오픈AI, 사이버보안 AI 'GPT-5.6 사이버' 공개…제로데이 취약점도 발견

핵심요약

기사 핵심 요약

오픈AI가 고도의 방어 임무 수행에 특화된 사이버보안 AI 'GPT-5.6 사이버'를 발표했다. 이 모델은 실제 시스템에서 제로데이 취약점을 발견하는 등 강력한 성능을 보였으며, '데이브레이크' 프로그램을 통해 승인된 전문가에게만 제한적으로 공급하여 기술 오남용을 방지하고 보안 생태계를 강화하는 것을 목표로 한다.

• 오픈AI, 사이버보안 특화 고성능 AI 모델 'GPT-5.6 사이버' 출시.
• 실제 시스템 분석 중 구글 크롬의 미공개 '제로데이 취약점' 2건 발견.
• '데이브레이크' 프로그램을 통해 승인된 기관에만 공급하며 기술 오남용 방지.

오픈AI, 사이버보안 특화 AI 모델 'GPT-5.6 사이버' 공개

오픈AI가 알려지지 않은 보안 취약점을 연구하고 실제 공격 코드를 검증하는 등 고도의 방어 임무에 특화된 사이버보안 전용 인공지능 모델 ‘GPT-5.6 사이버’를 2026년 8월 11일 발표했다. 이 모델은 기존 범용 AI를 넘어 사이버 공격과 방어의 복잡한 맥락을 깊이 있게 이해하고 대응하도록 설계됐다. 알려진 위협을 탐지하는 수준을 넘어 잠재적 위협을 예측하고 선제적으로 방어 전략을 수립하는 데 초점을 맞춘다.

GPT-5.6 사이버는 취약점 연구, 익스플로잇(취약점 악용) 검증, 모의 해킹 등 전문 영역에서 인간 전문가의 역량을 보조하고 증강하는 것을 목표로 한다. 익스플로잇은 시스템의 보안 취약점을 이용해 공격자가 의도한 동작을 실행시키는 코드나 기술을 말한다. 오픈AI는 이 모델이 보안 전문가의 반복 작업을 자동화하고 분석 시간을 단축해 더 창의적이고 전략적인 업무에 집중하도록 도울 것이라고 밝혔다. 신형 모델 출시와 함께 AI 기술 오남용을 막기 위한 통제 장치 '데이브레이크' 프로그램도 가동한다.

취약점 분석부터 공격 코드 검증까지…압도적 성능

GPT-5.6 사이버는 방대한 보안 데이터를 학습해, 알려진 취약점을 실제 공격 코드로 변환하고 검증하는 벤치마크 테스트에서 역대 최고 성공률을 기록했다. 이는 미묘한 코드의 허점이나 시스템 설정 오류를 파악하는 능력이 크게 향상됐음을 보여준다. 이론적 수준을 넘어 실제 보안 현장에서 실용적인 도구로 쓰일 가능성을 입증한 셈이다.

실제 성능 평가에서도 높은 수치를 기록했다. 알려진 보안 취약점을 공격용 코드로 변환하고 유효성을 검증하는 'ExploitGym' 벤치마크에서 오픈AI가 공개한 역대 모델 중 가장 높은 성공률을 달성했다. 오픈AI의 2026년 내부 평가에서는 고난도 사이버보안 과제 이행률이 전체 요청 건의 95%에 달했다.

실제 시스템 분석서 '제로데이 취약점' 2건 발견

이 모델은 실제 시스템 분석 과정에서 구글 크롬의 V8 자바스크립트 엔진에 존재하는 미지의 제로데이 취약점 2건을 발견하는 성과를 냈다. 제로데이 취약점(Zero-day Vulnerability)은 소프트웨어 개발사가 인지하지 못한 상태에서 발견되는 보안 허점으로, 공식 수정 패치가 없어 공격에 매우 치명적일 수 있다. 이번 발견은 GPT-5.6 사이버가 기존 지식을 활용하는 것을 넘어 새로운 위협을 능동적으로 찾아낼 수 있음을 보여주는 사례다.

오픈AI는 발견한 취약점 정보를 '책임 있는 취약점 공개(Coordinated Vulnerability Disclosure)' 절차에 따라 즉시 구글에 전달했다. 이는 취약점 정보를 대중에게 공개하기 전 해당 소프트웨어 개발사에 먼저 알려 보안 패치를 개발하고 배포할 시간을 주는 보안 업계 표준 협력 방식이다. 구글은 이 정보를 바탕으로 신속하게 관련 보안 패치 조치를 완료했다고 밝혔다.

강력한 AI의 안전한 공급을 위한 '데이브레이크' 프로그램

오픈AI는 GPT-5.6 사이버의 강력한 기능이 오용되는 것을 막고 방어 전문가에게 안전하게 제공하기 위해 다층적 보안 프레임워크인 '데이브레이크(Daybreak)' 프로그램을 공개했다. 이 프로그램은 AI 모델이 공격자에게 악용될 가능성을 최소화하고, 승인된 방어 임무를 수행하는 개인·기업·기관만 기술에 접근할 수 있도록 설계됐다. 기술 발전의 혜택은 극대화하면서 잠재적 위험은 통제하겠다는 전략이다.

데이브레이크 프로그램에 따라 모델을 이용하려면 철저한 사전 승인 절차를 거쳐야 한다. 이용 과정 전반에 걸쳐 강력한 신원 인증, 계정 보안 제어, 실시간 사용 현황 모니터링, 지정된 목적 외 사용 제한, 법규 준수 여부 검증 등 여러 단계의 보안 장치가 적용된다. 오픈AI는 이런 통제 장치를 통해 AI 기술이 사회에 긍정적으로 기여하도록 유도할 방침이다.

목적에 따른 단계별 접근: '블루'와 '레드' 모듈

데이브레이크 프로그램은 사용자의 전문성과 활용 목적에 맞춰 성능과 접근 권한을 차등 부여하는 '블루'와 '레드' 두 모듈로 나뉜다. 이를 통해 안전성과 효율성을 동시에 확보한다. 각 조직은 보안 역량과 필요에 맞는 모듈을 선택해 신청할 수 있으며, 이는 AI 모델의 강력한 기능을 책임감 있게 활용하도록 유도하는 장치다.

데이브레이크 블루가 일반 방어용으로 제공되는 반면, 레드는 고급 취약점 탐지 등 공격적인 보안 연구를 위해 GPT-5.6 사이버를 직접 제공하는 점이 특징이다. 데이브레이크 프로그램을 구성하는 두 모듈의 특징은 다음 표와 같다.

글로벌 보안 기업과 연합…파트너 생태계 확장

오픈AI는 액센추어, 시스코, IBM, 클라우드플레어, 크라우드스트라이크, 팔로알토 네트웍스 Unit 42 등 주요 글로벌 보안 기업과 ‘데이브레이크 사이버 파트너’ 연합을 구축했다. 이 파트너십을 통해 각 사의 플랫폼으로 모델을 시장에 확산시킬 계획이다. 파트너사들은 GPT-5.6 사이버의 기능을 자사 보안 플랫폼, 관리형 보안 서비스(MSSP), 고객 컨설팅 프로젝트에 통합해 제공한다.

이번 파트너십은 오픈AI의 AI 기술력과 각 보안 기업의 현장 경험 및 고객 기반을 결합해 시너지를 내는 것을 목표로 한다. 자격 요건을 갖춘 아마존웹서비스(AWS) 이용자는 아마존 베드락(Amazon Bedrock) 서비스를 통해 기존 클라우드 거버넌스 체계를 유지하며 데이브레이크 솔루션을 구축할 수 있다. 프로그램 가입 신청은 오픈AI 파트너십 전용 페이지에서 할 수 있다.

자주 묻는 질문

GPT-5.6 사이버는 아무나 사용할 수 있나요?

아니요, 사용할 수 없습니다. 오픈AI의 '데이브레이크' 프로그램을 통해 사전 승인을 통과한 기업 및 기관의 보안 전문가에게만 제한적으로 제공되며, 철저한 신원 인증과 모니터링 절차를 거쳐야 합니다.

제로데이 취약점을 발견했다는데, 일반 사용자에게 위험하지 않나요?

오픈AI는 '책임 있는 취약점 공개(CVD)' 절차에 따라 발견한 취약점 정보를 구글에 안전하게 전달했습니다. 구글은 해당 정보를 바탕으로 보안 패치를 완료했기 때문에, 이번 발견으로 인한 직접적인 위험은 없습니다.

데이브레이크 프로그램의 '블루'와 '레드' 모듈은 어떻게 다른가요?

'블루' 모듈은 일반 기업 보안팀의 방어 업무 효율화를 위한 것이고, '레드' 모듈은 전문 보안 연구 기관이 고급 취약점 탐지나 모의 해킹 등 공격적인 연구를 수행할 수 있도록 더 강력한 기능을 제공합니다.