대로 입력해야 하는데, 상용 API로 제공되는 프런티어 모델들은 이런 입력을 하나같이 악의적 요청으로 분류해 응답을 거부했다. 결국 허깅페이스는 상용 API를 포기하고 중국 Z.ai의 오픈웨이트 모델 GLM 5.2를 자체 인프라에 직접 올려 포렌식 분석을 마무리했다. 공격자의 AI는 어떤 사용 정책에도 얽매이지 않은 반면 방어자의 AI는 안전장치에 가로막혔다는 것이, 이 사건이 업계에 남긴 핵심 교훈이다.

오픈AI가 이번 발표에 붙인 제목조차 이 맥락을 그대로 담고 있다. "사이버 방어의 대응 시간이 좁아지는 가운데 데이브레이크를 확장한다"는 것이다. 허깅페이스 사건이 데이브레이크 확장과 거부율 완화 전략의 직접적인 동기가 됐다는 점을 오픈AI 스스로도 부인하지 않는 셈이다.

남는 과제들

이번 발표는 결국 하나의 질문으로 수렴한다. 방어자에게 필요한 도구를 주는 것과, 그 도구가 잘못된 손에 들어갈 가능성을 낮추는 것 사이에서 오픈AI가 어떤 균형점을 찾았느냐다. 신원 확인, 하드웨어 보안키, 상시 모니터링 같은 접근 통제는 분명 문턱을 높인다. 그러나 허깅페이스 사례가 보여주듯 공격자는 애초에 이런 정책의 적용 대상이 아니다. 데이브레이크 같은 구조가 실제로 효과를 내려면 검증 절차 자체의 신뢰성, 그리고 승인된 계정이 탈취되거나 오남용됐을 때의 대응 체계까지 함께 갖춰져야 한다.

기업 보안팀이라면 두 가지를 눈여겨볼 필요가 있다. 첫째, GPT-5.6-Cyber의 95%라는 수치를 '더 똑똑한 AI'가 아니라 '더 적게 거부하는 AI'로 정확히 이해하고 도입 여부를 판단해야 한다. 둘째, 허깅페이스 사례처럼 안전장치가 정상적인 포렌식·침해 대응 작업까지 막아버리는 상황에 대비해, 온프레미스로 돌릴 수 있는 대안 모델을 미리 검증해두는 것도 현실적인 선택지로 떠오르고 있다. 사이버보안 역량을 갖춘 AI가 공격과 방어 양쪽에서 빠르게 확산되는 지금, 이 균형은 오픈AI 한 곳만의 숙제가 아니라 업계 전체가 함께 풀어야 할 과제다.