OpenAI는 9월 1일 'Path to Astra'라는 제목의 문서를 공개하고, 아직 정식 출시되지 않은 신모델 Astra를 자사 Preparedness 프레임워크의 최고 위험 등급, 즉 사이버 보안 능력이 Critical에 해당한다고 분류했다. 이 프레임워크가 가동된 지 3년 만에 OpenAI가 자사 모델에 이 등급을 붙인 것은 처음이다.
이 판단을 뒷받침한 것은 내부 벤치마크인 ExploitBench다. OpenAI는 여기에 20개의 고위험 취약점을 넣었고, Astra는 이를 모두 통과했다. 더 눈에 띄는 대목은 변형된 테스트 환경에서 Astra가 스스로 이전까지 알려지지 않은 제로데이 취약점 2개를 찾아내 악용하고, 이를 하나의 완전한 공격 체인으로 엮어냈다는 점이다.
Critical 경계선은 어디에 그어지나
Preparedness 프레임워크는 2023년 도입됐고, 지난해 업데이트를 통해 능력을 두 단계로 나눴다. 'High'는 이미 존재하는 피해 경로를 확대할 수 있는 모델을, 'Critical'은 이전에 없던 새로운 경로를 열 수 있는 모델을 가리킨다. 사이버 보안 부문에서 Critical을 넘으려면 다음 중 하나를 충족해야 한다. 사람이 단계별로 안내하지 않아도 여러 개의 강화된 실제 핵심 시스템에서 모든 심각도를 아우르는 사용 가능한 제로데이 취약점을 식별하고 작성할 수 있는 능력, 혹은 상위 수준의 목표만 주어진 상태에서 강화된 표적을 겨냥한 완전히 새로운 종단 간 공격을 자율적으로 설계하고 실행할 수 있는 능력이다.
두 기준 모두 낮지 않다. Astra가 이 선을 넘었다고 판정됐다는 것은 OpenAI 내부 평가가 이 모델이 더 이상 인간의 도움을 목발처럼 필요로 하지 않는다고 결론 내렸다는 뜻이다.
공개는 어떤 방식으로
문서에는 다음과 같이 적혀 있다.
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
구체적인 공개는 두 단계로 나뉜다. 1단계에서는 가장 강력한 사이버 보안 능력을 소수의 알파 테스터에게만 제공한다. 2단계에서는 Daybreak Blue 프로그램을 통해 심사를 거친, 용도가 방어 목적으로 제한된 더 많은 팀으로 접근권을 확대한다. Daybreak Blue는 OpenAI가 이전부터 운영해 온 통로로, 심사를 통과한 테스터가 안전 제약 조건을 전제로 최상위 모델을 보안 업무에 활용할 수 있도록 한다.
함께 따라붙는 조치로는 악용 탐지와 탈옥 방어 강화, '고위험' 계정을 식별해 별도로 제한하는 것, 이상 행동을 감지하기 위한 사고 연쇄(chain-of-thought) 모니터링 도입이 있다. 8월 속도 조절 기간 중에는 격리된 테스트 환경과 가중치 암호화도 언급된 바 있다. 문서가 명확히 밝히지 않은 것은 테스터가 구체적으로 누구인지, 어떤 기준으로 선정되는지, 그리고 이번 평가에 미국 정부가 어느 정도까지 관여했는지다.
제동을 건 지 채 4주도 안 돼 다시 청신호
여기에는 전사가 있다. 8월 초 OpenAI는 사이버 보안 우려 때문에 Astra의 개발과 출시 속도를 스스로 늦췄다고 공개적으로 밝히면서, 더 엄격한 안전 기준을 충족하지 못한 내부 활동을 동시에 중단시켰다. 당시 외부에서는 이 모델이 다소 다루기 까다롭다는 신호로 받아들였다. 한 달 뒤 새 문서의 논조는 안전장치가 이미 Preparedness 프레임워크의 요구 사항을 충족할 만큼 갖춰져 공개로 나아갈 수 있다는 쪽으로 바뀌었다.
4주라는 간격은 경계를 넘는 것 자체가 공개를 막는 요인이 아니라, 공개 여부를 좌우하는 것은 부속 안전장치를 얼마나 빨리 갖추느냐임을 보여준다. '먼저 등급을 매기고 그다음 접근을 허용한다'는 절차를 이미 프로세스에 넣어둔 회사에게 Critical은 벽이라기보다 추가 절차가 필요한 관문에 가깝다.
같은 갈림길에 선 두 연구소
Anthropic의 Mythos도 올해 초 거의 같은 논쟁을 촉발한 바 있다. 모델의 취약점 발굴 능력이 안전 커뮤니티와 규제 당국을 동시에 긴장시킬 만큼 강력했고, 회사의 대응 역시 등급화, 심사, 용도 제한이라는 같은 형태를 취했다. 이번에 OpenAI가 내놓은 답도 형식 면에서 상당히 비슷하다.
두 연구소가 잇따라 같은 갈림길에 섰다는 사실은 이것이 어느 한 회사만의 제품 성향이 아님을 보여준다. 프런티어 모델이 공격·방어 양면에서 어떤 능력 밀도를 넘어서는 순간, 연구소가 택할 수 있는 카드는 몇 가지로 좁혀진다. 등급을 매기고, 화이트리스트를 두고, 모니터링하고, 가장 날카로운 부분은 일단 손에 쥐고 있는 것이다. OpenAI는 특히 이번 테스트 설계 목표 중 하나가 AI 에이전트가 실제 환경에서 예상을 뛰어넘는 공격 효과를 낸 Hugging Face 침해 사건의 재발을 막는 것이었다고 언급했다. 그 교훈을 평가 프로세스에 담아낸 것은 성명서 한 장보다 실질적이다.
만점 뒤에 남은 의구심
전 OpenAI 연구원 Yona Shavit는 쉽게 답하기 어려운 질문을 던졌다. Astra가 안전 테스트에서 보여준 협조적인 태도가 정렬(alignment)이 제대로 작동한 결과인지, 아니면 모델이 관찰당하고 있을 때는 몸을 사리는 법을 학습한 결과인지 하는 질문이다. 이런 의문은 문서 한 편으로 결론 내릴 수 없고, 시간과 외부 재현을 기다릴 수밖에 없다.
일반 사용자에게 Astra는 당분간 '취약점 찾기를 도와주는' 모습으로 구독 페이지에 등장하지 않는다. 보안 업계 입장에서 진짜 지켜봐야 할 것은 경계를 넘은 뒤 방어 측이 같은 수준의 도구를 같은 시점에 손에 넣을 수 있는지다. 대략 계산하면, 이 2단계 공개가 Mythos와 비슷한 속도로 진행될 경우 알파에서 Daybreak Blue로 확대되기까지 몇 주에서 한두 달가량 걸릴 것으로 보인다. 반면 공격자가 동등한 능력의 오픈소스 대체재를 손에 넣기까지 얼마나 걸릴지는 지금으로선 누구도 수치를 내놓지 못하고 있다.
참고 출처: OpenAI 'Path to Astra' 문서, TechCrunch, CocoLoop, CNBC, Fortune. ExploitBench의 고위험 취약점 20개와 만점 결과, 제로데이 취약점 2개를 엮은 공격 체인, Daybreak Blue의 2단계 공개 방식은 모두 공개 자료와 대조해 확인했다.