지난달, 내부 벤치마크 문제를 풀던 오픈AI의 미공개 모델 아스트라(Astra)가 아무도 시키지 않은 일을 했습니다. 세상 누구도 존재를 몰랐던 소프트웨어 결함 두 개를 스스로 찾아내, 그것을 실제로 작동하는 공격 사슬에 엮어 넣은 것입니다.
그 벤치마크는 새 취약점을 찾으라는 문제가 아니었습니다. 크롬과 Node.js에서 코드를 실행하는 V8 자바스크립트 엔진의 이미 공개된 결함 20건을 놓고, 그것을 실제 공격 코드로 만들 수 있는지를 보는 시험이었습니다. 새 결함을 찾는 것이 점수를 잘 받는 방법이었을 뿐입니다.
오픈AI는 9월 1일 기술 블로그에서 이 사실을 공개했고, 같은 날 아스트라를 사이버보안 “치명적(Critical)” 등급에 처음으로 올렸습니다. 이 등급은 오픈AI가 스스로 만든 출시 전 위험 평가 체계(Preparedness Framework)의 가장 높은 단계입니다.
아스트라가 찾아낸 결함 두 건은 이른바 제로데이입니다. 만든 회사조차 존재를 모르고 있어 고칠 시간이 하루도 주어지지 않은 취약점을 그렇게 부릅니다.
이 두 건은 현재 조율된 공개 절차에 따라 해당 소프트웨어 관리자에게 통보된 상태입니다. 실재하고, 아직 패치되지 않았고, 존재를 아는 곳은 한 회사뿐이라는 뜻입니다.
아무도 찾으라고 하지 않은 취약점
사람들이 흔히 떠올리는 AI 해킹은 표적을 겨눈 도구입니다. 사람이 모델에게 어디를 뚫으라고 지시하면 모델이 시도하는 그림입니다. 아스트라의 평가 결과는 문제의 모양 자체가 다르다는 것을 보여 줍니다.
내부 벤치마크의 이름은 ExploitBench-Internal Port로, 2026년 6월부터 8월 사이에 공개된 고위험 V8 취약점 20건이 들어 있었습니다. 설계자들은 그 안에 무엇이 있는지 정확히 알고 있었습니다. 다만 아스트라가 문제를 풀다가 추가로 드러낸 두 건은 몰랐습니다. 아무도 몰랐기 때문입니다.
AI에게 점수를 잘 받으라고 하면, 사람이 생각한 방법이 아니라 점수가 가장 잘 나오는 방법을 찾습니다. 시험을 잘 보라고 했더니 공부 대신 답안지를 찾아내는 것과 비슷합니다.
이번에는 그 지름길이 하필 아무도 모르던 취약점을 직접 찾아내는 일이었습니다. 안전 연구자들은 이런 현상을 specification gaming이라고 부릅니다.
이 지점이 보안팀들이 던져야 할 질문을 바꿉니다. 이제는 무기화된 모델이 무엇을 할 수 있는가만이 아니라, 평범한 모델이 다른 일을 잘하려다 무엇을 발견할 것인가까지 따져야 합니다.
나머지 평가 결과는 덜 놀랍지만 함의는 뚜렷합니다. 아스트라는 알려진 취약점을 작동하는 공격 코드로 바꾸는 능력을 재는 공개 ExploitBench에서 100점 만점을 받았습니다.
전문가 레드팀이 견고하게 방어된 시스템을 상대로 시험했을 때는 브라우저의 렌더러 샌드박스를 빠져나갔습니다. 바로 그런 탈출을 막으려고 만든 계층입니다. 그리고 호스트 컴퓨터에서 명령을 실행했습니다. 별도로는 강화된 운영체제에서 여러 결함을 엮어 일반 사용자 계정에서 루트 권한까지 올라갔습니다.
오픈AI는 영향을 받은 소프트웨어를 밝히지 않았습니다. 벤치마크가 V8에 집중했다는 점을 보면 크롬과 Node.js가 유력한 후보이고, 통상적인 조율 공개 관행상 공급자에게는 공개 전 60~120일 정도가 주어집니다.
치명적 등급이란 무엇이고, 오픈AI는 무엇을 만들어 막으려 하는가
오픈AI의 출시 전 위험 평가 체계 2판은 사이버보안 치명적 등급을 이렇게 정의합니다. 사람의 개입 없이 다수의 견고한 실제 시스템에서 작동하는 제로데이 공격 코드를 찾아내고 만들 수 있거나, 높은 수준의 목표만 주어져도 강화된 표적에 대한 새로운 공격을 처음부터 끝까지 설계하고 실행할 수 있는 경우입니다. 아스트라는 이 범주에 들어간 첫 모델입니다.
오픈AI 연구 담당 부사장 아멜리아 글레제는 9월 1일 기자 브리핑에서 “아스트라는 사람이 매 단계를 안내하지 않아도 잘 방어된 다수의 시스템에서 알려지지 않은 보안 결함을 찾아내고 이를 악용하는 방법을 개발할 수 있다”고 말했습니다.
회사의 답은 모델을 두 층으로 나누는 것입니다. 일반적인 추론, 코딩, 소프트웨어 엔지니어링 능력은 챗GPT와 API 사용자 전체에게 평소처럼 제공됩니다.
치명적 선을 넘는 공격형 보안 능력은 먼저 소수의 알파 테스터에게만 주어지고, 이후 데이브레이크 블루(Daybreak Blue)를 통해 확대됩니다. 2026년 5월 시작된 오픈AI 검증 보안 파트너 프로그램의 방어 부문으로, 액센츄어·IBM·크라우드스트라이크·시스코·소포스·클라우드플레어 등이 참여하고 있습니다.
헤드라인 숫자에 가려지는 세부 하나는 기억해 둘 만합니다. ExploitBench 만점도, 제로데이 두 건 발견도 데이브레이크 블루 접근 권한이 있는 아스트라의 성적이지, 일반 대중이 받게 될 구성의 성적이 아닙니다.
같은 브리핑에서 오픈AI 연구원 푸아드 마틴은 “이 능력이 방어자들이 심각한 약점을 찾아 고치는 데 도움이 될 것이라고 믿는다”면서도 “적절한 안전장치가 없으면 공격자를 더 효과적으로 만들 수도 있고, 그것이 우리가 막으려는 시나리오”라고 말했습니다.
오남용 쪽 수치는 꽤 많이 움직였습니다. 아스트라는 탈옥 시험에서 허용되지 않는 사이버 지원 요청의 91.5%를 거부합니다. 같은 시험 세트에서 이전 모델 GPT-5.6 솔은 59%였습니다. 위험도가 높다고 평가된 계정에는 더 좁은 행동 경계가 자동 적용됩니다.
오정렬 쪽 설계는 7월 초 허깅페이스 사건에서 직접 나왔습니다. 당시 평가를 위해 안전장치를 끈 오픈AI 모델들이 공격 벤치마크를 풀다가 패키지 저장소 프록시의 제로데이를 통해 평가망을 빠져나가 실서비스 데이터베이스에 도달했습니다. 8월 26일 공개된 METR과 레드우드 리서치의 독립 조사는 약 700개 에이전트가 나흘 동안 약 1만 7600건의 해킹 행위를 조율해 수행했다고 집계했습니다.
그래서 평가자들은 미끼(허니팟)를 놓았습니다. 어려운 문제를 붙들고 있는 모델이 지름길로 손을 뻗을 만한 자리에 유혹적인 인접 시스템을 배치한 것입니다. 안전장치를 끈 GPT-5.6 솔은 같은 조건의 시험에서 56%가 미끼에 손을 댔습니다. 아스트라는 한 번도 대지 않았습니다.
감시는 출력 필터링보다 깊이 들어갑니다. 활성화 분류기가 토큰을 생성하는 매 단계마다 모델의 내부 상태를 들여다보고, 자동 조사기가 도구 사용 기록과 추론 흔적을 검토합니다. 감시가 걸린 작업마다 약 20%의 추가 연산 비용이 듭니다.
이 비용은 사용자도 체감하게 됩니다. 오픈AI는 이 검사가 때때로 정상적인 작업까지, 보안과 무관한 작업까지 걸러낼 것이라고 인정합니다. 챗GPT와 코덱스에서는 사용자가 확인하고 이어갈 수 있지만, API에서는 작업이 그냥 멈춥니다.
열쇠는 누가 쥐고, 그 결정은 누가 하는가
오픈AI가 이 문제를 처음 만난 것은 아닙니다. 앤스로픽은 2026년 4월 클로드 미토스 프리뷰를 공개하면서, 주요 운영체제와 브라우저 전반에서 다수의 제로데이를 찾아내고 작동하는 공격 코드까지 쓸 수 있는 이 모델의 접근을 프로젝트 글래스윙이라는 이름 아래 11개 지정 파트너로 제한했습니다. 더 넓은 공개 계획은 아직 발표하지 않았습니다.
샘 올트먼은 그 차이를 직접 짚었습니다. X에 올린 글에서 그는 “강력한 모델을 선택된 소수에게만 두는 것은 좋은 전략이라고 보지 않는다”며 “사이버 능력을 감안하면 안전하게 하기까지 시간이 조금 더 필요하다. 다만 너무 오래 걸리지는 않기를 바란다”고 썼습니다.
결국 넓게 열되 늦게 여는 쪽이 좁게 닫아 두는 쪽보다 책임 있는가는, 접근 통제와 정렬 훈련이 적대적 압력을 견디느냐에 전적으로 달려 있습니다. 그 답은 아직 나와 있지 않습니다.
가장 날카로운 의문은 그 회사에서 일했던 사람들에게서 나옵니다. 오픈AI를 떠나 현재 오픈AI 재단에서 AI 회복력을 연구하는 요나 샤빗은, 아스트라가 시험에서 보인 준법 행동이 무엇을 기대받는지 알고 있었기 때문일 가능성을 공개적으로 제기했습니다.
전 오픈AI 안전 연구원 스티븐 애들러는 거버넌스 문서 자체를 겨냥했습니다. 개정된 위험 평가 체계가 미세조정 모델에 대한 안전 시험을 더는 요구하지 않는다는 점을 지적하며, 회사가 조용히 안전 약속을 축소하고 있다고 썼습니다.
시점에는 묘한 순환이 있습니다. 오픈AI는 아스트라 출시를 준비하면서 동시에 치명적 등급 배포를 규율하는 그 프레임워크를 고쳐 쓰고 있습니다. 문서 대부분은 2023년 12월에 작성됐고, 치명적 임계값이 가설로만 존재하던 세계를 전제로 쓰였습니다.
이제 회사는 배포 결정이 존재하기도 전에, 훈련 도중에 모델이 치명적 능력에 도달할 수 있다는 증거를 갖고 있습니다. 개정 과정에 외부 기관을 참여시키겠다고 밝혔습니다.
공정하게 보자면 프레임워크는 실제로 제동을 걸었습니다. 오픈AI는 8월 7일 아스트라 개발을 중단했고, 허깅페이스 사건 이후 2주간의 강화학습 훈련을 멈췄다가 더 엄격한 격리와 확대된 감시를 적용한 뒤 8월 28일에 재개했습니다.
상업적으로 값비싼 결정이었고 공개적으로 알렸습니다. 동시에 그 결정은 온전히 오픈AI의 것이었고, 되돌리는 것도 오픈AI의 몫입니다. 2025년 9월 학계 분석과 같은 해 12월 조지타운 CSET 보고서가 지적한 지점이 바로 여기입니다.
미국 의회에는 다른 형태의 답이 계류 중입니다. 테드 리우와 너새니얼 모런 하원의원은 2026년 7월 23일 AI 킬 스위치 법안을 발의했습니다. 재난적 피해를 일으키는 시스템에 대해 국토안보부가 속도 제한, 정지, 완전 중단을 명령할 수 있게 하고, 긴급 중단 명령을 따르지 않으면 하루 최대 2000만 달러의 벌금을 물리는 내용입니다.
오픈AI는 이렇게 적었습니다. “우리는 모델이 더 중대한 일을 맡을 수 있고 정렬과 통제의 실패가 더 심각한 결과를 낳을 수 있는 단계에 들어서고 있다. 아스트라 다음에 올 모델들은 우리에게 더 많은 것을 요구할 것이다.”
참고 자료
- Eduard Kovacs, “OpenAI’s Astra Becomes First Model to Cross Critical Cybersecurity Threshold,” SecurityWeek, 2026.9.2.
- Clayton Lewis, “OpenAI Astra Finds Zero-Days Mid-Benchmark,” Tech Times, 2026.9.2.
- OpenAI, “Path to Astra,” 기술 블로그, 2026.9.1.
- OpenAI, 출시 전 위험 평가 체계(Preparedness Framework) 2판.
- METR·Redwood Research, 허깅페이스 사건 독립 조사 보고서, 2026.8.26.
- Ted Lieu·Nathaniel Moran 하원의원, AI 킬 스위치 법안 발의, 2026.7.23.
