오픈AI가 스스로 취약점을 찾는 모델을 냈습니다 — GPT-6 아스트라와 첫 크리티컬 판정
보안 연구자가 몇 달을 들여다봐야 찾아내던 취약점을, 이제 모델이 혼자 찾아냅니다. 그리고 그 취약점을 실제로 뚫는 코드까지 스스로 만들어 냅니다.
오픈AI가 2026년 9월 3일 새 최상위 모델 GPT-6 아스트라를 공개했어요. 그런데 이번 발표에서 성능 수치보다 먼저 눈에 들어오는 것은 회사가 스스로 붙인 딱지입니다. 자사 안전 기준에서 사이버보안 능력이 처음으로 크리티컬 등급에 도달했다는 것이었어요.
성능이 좋아졌다는 이야기는 늘 있었습니다. 하지만 너무 잘해서 그대로 풀 수 없다는 이야기는 처음입니다. 오늘은 이 모델이 실제로 무엇을 할 수 있고, 오픈AI가 무엇을 막아 뒀으며, 그것이 우리에게 어떤 의미인지 차근차근 짚어 볼게요.
어젯밤 오픈AI가 넘은 선
오픈AI에는 프리페어드니스 프레임워크라는 자체 안전 기준이 있습니다. 모델의 위험 능력을 몇 개 영역으로 나눠 등급을 매기는 체계예요. 사이버보안도 그중 하나입니다.
이 체계에서 가장 높은 단계가 크리티컬입니다. 그동안 어떤 모델도 여기에 도달한 적이 없었어요. GPT-6 아스트라가 처음입니다.
등급이 올라갔다는 것은 단순한 자랑이 아닙니다. 오픈AI 스스로 만든 규칙에 따르면, 크리티컬에 도달한 모델은 추가 배포 제한을 걸어야 합니다. 능력을 발표하면서 동시에 그 능력을 잠가야 하는 상황이 된 거예요.
GPT-6 아스트라, 무엇이 나왔나
GPT-6 아스트라는 오픈AI의 새 최상위 모델입니다. 전작인 GPT-5.6 쏠의 다음 자리를 잇습니다.
챗GPT 플러스·프로·비즈니스·엔터프라이즈 이용자에게 순차적으로 열리고, 개발자는 API에서 gpt-6-astra 라는 이름으로 부를 수 있어요. 아마존 베드록을 통해서도 쓸 수 있습니다.
다만 처음에는 제한된 조직에만 열렸고, 기업 워크스페이스에서는 관리자가 직접 켜야 보입니다. 기본값이 꺼짐이에요. 이 부분은 뒤에서 다시 다룰게요.
크리티컬이라는 등급이 뜻하는 것
크리티컬은 이 능력이 잘못 쓰이면 심각한 피해로 이어질 수 있다고 회사가 판단한 단계입니다.
사이버보안 영역에서 이 판정을 받았다는 것은, 모델이 적절한 도구와 접근 권한만 주어지면 잘 방어된 시스템에서도 알려지지 않은 결함을 찾아내고 그것을 뚫는 새로운 방법을 만들어 낼 수 있다는 뜻이에요.
중요한 것은 사람이 단계마다 지시하지 않아도 그렇게 한다는 점입니다. 사람이 붙어서 하나하나 알려 주는 도구와, 목표만 주면 알아서 끝까지 가는 도구는 성격이 완전히 다릅니다.
프리페어드니스 프레임워크를 다시 봅니다
프리페어드니스 프레임워크는 오픈AI가 모델의 위험 능력을 사전에 재고 그에 맞는 방어책을 붙이겠다고 만든 내부 절차입니다.
이 체계의 취지는 위험한 능력이 생긴 뒤에 대응하지 말고 생기기 전에 기준을 정해 두자는 것이었어요. 이번 발표는 그 기준이 실제로 발동한 첫 사례입니다.
기준을 미리 세워 둔 덕에 회사가 자기 발표에 스스로 제동을 걸 수 있었다는 점은 평가할 만합니다. 동시에, 그 기준을 만든 곳과 판정하는 곳이 같은 회사라는 점은 계속 지적받는 부분이기도 해요.
익스플로잇벤치 100퍼센트라는 숫자
오픈AI는 아스트라를 실제 배포용 안전장치를 뗀 상태로 시험했습니다. 능력의 상한을 보려면 방어막을 벗겨야 하니까요.
그 상태에서 익스플로잇벤치라는 평가에서 100퍼센트를 기록했습니다. 전작 GPT-5.6 쏠은 78.5퍼센트였어요.
100퍼센트는 그 평가가 더 이상 이 모델을 변별하지 못한다는 뜻이기도 합니다. 시험 문제가 모자라진 거예요. 이런 상태를 흔히 벤치마크가 포화됐다고 표현합니다.
V8 제로데이 두 건을 스스로 찾았습니다
벤치마크 점수보다 무거운 것은 이 대목입니다. 시험 과정에서 아스트라가 그때까지 알려지지 않은 V8 취약점 두 건을 찾아냈어요.
V8은 구글 크롬과 여러 자바스크립트 환경이 쓰는 엔진입니다. 전 세계에서 가장 많이 쓰이고, 그만큼 가장 많은 사람이 들여다본 코드예요.
그렇게 오래 검증된 코드에서 새 결함이 나왔다는 것은, 모델이 사람이 놓친 자리를 실제로 짚어 낼 수 있다는 증거입니다. 점수가 아니라 산출물로 증명된 셈이에요.
익스플로잇짐과 SRE-벤치 성적
익스플로잇짐이라는 다른 평가에서는 42.4퍼센트를 기록했습니다. 전작 쏠은 30.3퍼센트였어요.
바이너리를 거꾸로 뜯어 분석하는 SRE-벤치에서는 한 번의 시도로 88.0퍼센트를 냈습니다.
익스플로잇벤치처럼 만점은 아니지만, 이쪽이 오히려 현실에 가깝습니다. 난도가 남아 있는 평가에서도 전작 대비 큰 폭으로 올라섰다는 점이 이번 세대의 실제 변화예요.
전작 GPT-5.6 쏠과 무엇이 달라졌나
수치만 나란히 놓으면 이렇습니다. 익스플로잇벤치 78.5에서 100으로, 익스플로잇짐 30.3에서 42.4로 올랐어요.
안전 쪽 지표도 함께 올랐습니다. 사이버 관련 탈옥 시도를 거부하는 비율이 쏠의 59퍼센트에서 91.5퍼센트로 뛰었어요.
능력과 거부율이 함께 오른 것은 좋은 신호입니다. 다만 능력의 상승 폭이 훨씬 크다는 점은 짚어 둘 필요가 있어요. 남은 8.5퍼센트가 무엇이냐가 결국 문제가 됩니다.
프론티어매스와 ARC-AGI-3 점수
보안 말고 다른 영역도 크게 움직였습니다. 최상위 난도 수학 평가인 프론티어매스 티어 4에서 97.6퍼센트를 기록했어요.
추상 추론을 보는 ARC-AGI-3에서는 오픈AI 자체 어댑터 환경 기준으로 99.9퍼센트가 나왔습니다.
두 평가 모두 사실상 포화 상태입니다. 다만 ARC-AGI-3 점수는 오픈AI가 직접 구성한 실행 환경에서 나온 값이라, 제3자가 같은 조건에서 재현하기 전까지는 조심해서 읽는 편이 좋아요.
100만 토큰을 넘긴 컨텍스트 창
아스트라의 컨텍스트 창은 105만 토큰입니다. 한 번에 넣고 다룰 수 있는 분량이 그만큼이라는 뜻이에요.
코드베이스 전체, 긴 문서 묶음, 수백 페이지 분량의 자료를 통째로 올려 놓고 물어볼 수 있는 규모입니다.
보안 문맥에서는 이 크기가 특히 중요합니다. 취약점은 함수 하나만 봐서는 안 보이고, 여러 파일에 흩어진 조건이 맞물릴 때 드러나는 경우가 많거든요. 전체를 한 번에 볼 수 있으면 찾아낼 수 있는 것의 성격 자체가 달라집니다.
가격표 — 100만 토큰당 10달러와 50달러
API 표준 가격은 입력 100만 토큰당 10달러, 출력 100만 토큰당 50달러입니다.
최상위 모델치고 파격적으로 싸지도, 접근이 막힐 만큼 비싸지도 않은 수준이에요. 같은 시기에 나온 클로드 페이블 5.1도 10달러와 50달러로 같은 자리에 있습니다.
프런티어 모델의 가격대가 이 부근에서 굳어지고 있다는 뜻으로 읽힙니다. 성능 경쟁은 계속되지만 값으로는 서로를 크게 벌리지 못하는 국면이에요.
패스트 모드와 캐시 요금
표준 속도 말고 패스트 모드가 따로 있습니다. 최대 2.5배 빠르게 돌아가고 값은 2배입니다.
속도가 2.5배인데 값이 2배면 단위 시간당으로는 오히려 유리한 구간이 생깁니다. 응답 지연이 비용보다 중요한 작업이라면 계산해 볼 만해요.
캐시 요금도 따로 책정돼 있습니다. 같은 앞부분을 반복해서 보내는 작업이라면 이쪽이 실제 청구서를 크게 좌우합니다.
어디서 쓸 수 있나 — 챗GPT·API·AWS
챗GPT 쪽에서는 플러스·프로·비즈니스·엔터프라이즈 요금제에 순차적으로 열립니다.
개발자는 오픈AI API에서 gpt-6-astra 로 부르거나, 아마존 베드록을 통해 접근할 수 있어요.
한 회사의 최상위 모델이 경쟁사 클라우드에서도 바로 열린다는 점은 몇 해 전이라면 상상하기 어려웠던 그림입니다. 모델을 파는 쪽과 인프라를 파는 쪽의 경계가 계속 흐려지고 있어요.
기업 관리자가 직접 켜야 합니다
엔터프라이즈 워크스페이스에서 아스트라는 기본적으로 꺼져 있습니다. 관리자가 명시적으로 켜야 구성원에게 보여요.
이건 실수가 아니라 의도된 설계입니다. 크리티컬 등급 모델을 조직 전체에 자동으로 밀어 넣지 않겠다는 것이죠.
조직 입장에서는 도입 전에 한 번 멈춰 서서 판단할 기회가 생깁니다. 반대로 말하면, 켜는 순간의 책임이 조직에 넘어온다는 뜻이기도 해요.
오픈AI가 막아 둔 기능
공개된 아스트라는 방어 쪽 작업에 한정돼 있습니다. 안전한 코드 리뷰, 결함 점검, 패치 작성 같은 일이에요.
반대로 개념증명 익스플로잇을 만들어 달라는 요청은 거부합니다. 능력이 있는데 쓰지 못하게 막아 둔 상태예요.
기술적으로 완벽한 차단은 없습니다. 거부율 91.5퍼센트가 말해 주듯 뚫리는 경로가 남아 있어요. 그래서 이 제한은 불가능하게 만드는 장치가 아니라 비용을 크게 올리는 장치로 보는 편이 정확합니다.
데이브레이크 프로그램과 신뢰 접근
막아 둔 기능을 영원히 막아 두는 것은 아닙니다. 오픈AI는 신뢰할 수 있는 이용자에게 단계적으로 여는 경로를 함께 발표했어요.
초기에는 소수의 알파 테스터에게만 열리고, 이후 데이브레이크 블루라는 통로를 통해 방어 목적 이용으로 확대됩니다.
결국 누가 신뢰할 만한가를 오픈AI가 정하는 구조입니다. 방어자를 도우려면 필요한 절차이지만, 한 회사가 공격 능력의 접근권을 배분하는 위치에 서게 된다는 점은 새로운 문제예요.
탈옥 거부율 91.5퍼센트가 말하는 것
사이버 관련 탈옥 평가에서 아스트라는 요청의 91.5퍼센트를 거부했습니다. 전작 쏠은 59퍼센트였어요.
큰 개선입니다. 동시에 열 번 중 한 번 가까이는 통과한다는 뜻이기도 합니다.
평범한 서비스라면 91.5퍼센트는 훌륭한 숫자예요. 하지만 상대가 수천 번을 시도할 수 있는 공격자라면, 남은 8.5퍼센트는 결국 열린 문과 같습니다. 보안에서 확률은 이렇게 비대칭적으로 읽어야 해요.
체크포인트 암호화와 전 궤적 모니터링
오픈AI는 모델 자체 말고 모델을 둘러싼 환경도 함께 조였습니다.
모델 가중치 체크포인트를 암호화하고 접근 통제를 강화했어요. 내부 개발 환경도 더 강하게 격리했습니다.
실행 중에는 전체 궤적을 감시합니다. 최종 답변만이 아니라 생각의 사슬까지 들여다본다는 뜻이에요. 다만 오픈AI 자체 평가에서도 적대적 조건에서는 이 감시를 회피할 여지가 확인됐습니다.
10만 장의 GPU와 스타게이트
아스트라는 오픈AI 역사상 가장 큰 학습이었습니다. 텍사스 스타게이트 부지에서 10만 장이 넘는 GPU가 동원됐어요.
이 정도 규모는 이제 기술의 문제만이 아닙니다. 전력, 냉각, 부지, 인허가가 모두 함께 걸리는 사회 기반시설의 문제입니다.
프런티어 모델을 만들 수 있는 주체가 몇 곳으로 좁혀지는 이유도 여기에 있어요. 알고리즘을 안다고 만들 수 있는 것이 아니라, 발전소 규모의 전력을 조달할 수 있어야 만들 수 있는 것이 됐습니다.
이전 모델이 다음 모델을 가르쳤습니다
이번 발표에서 조용히 지나가지만 무거운 대목이 하나 더 있습니다. 아스트라는 오픈AI의 기존 모델들이 새 모델의 학습을 감독한 첫 사례예요.
사람이 일일이 평가하고 교정하던 자리에 앞 세대 모델이 들어간 것입니다.
속도는 크게 올라갑니다. 사람의 검토 처리량이 병목이 아니게 되니까요. 대신 앞 세대가 가진 편향과 사각지대가 다음 세대에 그대로 물려질 위험도 함께 커집니다. 사람이 어디에서 확인하는가가 앞으로 더 중요한 질문이 될 거예요.
실제 사례 — 방어하는 쪽에 생기는 일
규모가 작은 서비스 운영자를 떠올려 볼게요. 지금까지 코드 감사는 사람 손이 많이 드는 일이라 비용 때문에 미뤄지기 일쑤였습니다.
아스트라 같은 모델을 방어 용도로 붙이면, 배포 전에 코드베이스 전체를 훑고 의심스러운 지점을 짚어 내는 작업을 상시로 돌릴 수 있게 됩니다. 105만 토큰 창은 이런 용도에 특히 잘 맞아요.
1인 개발자나 소규모 팀에게는 실제로 큰 변화입니다. 전에는 살 수 없던 수준의 검토를 이제 계산해 볼 수 있는 값에 붙일 수 있게 됐거든요.
실제 사례 — 공격하는 쪽에 생기는 일
같은 능력이 반대쪽에도 그대로 열립니다. 이것이 이번 발표의 핵심 긴장이에요.
지금까지 새 취약점을 찾아 무기화하는 일에는 높은 숙련이 필요했습니다. 그 숙련이 진입 장벽 역할을 했어요.
모델이 그 일을 대신하면 장벽이 낮아집니다. 오픈AI가 막아 둔 것은 자사 모델뿐이고, 같은 수준의 능력이 다른 경로로 열리는 것까지 막지는 못합니다. 방어자가 얻는 시간보다 공격자가 얻는 시간이 더 짧을 수 있다는 점이 우려의 본질이에요.
이중용도라는 오래된 문제
찾아내는 능력과 뚫는 능력은 같은 능력입니다. 나누어 팔 수 있는 물건이 아니에요.
이런 성격을 이중용도라고 부릅니다. 암호학, 생명과학, 항공에서 오래 다뤄 온 문제이고, 어느 분야에서도 깔끔하게 풀린 적이 없습니다.
이번에는 그 문제가 소프트웨어의 속도로 도착했다는 점이 다릅니다. 기존 분야에서는 물질과 장비가 확산을 늦춰 줬지만, 모델은 복제 비용이 사실상 0이에요.
브록만의 AGI 시대 발언을 어떻게 볼까
그렉 브록만은 기자들에게 지금을 AGI 시대로 느끼는 것이 무리한 일은 아니라는 취지로 말했습니다.
이런 발언은 늘 조심해서 읽어야 합니다. 벤치마크 포화는 모델이 뛰어나졌다는 뜻이면서, 동시에 우리가 재는 자가 낡았다는 뜻이기도 하거든요.
다만 이번에는 시험 점수만 있는 것이 아니라 실제 산출물이 있습니다. V8에서 새 취약점 두 건을 찾아낸 것은 시험이 아니라 결과예요. 이름을 무엇으로 부르든, 능력의 성격이 달라진 지점은 분명히 있습니다.
핵심 정리
오픈AI가 9월 3일 GPT-6 아스트라를 공개했고, 자사 기준에서 사이버보안 능력이 처음으로 크리티컬 등급에 도달했습니다.
안전장치를 뗀 시험에서 익스플로잇벤치 100퍼센트, 익스플로잇짐 42.4퍼센트, SRE-벤치 88.0퍼센트를 기록했고, 알려지지 않은 V8 취약점 두 건을 스스로 찾아냈어요.
공개판은 방어 작업에만 쓸 수 있게 제한됐고, 공격 관련 기능은 데이브레이크 프로그램을 통해 신뢰 이용자에게만 단계적으로 열립니다. 기업에서는 관리자가 직접 켜야 보입니다.
가격은 100만 토큰당 입력 10달러·출력 50달러, 컨텍스트 창은 105만 토큰, 학습에는 스타게이트에서 10만 장이 넘는 GPU가 쓰였습니다.
평가할 점은 회사가 스스로 만든 기준에 스스로 걸렸다는 것이고, 남는 문제는 그 기준을 만들고 판정하는 곳이 같다는 것, 그리고 같은 능력이 다른 경로로도 열린다는 것입니다.
참고하실 만한 것
보안이 걸린 코드를 다루신다면, 이번 소식을 도구 도입 검토가 아니라 점검 시점으로 삼으시는 편이 낫습니다. 우리 쪽 코드에서 지금 가장 오래 손대지 않은 자리가 어디인지 확인해 두는 일이 먼저예요.
기업 워크스페이스를 운영하신다면 관리자 설정에서 아스트라가 꺼져 있는지 확인해 보세요. 기본값이 꺼짐이라 저절로 켜지지는 않지만, 켤 때 무엇을 함께 정할지는 미리 생각해 두는 편이 좋습니다.
SVIL 블로그에서는 이런 프런티어 모델 소식을 큰 글씨와 쉬운 설명으로 계속 정리하고 있어요. 저시력 이용자도 부담 없이 읽으실 수 있도록 쓰고 있습니다.
출처
- OpenAI launches GPT-6 Astra, its first model to cross a critical cybersecurity threshold — CSO Online
- Safety overview: GPT-6 Astra — OpenAI
- Path to Astra: critical capabilities and frontier safeguards — OpenAI
- OpenAI debuts GPT-6 Astra, says it triggered security measures — NBC News
- OpenAI releases new model GPT-6 Astra, says it may represent AGI — Axios
- OpenAI announces rollout of GPT-6 Astra model — CNBC
- GPT-6 Astra Scores 100% on ExploitBench as OpenAI Blocks PoC Exploit Requests — The Hacker News
- GPT-6 Astra API Pricing, Context Window & Benchmarks — LLM Stats
- OpenAI GPT-6 Astra Discovers Zero-Day Flaws and Builds Working Exploits in Cyber Tests — Cyber Security News
협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://svil.dev/