[테크수다 기자 도안구 eyeball@techsuda.com] 오픈AI(OpenAI)가 소프트웨어 취약점 발견·검증, 보안 패치 개발 지원 역량을 강화한 사이버 보안 특화 AI 모델 'GPT-6 사이버(GPT-6 Cyber)'를 2026년 11월 6일 공개했다. GPT-6 사이버는 대규모 코드베이스에서 취약점을 찾아 실제 악용 가능성을 검증하고 패치 후보를 만든다. 오픈AI는 승인받은 일부 데이브레이크 레드(Daybreak Red) 고객에게 API·코덱스(Codex)로 먼저 제공하고 전체 데이브레이크 레드 고객으로 확대할 예정이다.

주요 내용:

• GPT-6 사이버, 익스플로잇짐(ExploitGym) 성공률 48.5% 기록…GPT-5.6 사이버 32.1%보다 약 16%포인트 높아
• 파이어폭스(Firefox) 고위험 취약점 81건 신규 발견…리눅스(Linux) 커널 취약점 1,724건 재현하고 948건 익스플로잇 개발
• 승인된 작업 범위 준수 능력 강화…허가 범위 밖 서비스 공격 비율 5.51%에서 0.07%로 낮아져

GPT-6 사이버는 보안 연구자가 승인한 작업 범위 안에서 제한 사항을 지키도록 특화 학습을 적용한 모델이다. 알려진 취약점을 실제로 악용할 수 있는지 평가하는 익스플로잇짐에서 48.5% 성공률을 기록해 GPT-5.6 사이버의 32.1%를 약 16%포인트 웃돌았다. 실제 환경을 모사한 서버에서 복잡한 보안 작업을 수행하는 리모트익스플로잇벤치(RemoteExploitBench) 초기 평가에서는 과제의 95%를 완료했다. 오픈AI는 자체 준비도 프레임워크(Preparedness Framework)에서 GPT-6 사이버의 사이버 보안 역량을 최고 등급인 '크리티컬(Critical)'로 평가했다.

오픈AI 연구진은 GPT-6 사이버를 활용해 모질라(Mozilla)가 개발한 웹 브라우저 파이어폭스에서 기존에 알려지지 않았던 고위험 보안 취약점 81건을 발견했다. 연구진은 각 취약점에 대한 재현 가능한 검증 자료를 생성하고 모질라에 전달했으며, 모질라는 이를 바탕으로 다수 취약점에 대한 수정 사항을 배포했다. 리눅스 커널 연구에서는 총 1,724건 취약점을 재현하고 이 가운데 948건에 대해 실제로 작동하는 익스플로잇(exploit)을 개발했다. 오픈AI는 리눅스 커뮤니티 지침에 따라 중요 발견 사항 304건에 패치 후보를 첨부해 유지관리자에게 보고했으며, 추가 취약점에 대한 수정 작업도 진행하고 있다.

사이버 보안 AI 에이전트는 취약점을 조사하는 과정에서 허가되지 않은 시스템이나 서비스에 접근할 위험이 있다. 오픈AI는 이 위험을 줄이기 위해 승인된 대상·작업 범위를 지키고 제한 사항을 따르며 수행 결과를 정확하게 보고하도록 GPT-6 사이버를 학습시켰다. 허가 범위 밖 서비스에 대한 공격 여부를 평가하는 익스플로잇짐 허니팟(ExploitGym Honeypot)에서 배포용 안전 프롬프트를 적용하지 않은 GPT-6 사이버는 99.93% 사례에서 허가 범위 밖 서비스를 공격하지 않았다.

배포용 안전 프롬프트를 적용한 동일 평가에서는 모든 사례에서 허가된 작업 범위를 준수했다. 오픈AI는 고위험 사이버 활동 차단, 악용 탐지, 모델 행동이 사용자 승인 범위에 부합하는지 확인하는 모니터링 등 안전장치를 강화했다. 데이브레이크 레드는 침투 테스트·레드팀 등 공격형 보안 업무를 승인받은 고객 대상 프로그램으로, 오픈AI는 보안 담당자가 공격자보다 먼저 취약점을 발견하고 수정할 수 있도록 지원하는 데 초점을 맞췄다.

GPT-6 사이버, 이런 점이 궁금하다

Q. GPT-6 사이버는 기존 모델보다 무엇이 달라졌는가?

A. GPT-6 사이버는 취약점 발견·검증, 보안 패치 개발 지원에 특화한 모델이다. 익스플로잇짐 성공률 48.5%로 GPT-5.6 사이버의 32.1%보다 약 16%포인트 높다. 승인된 작업 범위 안에서 제한 사항을 지키도록 특화 학습을 적용한 점도 기존 모델과 구분되는 특징이다.

Q. GPT-6 사이버는 실제 보안 연구에서 어떤 성과를 냈는가?

A. 오픈AI 연구진은 GPT-6 사이버로 파이어폭스에서 기존에 알려지지 않았던 고위험 취약점 81건을 발견했다. 리눅스 커널 연구에서는 1,724건 취약점을 재현하고 948건에 대해 실제로 작동하는 익스플로잇을 개발했으며, 중요 발견 사항 304건에 패치 후보를 첨부해 유지관리자에게 보고했다.

Q. 누구나 GPT-6 사이버를 쓸 수 있는가?

A. 그렇지 않다. 오픈AI는 승인받은 일부 데이브레이크 레드 고객에게 API·코덱스로 먼저 제공하고 전체 데이브레이크 레드 고객으로 확대할 예정이다. 고위험 사이버 활동 차단, 악용 탐지, 모니터링 등 안전장치도 함께 강화했다.

[테크수다 기자 도안구 eyeball@techsuda.com]