오픈AI 차세대 모델 ‘아스트라’, 사이버 위험 최고 단계 판정…누가 쓸 수 있나

오픈AI가 9월 1일(미국 현지시간) 차세대 AI 모델 ‘아스트라(Astra)’가 자사 안전 기준에서 처음으로 사이버보안 능력 ‘중대(Critical)’ 단계에 도달했다고 밝혔다. 여기서 중대하다는 말은 단순히 코딩을 잘하거나 보안 질문에 답을 잘한다는 뜻이 아니다. 적절한 도구와 접근 권한이 주어지면 사람이 매 단계를 지시하지 않아도 아직 공개되지 않은 소프트웨어 취약점을 찾고, 여러 약점을 연결해 실제 공격 방법까지 만들 수 있는 수준이라는 게 오픈AI의 판단이다.

다만 아스트라가 지금 모든 챗GPT 이용자에게 공개된 것은 아니다. 오픈AI는 일반용 버전을 “곧” 내놓겠다고 했지만, 가장 강력한 사이버 기능은 소수의 검증된 시험 참여자와 방어 목적의 파트너에게 먼저 제공한다. 따라서 이번 발표의 핵심은 새 챗봇을 바로 써볼 수 있다는 소식보다, 범용 AI의 능력이 커지면서 같은 모델 안에서도 누구에게 어떤 기능을 열어 줄지 구분하는 시대가 본격화됐다는 데 있다.

‘중대 사이버 능력’은 무엇을 뜻하나

오픈AI는 강력한 AI가 일으킬 수 있는 위험을 생물·화학, 사이버보안, AI의 자기 개선 같은 분야로 나눠 평가한다. 사이버보안에서 ‘중대’ 단계는 보호가 잘된 실제 시스템에서 알려지지 않은 취약점을 스스로 찾아 작동하는 공격 수단으로 만들거나, 높은 수준의 목표만 받고도 새로운 공격 전략을 처음부터 끝까지 수행할 수 있는 능력을 가리킨다.

쉽게 비유하면 이전 AI가 보안 전문가 옆에서 자료를 찾아주고 코드를 보조하는 도구였다면, 아스트라는 제한된 조건에서 문제 지점을 찾고 침투 경로를 조합하는 일까지 상당 부분 맡을 수 있다는 의미다. 좋은 쪽으로 사용하면 기업이 공격당하기 전에 약점을 찾아 고칠 수 있다. 반대로 악용되면 전문 인력이 부족한 공격 집단도 훨씬 빠르게 표적을 조사하고 공격을 반복할 수 있다. 같은 능력이 방패와 창으로 동시에 작동하는 전형적인 ‘이중 용도’ 기술이다.

오픈AI가 공개한 내부 평가에 따르면 아스트라는 알려진 취약점으로 공격 방법을 만드는 시험인 ExploitBench에서 100%를 기록했다. 공개 시험에 이미 학습한 문제가 섞였을 가능성을 줄이기 위해 최근 공개된 고위험 취약점 20개로 별도 시험도 만들었다. 이 과정에서 아스트라가 기존 GPT-5.6 솔보다 적은 출력으로 더 높은 성공률을 보였고, 아직 알려지지 않았던 취약점 두 개를 공격 경로에 활용했다고 회사는 설명했다. 오픈AI는 해당 문제를 소프트웨어 관리 주체에 알리는 절차를 진행 중이라고 밝혔다.

이 수치에는 중요한 단서가 있다. 결과는 일반 이용자가 받는 기본 설정이 아니라 강한 사이버 기능에 접근할 수 있는 통제된 환경에서 측정됐다. 또 시험 설계와 결과를 공개한 주체가 오픈AI 자신이다. 실제 세상의 모든 시스템에서 같은 성능을 낸다는 뜻도 아니며, 공격을 무조건 성공시킨다는 보장도 아니다. 그러나 회사가 자기 모델을 최고 위험 등급으로 분류하고 배포 방식을 바꿀 정도의 증거가 나왔다는 사실 자체는 무겁다.

왜 이번에는 모두에게 같은 기능을 열지 않나

오픈AI는 아스트라의 일반 버전과 고위험 사이버 기능을 분리해 공개할 계획이다. 일반 이용자가 문서 작성, 분석, 검색, 이미지 이해 같은 일상 작업에 쓰는 모델에는 유해한 사이버 요청을 거부하도록 더 강한 제한을 둔다. 반면 국가기관이나 주요 기반시설을 보호하는 조직, 검증된 보안 연구자 등은 ‘데이브레이크 블루’라는 신뢰 기반 프로그램을 통해 더 높은 수준의 기능에 접근할 수 있다.

이 방식은 휴대전화 운영체제를 모두가 쓰더라도 제조사 내부 서명 도구나 통신망 핵심 관리 권한은 제한된 담당자에게만 주는 것과 비슷하다. 모델의 지능 자체는 같거나 비슷해도 연결할 수 있는 도구, 인터넷 접근 범위, 실행 권한, 감시 수준을 다르게 설정하는 것이다.

오픈AI는 다음과 같은 통제를 적용한다고 밝혔다.

• 위험한 사이버 요청을 더 안정적으로 거부하도록 모델을 훈련한다.
• 모델이 실행할 수 있는 네트워크와 도구 범위를 제한한다.
• 실제 시스템과 분리된 시험 공간에서 작업을 실행한다.
• 위험 행동이나 지시 위반 징후를 자동으로 감시하고 필요하면 중단한다.
• 가장 강한 기능은 신원을 확인하고 목적을 검증한 파트너에게 단계적으로 연다.
• 정부기관과 독립 안전 조직에 추가 평가를 맡긴다.

중요한 것은 “AI가 위험해졌으니 공개하지 않는다”와 “아무 제한 없이 모두에게 공개한다” 사이에 중간 지대가 만들어졌다는 점이다. 앞으로 최고급 모델은 하나의 제품이라도 일반용, 기업용, 방어 연구용으로 기능이 나뉠 가능성이 크다. 사용자는 같은 모델 이름을 보더라도 실제 접근 가능한 능력과 제한이 다를 수 있다는 점을 확인해야 한다.

일반 챗GPT 이용자에게 당장 달라지는 점

첫째, 현재 챗GPT 화면에서 아스트라의 모든 기능을 바로 쓸 수 있는 것은 아니다. 발표 시점에 오픈AI는 구체적인 일반 출시일, 무료·유료 요금제별 제공 범위, 국가별 일정은 공개하지 않았다. “곧 공개”라는 표현만으로 특정 날짜나 한국 제공 시점을 단정하면 안 된다.

둘째, 일반 버전이 출시되더라도 보안 관련 요청은 이전보다 더 자주 제한될 수 있다. 예를 들어 회사 시스템의 취약점을 합법적으로 점검하는 담당자와 실제 공격을 준비하는 사람의 질문은 겉모습이 비슷할 수 있다. 오픈AI는 의도와 권한을 완벽히 구분할 수 없기 때문에 일부 정상적인 질문도 거부되거나 더 낮은 능력의 모델로 전환될 수 있음을 인정한다. 일반 사용자가 느끼는 변화는 ‘무엇이든 더 잘하는 AI’라기보다, 분야에 따라 성능과 접근 조건이 달라지는 AI에 가깝다.

셋째, 기업에서 AI 에이전트를 쓰는 방식도 달라질 수 있다. 에이전트는 답변만 작성하는 챗봇이 아니라 파일을 열고, 웹사이트에 접속하고, 프로그램을 실행하는 AI다. 능력이 강해질수록 편리하지만 잘못된 판단 하나가 실제 행동으로 이어질 수 있다. 기업은 모델 성능표만 볼 것이 아니라 어떤 계정으로 접속하는지, 외부로 나갈 수 있는지, 누가 실행을 승인하는지, 문제가 생기면 즉시 멈출 수 있는지까지 관리해야 한다.

개인이 알아둘 현실적인 원칙도 있다. AI가 보안 문제를 찾아줬다는 이유만으로 남의 시스템에서 시험하면 불법 행위가 될 수 있다. 자신이 소유한 기기나 명시적으로 허가받은 범위에서만 점검해야 한다. 모델의 답변이 그럴듯해도 실제 취약점인지 별도 확인이 필요하다. 아스트라의 발표가 일반인에게 ‘해킹 도구가 풀린다’는 의미는 아니다.

기업과 공공기관이 받는 영향

기업에는 방어 기회와 운영 위험이 동시에 커진다. 지금까지 많은 조직은 정기 점검이나 외부 보안 업체에 의존해 취약점을 찾았다. 강력한 AI가 방어팀에 제공되면 새 취약점을 더 빨리 발견하고 수정 우선순위를 정하며, 반복적인 검증을 자동화할 수 있다. 특히 전문 인력이 부족한 병원, 학교, 지방정부, 중소기업을 지원하는 보안 서비스에는 가치가 클 수 있다.

그러나 방어팀만 같은 도구를 쓰는 것은 아니다. 공격자도 공개 모델, 유출된 계정, 우회된 제한을 이용할 수 있다. 공격 준비 시간이 줄어들면 소프트웨어 결함이 공개된 뒤 실제 공격이 시작되기까지의 간격도 짧아진다. 기업은 몇 달에 한 번 패치하는 방식보다 중요한 업데이트를 빠르게 적용하고, 계정 권한을 최소화하며, 이상 행동을 상시 관찰하는 체계로 바꿔야 한다.

아스트라가 특별히 보여준 또 하나의 문제는 AI를 평가하는 과정 자체의 보안이다. 강한 모델을 시험하려면 실제와 비슷한 도구와 환경을 제공해야 하지만, 그 연결이 곧 위험 통로가 될 수 있다. 오픈AI는 앞서 다른 모델을 시험하는 과정에서 발생한 허깅페이스 관련 사건 뒤 일부 학습과 평가를 멈추고 격리 수준을 높였다. 회사는 아스트라가 그 사건에 사용된 모델은 아니라고 명확히 밝혔다. 그럼에도 당시의 교훈을 아스트라 통제에 반영했다는 설명은, 실험실 내부 안전이 제품 출시 후의 필터만큼 중요하다는 뜻이다.

공공기관에는 더 어려운 선택이 생긴다. 강력한 방어 능력을 소수 기관에 먼저 주면 병원·전력망·통신망 같은 시설을 보호하는 데 도움이 될 수 있다. 반면 누가 ‘신뢰할 수 있는 파트너’인지, 민간 기업이 접근 권한을 어떤 기준으로 결정하는지, 정부가 얼마나 감독하는지는 새로운 정책 쟁점이다. 지나치게 좁게 배포하면 방어 능력이 일부 대기업과 국가에 집중되고, 너무 넓게 배포하면 악용 가능성이 커진다.

회사 발표와 확인된 사실을 구분해야 한다

이번 발표에서 확인된 사실은 오픈AI가 자체 기준에 따라 아스트라를 중대 사이버 능력으로 분류했고, 일반 공개 때 고위험 기능을 제한하겠다고 밝힌 것이다. 내부 시험에서 알려지지 않은 취약점 두 개를 발견했다는 설명도 공식 자료에 포함됐다. 개발 과정 일부가 보안 통제 강화를 위해 멈췄다가 8월 28일 대규모 강화학습 작업을 다시 시작했다는 일정도 공개됐다.

아직 확인되지 않은 부분도 많다. 외부 연구자가 같은 조건으로 결과를 재현했는지, 실제 공격 환경에서 성공률이 어느 정도인지, 감시 장치가 우회 시도를 얼마나 잘 막는지, 정상적인 보안 업무를 얼마나 자주 잘못 차단하는지는 공개 자료만으로 판단할 수 없다. ‘중대’라는 등급도 정부가 부여한 인증이 아니라 오픈AI의 자체 Preparedness Framework에 따른 분류다.

따라서 “AI가 사람 없이 모든 시스템을 해킹할 수 있게 됐다”는 식의 해석은 과장이다. 반대로 “기업 홍보용 안전 발표일 뿐 실제 변화는 없다”고 치부하기도 어렵다. 모델 개발사가 출시 속도를 늦추고 접근 계층을 나누며 내부 인프라까지 바꾼 것은 능력 증가가 운영 방식에 실제 영향을 주고 있음을 보여준다.

앞으로 볼 변화

가장 먼저 확인할 것은 일반 버전의 실제 출시일과 요금제다. 무료 챗GPT, 유료 개인 요금제, 기업용 상품이 같은 시점에 같은 모델을 받는지 아직 공개되지 않았다. 한국어 성능과 국내 제공 여부도 출시 문서에서 다시 확인해야 한다.

두 번째는 외부 평가 결과다. 오픈AI는 정부기관과 일부 AI 안전 조직이 아스트라를 시험하도록 하겠다고 했다. 자체 시험에서 나온 ‘중대’ 판정이 외부 검증에서도 유지되는지, 어떤 제한이 추가되는지가 핵심이다.

세 번째는 다른 AI 기업의 대응이다. 강력한 모델의 위험 기능을 검증된 이용자에게만 여는 방식이 업계 공통 기준이 될지, 회사마다 제각각 운영할지가 중요하다. 이용자 입장에서는 모델 이름이나 벤치마크 점수보다 접근 권한, 실행 도구, 데이터 보관, 사고 시 책임 구조를 비교해야 한다.

핵심 정리

아스트라 발표의 본질은 더 똑똑한 챗봇 하나가 나온다는 데 있지 않다. 범용 AI가 새로운 소프트웨어 취약점을 찾고 실제 공격 경로를 조합할 수 있는 수준에 접근하면서, 모델 배포가 ‘모두에게 같은 기능을 제공하는 서비스’에서 ‘용도와 신뢰도에 따라 능력을 나누는 서비스’로 바뀌고 있다는 신호다.

일반 사용자는 당장 모든 기능을 받는 것이 아니며, 구체적인 출시일과 요금도 아직 확정 공지가 없다. 기업은 AI가 방어 속도를 높여 줄 가능성과 함께, 에이전트의 권한·네트워크·감시 체계를 다시 점검해야 한다. 앞으로 판단 기준은 누가 더 높은 점수를 받았느냐만이 아니라, 강한 능력을 누구에게 어떤 조건으로 열고 실패했을 때 어떻게 멈추느냐가 될 것이다.

출처: 오픈AI ‘Path to Astra’ 발표, 오픈AI 중대 사이버 능력 대응 계획, 월스트리트저널 보도