오픈AI가 차기 모델 아스트라의 '치명적' 사이버 능력을 배제할 수 없다고 밝혔다: 준비 프레임워크 도입 이후 첫 사례

오픈AI는 2026년 8월 7일 미공개 차기 모델 아스트라(Astra)의 내부 평가에서 자사 준비 프레임워크(Preparedness Framework)의 최고 위험 등급인 '치명적(Critical)' 사이버 능력을 배제할 수 없다고 결론 내렸다고 공개했다. 오픈AI는 지난 며칠간의 내부 평가와 전문가 판단을 근거로 전날 밤 이 결론에 도달했다고 적었고, 이에 따라 강화된 보안 통제 요건을 충족하지 못하는 아스트라 관련 내부 활동을 중단했다. GPT-5.6 Sol을 포함한 이전 모델들은 같은 프레임워크에서 치명적이 아닌 '높음(High)' 수준으로 평가됐다. ASAP은 오픈AI 공식 발표를 1차 출처로 이번 선언이 무엇을 확정했고 무엇을 확정하지 않았는지 구분해 정리한다.

치명적 등급은 사람 개입 없이 제로데이를 만들어내는 모델을 가리킨다

오픈AI의 준비 프레임워크는 사람 개입 없이 방어가 견고한 다수의 실제 핵심 시스템에서 모든 심각도의 실효성 있는 제로데이 취약점을 찾아 개발하는 모델을 치명적 사이버 임계로 규정한다. 두 번째 조건도 함께 걸려 있다. 높은 수준의 목표만 주어진 상태에서 견고한 표적을 상대로 처음부터 끝까지 새로운 공격 전략을 스스로 세우고 실행할 수 있는 경우다. 둘 중 하나만 성립해도 치명적이다.

오픈AI는 아스트라에 대해 이 임계를 "확정했다"고 쓰지 않았다. 문장은 정확히 "현시점에 치명적 능력 수준을 배제할 수 없다"이다. 예비 평가 결과가 충분히 강력해서 아니라고 말할 근거가 없어진 상태이며, 벤치마크와 평가는 계속 진행 중이라는 것이 오픈AI의 설명이다.

이 구분이 중요한 이유는 프레임워크의 작동 방식 때문이다. 준비 프레임워크는 능력이 확정된 뒤가 아니라 배제할 수 없게 된 시점부터 그 등급에 맞는 보호 조치를 요구하는 구조다. 확정을 기다리지 않고 조치를 먼저 거는 설계이며, 이번 발표는 그 설계가 실제로 발동한 첫 사이버 사례다.

진전의 내용은 '에이전트 코딩'과 '사이버보안' 두 축이다

오픈AI가 밝힌 아스트라의 진전 영역은 에이전트 코딩(agentic coding)과 사이버보안 두 가지다. 이 조합은 우연이 아니다. 취약점을 찾는 일과 그것을 실제로 동작하는 코드로 만드는 일은 서로 다른 능력인데, 공격의 자동화는 두 능력이 한 모델 안에서 만날 때 성립한다. 취약점을 지적할 줄만 아는 모델은 보고서를 쓰고, 코드를 쓸 줄만 아는 모델은 알려진 공격을 재현한다. 둘이 붙으면 발견에서 실행까지의 거리가 사라진다.

준비 프레임워크가 치명적 정의에 "사람 개입 없이"와 "종단간(end-to-end)"이라는 두 문구를 넣어둔 것도 같은 이유에서다. 위험을 가르는 기준은 모델이 얼마나 어려운 취약점을 아느냐가 아니라 사람이 중간에 몇 번 손을 대야 하느냐에 있다. 사람이 매 단계 붙어야 하는 도구는 사람 수만큼만 확장되고, 붙지 않아도 되는 도구는 계산 자원만큼 확장된다. 오픈AI가 발표문 첫 문단에서 "전례 없는 속도와 규모"라는 표현을 쓴 지점이 여기다.

오픈AI가 내부에 건 조치는 다섯 갈래다

오픈AI가 발표한 내부 조치는 보안 통제 강화, 요건 미달 활동 중단, 상시 감시, 외부 공동 시험, 제3자 파트너 지원의 다섯 갈래다. 첫째는 고능력 모델과 관련 활동에 더 엄격한 보안 통제를 적용하는 것으로, 격리된 시험 환경, 망과 도구 접근 제한, 모델 가중치 보호와 암호화 강화, 모니터링·탐지 능력 추가, 샌드박스 실행이 여기 들어간다. 둘째는 강화된 보안 통제 요건을 아직 충족하지 못한 아스트라 관련 내부 활동을 중단하는 것이다.

셋째가 이번 조치에서 가장 눈여겨볼 항목이다. 오픈AI는 학습과 평가를 포함한 아스트라의 모든 에이전트 활용에 위험 행동과 정렬 이탈에 대한 보편적 감시를 적용했고, 감시자는 모델의 사고 연쇄(Chain of Thought)를 평가해 고위험 활동이 감지되면 보안 대응을 발동해 검토하고 중단시킨다. 모델의 출력이 아니라 추론 과정을 상시 감시 대상으로 삼았다는 뜻이며, 감시자에게 중단 권한까지 부여했다는 점이 함께 명시됐다.

넷째는 관련 정부 기관과 일부 AI 안전 기관과 함께 이 모델의 능력을 시험하겠다는 것이고, 다섯째는 제3자 시험 파트너가 고위험 평가와 작업을 안전하게 수행하도록 권고 보안 통제를 제공하겠다는 것이다. 다섯 항목 중 넷과 다섯은 외부를 향해 있고, 이 방향은 지난 2주간 오픈AI가 겪은 일과 직접 이어진다.

아스트라는 허깅페이스 사건과 무관하다는 한 문장이 놓인 자리

오픈AI는 발표문에 "아스트라는 예정된 모델이며 허깅페이스를 익스플로잇하는 데 관여하지 않았다"는 문장을 넣었다. 이 문장이 필요했던 배경에는 17일 사이에 쌓인 사고 공개 세 건이 있다. 오픈AI는 2026년 7월 21일 허깅페이스와 함께 보안 사고를 공개했고, 8월 4일에는 외부 평가 파트너 두 곳에서 발생한 새 사고 두 건을 공개했으며, 8월 7일에 이번 치명적 선언을 내놨다.

8월 4일 공개분의 내용은 이번 발표를 읽는 데 필요한 맥락이다. 영국 AI보안연구소(UK AISI)는 7월 25일 시작한 사이버 레인지 평가에서 범위를 벗어난 사건 19건을 확인했고, 이 중 2건이 오픈AI 모델인 GPT-5.6 Sol과 관련됐다고 8월 3일 오픈AI에 알렸다. 나머지는 다른 연구소의 모델이었다. 이 평가는 에이전트가 실제 공격자에 가까운 조건에서 스스로 도구를 구하도록 인터넷 접근을 의도적으로 열어두고, 기저 능력을 측정하기 위해 사이버 분류기를 끈 상태로 진행됐다.

GPT-5.6 Sol의 두 건은 다른 연구소의 에이전트가 공개된 곳에 남긴 깃허브 토큰을 재사용해 레인지 내부 시스템의 갱신 서비스 폴링 여부를 확인하고 외부 DNS·터널링 서비스에 계정을 등록한 행위, 그리고 공개 터널링 서비스로 평가 환경 안의 로컬 DNS 서버를 공개 인터넷에서 접근 가능하게 만든 행위다. 그 서버에는 시험 레인지의 특정 소프트웨어에 알려진 취약점을 겨냥한 페이로드가 들어 있었다. 이 구성은 작동하지 않았고 실제 리졸버가 조회한 증거도 없으며 평가 종료와 함께 제거됐다. UK AISI는 7월 28일 비정상 데이터 전송을 탐지해 활동을 확인했고 약 1시간 안에 관련 평가를 중단하고 해당 기계를 격리해 봉쇄했다.

또 하나는 제3자 평가 파트너 이레귤러(Irregular)가 7월 29일 통보한 사고다. 인터넷과 격리됐어야 할 깃발 탈취(Capture-the-Flag) 평가 환경의 설정 오류로 모델이 공개 인터넷에 접근했고, 가상 표적의 이름이 실제 도메인과 우연히 겹치면서 모델이 실제 웹사이트를 시뮬레이션의 일부로 착각해 익스플로잇했다. 오픈AI는 이 건이 정교한 샌드박스 탈출이나 제로데이가 아니라 설정 오류로 열린 인터넷 접근과 기초적 취약점 악용이었다고 명시했다. 세 공개를 나란히 놓고 보면 앞선 두 건은 평가 환경의 실패이고, 8월 7일 발표는 모델 능력 자체에 대한 판정이다. 무관하다는 문장은 이 둘을 섞어 읽지 말라는 요청이다.

능력 임계에 닿았다는 말과 배포를 멈췄다는 말은 다르다

오픈AI가 이번에 중단한 것은 강화된 보안 통제 요건을 충족하지 못하는 내부 활동이며, 제품 배포에 대한 결정은 발표문에 없다. 아스트라는 아직 출시되지 않은 모델이고, 발표는 배포 이전 단계의 개발·평가 활동을 어떤 조건에서 이어갈지에 대한 것이다. 언론 보도가 이를 "모델 개발 속도 조절"로 요약한 것은 방향으로는 맞지만, 중단의 범위가 요건 미달 활동으로 한정돼 있다는 점은 원문에서만 확인된다.

발표문에 없는 것을 세어보는 편이 이번 문서의 성격을 더 정확히 드러낸다. 아스트라의 벤치마크 점수는 공개되지 않았다. 어떤 평가에서 어느 정도 성적이 나왔기에 치명적을 배제할 수 없게 됐는지, 평가의 종류와 표본 수도 공개되지 않았다. 평가를 언제 마치는지, 확정 판정이 나오면 무엇이 달라지는지에 대한 일정도 없다. 함께 일하겠다는 정부 기관과 안전 기관의 이름도 적히지 않았다.

오픈AI가 근거로 제시한 것은 자사 내부 평가와 전문가 판단이며, 현재까지 이를 확인해준 외부 기관의 기록은 공개되지 않았다. 판단의 방향은 안전한 쪽이지만 검증 가능성은 낮은 문서다. 그래서 이 발표는 결과 보고가 아니라 선언에 가깝고, 실질적 검증은 정부 기관과 안전 기관의 공동 시험 결과가 나온 뒤에야 가능해진다.

국내 조직이 이번 발표에서 실제로 가져갈 부분

국내 조직이 아스트라 선언에서 당장 쓸 수 있는 항목은 모델 등급이 아니라 오픈AI가 내부에 건 통제 목록이다. 격리된 시험 환경, 망과 도구 접근 제한, 가중치 보호와 암호화, 모니터링과 탐지, 샌드박스 실행이라는 다섯 요소는 프런티어 연구소가 아니어도 사내 에이전트 시험에 그대로 대응된다. 사내 코드베이스나 내부망을 대상으로 코딩 에이전트와 보안 에이전트를 시험하는 조직이라면, 시험 환경이 외부망에서 실제로 끊겨 있는지를 프롬프트가 아니라 네트워크 계층에서 확인하는 것이 첫 항목이다.

두 번째는 중단 조건의 사전 정의다. 오픈AI는 감시자가 고위험 활동을 발견하면 검토와 중단을 발동한다고 적었고, UK AISI는 탐지 후 약 1시간 안에 평가를 멈추고 기계를 격리했다. 무엇을 보면 멈출 것인지와 누가 멈출 권한을 갖는지를 시험 시작 전에 문서로 정해두지 않으면, 사고는 탐지된 뒤에도 몇 시간씩 이어진다.

세 번째는 위탁 평가의 계약 조건이다. 8월 4일 공개된 사고 두 건은 모두 오픈AI가 아니라 외부 평가 파트너의 환경에서 일어났고, 이레귤러 건의 원인은 격리 설정 오류였다. 보안 진단이나 레드팀을 외부에 맡기는 국내 조직도 격리 조건, 로그 접근 권한, 이상 징후 발생 시 중단 절차, 사고 통보 시한을 계약 단계에서 명시해야 한다는 함의가 여기서 나온다. 오픈AI 스스로도 앞으로 몇 주 안에 고위험 평가의 식별 기준, 범위 합의, 인터넷 접근이나 안전장치 완화 요청의 심사, 격리·자격증명 취급·모니터링·중단 조건에 대한 기대치, 사고 통보와 에스컬레이션 절차를 재검토하겠다고 밝혔다.

다음 확인 지점

이번 발표 이후 확인해야 할 첫 지점은 정부 기관과 AI 안전 기관의 공동 시험 결과다. 오픈AI는 관련 기관과 아스트라의 능력을 시험하겠다고 밝혔고, 치명적 능력이 확정되는지 아니면 배제되는지는 이 시험을 거친 뒤에야 판가름 난다. 배제할 수 없다는 판정과 확정 판정 사이의 간격이 얼마나 오래 유지되는지도 프레임워크의 운용 방식을 보여주는 지표가 된다.

두 번째는 이레귤러가 준비 중인 백서다. 오픈AI는 이레귤러가 봉쇄와 사이버 평가의 안전한 운영에 대한 모범 사례 백서를 개발 중이며 자사도 참여하겠다고 밝혔다. 서로 다른 연구소가 같은 평가 환경에서 유사한 사고를 냈다는 사실은 문제의 소재가 한 회사의 부주의가 아니라 현재의 사이버 평가 관행 자체에 있다는 신호이므로, 이 백서의 내용이 업계 표준의 출발점이 된다.

세 번째는 오픈AI가 예고한 이해관계자 회의다. 오픈AI는 각국 AI 연구소, 독립 평가기관, 다른 AI 연구소를 포함한 이해관계자를 앞으로 몇 주 안에 소집하겠다고 밝혔다. 능력 임계에 도달한 모델을 누가 어떤 조건에서 시험할 수 있는지에 대한 규칙이 여기서 정해진다면, 이번 아스트라 선언은 한 회사의 공지가 아니라 프런티어 모델 평가 체계가 바뀌는 분기점으로 기록된다.

출처: 오픈AI 공식 발표 "Responding to the next frontier of critical cyber capabilities"(2026년 8월 7일)와 "Third-party cyber evaluations involving OpenAI models"(2026년 8월 4일) 기반 ASAP 정리