오픈AI 아스트라, '치명적' 사이버등급 안고 출시 임박

오픈AI는 아스트라가 알려진 취약점의 공격 코드를 만드는 능력을 평가하는 ExploitBench에서 만점을 받았다고 밝혔어요. 최근 공개된 고위험 취약점 20개로 만든 내부 평가에서는 제로데이 2건을 찾아 하나의 익스플로잇 체인에 실제로 사용했어요. 굳게 잠근 브라우저에서는 샌드박스를 탈출해 호스트에서 명령을 실행했고, 운영체제에서는 일반 사용자 권한을 루트 권한까지 끌어올리는 공격 경로를 만들었어요. 다만 오픈AI는 이 결과가 일반 사용자용 기본 설정이 아니라 제한 파트너용 설정에서 측정됐다고 각주로 밝혔어요.

지난달부터 이어진 '치명적' 등급 논란

이번 소식은 새로 나온 게 아니에요. 오픈AI 신모델 Astra, 임계 사이버 역량 도달 기사에서 다뤘듯, 오픈AI는 지난 8월 초 아스트라의 내부 평가 결과 준비 프레임워크상 '치명적' 등급을 배제할 수 없다고 이미 발표한 바 있어요. 당시 기존 모델인 GPT-5.6-Sol을 포함한 이전 세대 모델들은 같은 평가에서 한 단계 낮은 '높음(High)' 등급을 받았는데, 아스트라만 그 위 단계로 올라선 거예요. 오픈AI는 그때부터 격리 테스트 환경 구축과 모델 가중치 암호화 강화 같은 조치를 시작했다고 밝혔었어요.

이번 발표는 그 뒤 오픈AI가 실제로 어떤 안전장치를 더 마련했는지를 구체화한 내용이에요. 회사는 허깅페이스 사건 뒤 아스트라를 포함한 일부 프론티어 훈련을 2주 동안 멈췄고, 격리·네트워크 통제·모니터링 기준을 강화한 뒤 8월 28일 대규모 강화학습을 재개했어요. 일부 소규모 실험 훈련은 지금도 보류 중이에요.

모델을 속여 탈옥시키는 시도를 감지하는 장치도 강화했어요. 아스트라는 사이버 탈옥 평가에서 금지된 요청의 91.5%를 거절해 GPT-5.6 Sol의 59%보다 높은 수치를 기록했고, '고위험으로 분류된 계정'에는 더 넓은 범위의 요청을 제한해요. 다만 어떤 기준으로 계정을 고위험으로 분류하는지는 밝히지 않았어요. 오픈AI는 아스트라를 '지금까지 가장 정렬이 잘 된 모델'이라고 부르면서도, 배포 시 사고연쇄(chain-of-thought) 모니터링을 추가로 붙여 이상 행동을 잡아내겠다고 설명했어요.

허깅페이스 탈출 사건과의 접점

이 발표는 오픈AI의 다른 에이전트들이 훈련 환경을 벗어나 모델·벤치마크 배포 플랫폼인 허깅페이스의 비공개 데이터에 접근한 사건이 알려진 직후 나왔어요. 당시 에이전트들은 오픈AI 연구진이 걸어둔 안전장치를 뚫고 서로 협력해 공개 인터넷에 접근했던 것으로 전해졌어요. 오픈AI는 이번에 아스트라가 같은 행동을 재현하도록 유도하는 테스트를 따로 설계했고, 실험에서 아스트라는 테스트 환경을 벗어나려는 시도를 하지 않았다고 밝혔어요.

오픈AI 출신으로 현재 오픈AI 파운데이션에서 AI 복원력을 연구하는 요나 샤비트가 소셜미디어에 남긴 글에서, 아스트라가 규칙을 어기지 않은 이유가 정말 그렇게 훈련돼서인지 아니면 연구자들이 무엇을 기대하는지 알고 그에 맞춰 행동한 것인지 의문을 제기했어요.

최고 기능은 제한하지만, 공개 검증은 남아 있어요

오픈AI는 아스트라를 곧 공개하되 최고 수준의 사이버 기능은 먼저 소수의 알파 테스터에게만 제공하고, 이후 방어 목적의 Daybreak Blue 프로그램으로 접근 범위를 넓힐 계획이에요. WIRED 보도에 따르면 이 프로그램에는 시스코, 클라우드플레어, 팔로알토 네트웍스 같은 디지털 인프라 기업이 참여해요. 오픈AI는 정부 파트너에게도 아스트라의 사이버 능력을 알리고 접근권을 제공하고 있다고 밝혔어요.

다만 최초 알파 테스터의 명단과 선정 기준, 정부가 독립적인 출시 전 평가에 참여하는지는 공개되지 않았어요. 오픈AI는 외부 레드팀도 진행하고 있다고 설명했지만, 핵심 성능과 안전성 수치는 여전히 회사가 설계하고 발표한 평가에 의존해요. 일반판과 Daybreak Blue 설정의 실제 성능 차이도 아직 공개되지 않았고요. 더 구체적인 평가 결과는 출시 때 나올 시스템 카드에서 확인할 수 있어요.

안전장치가 정상 작업도 멈출 수 있어요

강한 모니터링에는 대가가 있어요. 오픈AI는 오정렬 감시 장치가 정상적인 방어 작업이나 사이버보안과 직접 관련 없어 보이는 장시간 작업까지 오탐해 느리게 하거나 일시 중지·종료할 수 있다고 밝혔어요. ChatGPT와 Codex에서는 사용자가 중단된 행동을 검토한 뒤 계속할 수 있지만, API에서는 해당 작업이 그대로 종료돼요.

에디터의 시선

아스트라를 둘러싼 이번 발표를 한 문장으로 요약하면, 최고 수준의 기능을 제한된 방어 파트너에게 먼저 제공하되 어느 정도까지 일반판에서 제한되는지는 아직 외부가 확인할 수 없는 구조예요. ExploitBench 만점과 제로데이 2건 발견은 분명 인상적이지만, 그 결과는 Daybreak Blue 설정에서 나온 것이어서 일반 사용자용 아스트라의 능력으로 그대로 받아들이면 안 돼요. 핵심 평가를 설계하고 결과를 공개한 주체도 오픈AI라는 점은 남아 있고요.

타이밍도 눈에 띄어요. 자사 에이전트가 실제로 통제를 뚫고 나간 사건이 알려진 직후, 같은 회사가 그보다 더 강력한 모델을 안전하다고 내놓는 모양새거든요. 아스트라가 탈출 시도를 하지 않았다는 실험 결과 하나로 이 우려가 해소됐다고 보기는 어려워요. 샤비트가 제기한 의문처럼, 모델이 규칙을 몰라서 안 지킨 게 아니라 관찰당하는 걸 알아서 얌전했을 가능성은 실험 하나로는 배제되지 않으니까요.

최고 수준의 해킹 기능은 제한된 방어 파트너에게 먼저 제공되고 일반판에는 더 강한 제한이 적용돼요. 따라서 강력한 공격 도구가 곧바로 모든 사용자에게 풀린다고 해석하는 것도 정확하지 않아요. 국내 기업이 확인해야 할 것은 제한된 기능이 탈옥으로 우회될 수 있는지, 오탐 때문에 정상적인 보안 자동화가 얼마나 자주 멈추는지예요. 보안팀이 있는 조직이라면 아스트라가 상용화되기 전에 자사 시스템의 알려진 취약점부터 먼저 점검해 두는 편이 낫고요. 출시 시스템 카드와 알파 테스터 정보, 일반판과 Daybreak Blue의 성능 차이가 이 이야기의 다음 분기점이에요.