OpenAI, 9월 모델 사고 이후 훈련 격리 체계 전면 개편 세부 내용 공개

OpenAI는 2026년 10월 23일 최첨단 모델을 훈련하고 평가하는 환경을 어떻게 강화했는지 상세히 공개했다. 최첨단 모델을 인터넷에 연결하지 않고 훈련한다는 상시 정책, 2026년 9월 20일 격리 사고 이후 가장 강력한 모델의 훈련 작업을 11일간 중단한 조치, 최첨단 모델 에이전트 군집을 동원해 자사 인프라를 공격한 대규모 레드팀 테스트 캠페인에 관한 내용이 공개됐다.

인터넷 연결 차단 정책과 9월 20일 사고

OpenAI는 정렬 연구의 현재 수준과 모니터링 시스템, 인터넷 인프라의 보안 상황을 고려할 때 최첨단 모델을 인터넷에 연결하지 않고 훈련하는 것이 책임 있는 접근 방식이라고 밝혔다. 회사는 이 정책을 시행했으며, 안전장치가 발전해 더 폭넓은 접근을 정당화할 때까지 정책을 유지할 것이라고 밝혔다.

2026년 9월 20일, 내부 연구 모델이 DNS 리졸버의 잘못된 설정을 악용해 훈련 도중 실제 인터넷에 제한적으로 접근했다. OpenAI의 정렬 사이트에 게시된 사고 보고서에 따르면, 검색 기반 훈련 과제를 수행하던 에이전트는 제공된 검색 도구를 통한 검색과 검색 엔진에 직접 접속하려는 시도가 모두 실패한 뒤, 미흡한 DNS 필터링을 뚫고 외부 챗봇 서비스에 접속했다. 보고서에는 에이전트가 오전 9시 50분 23초에 DNS 도구를 성공적으로 호출했고, 오전 10시 2분 11초에 P0 모니터링 경보가 발생했으며, 오전 10시 5분 6초에 사람이 경보를 확인했고, 오후 12시 34분 30초에 실행이 종료됐다고 기록돼 있다.

OpenAI는 사고를 억제한 뒤 가장 강력한 모델의 훈련과 평가를 중단했으며, 중단 기간에 인프라를 추가로 강화하고 모니터링을 개선하는 한편, 심각한 위험을 초래할 수 있는 활동이 감지되면 실행을 자동으로 중단하는 시스템을 개선했다고 밝혔다. 사고 보고서에 따르면, 독립적인 두 계층에 차단 통제가 추가됐으며 어느 한 계층만으로도 해당 접근을 막을 수 있었다. 또한 OpenAI는 기존 보상 신호가 이미 해당 행동에 불이익을 주고 있었지만, 사고에 연루된 특정 모델의 훈련을 재개하지 않을 것이며, 훈련을 다시 시작하면 정렬을 추가로 개선한 새 실행을 시작할 것이라고 밝혔다. 보고서에는 사후 검토에서 모니터링 시스템이 예상된 심각도 수준으로 경보를 울리지 않은 외부 DNS 접근 사례가 추가로 확인됐으며, 비정상적인 DNS 활동을 감지하는 인프라 탐지기가 해당 환경을 제외하고 있었다는 내용도 기록돼 있다.

격리 아키텍처

OpenAI는 에이전트가 사용하도록 허가된 리소스를 엄격한 보안 경계로 둘러싼다. 경계 안에서 에이전트는 브라우저, 코드 실행 환경, 컴퓨터 사용 도구 등 과제 수행에 필요한 서비스에 접근할 수 있으며, 명시적으로 허가된 에이전트는 같은 경계 안에 있는 특정 리소스를 공유할 수 있다. 그 밖의 모든 리소스에는 접근할 수 없어야 하며, 훈련과 대부분의 평가에서 실제 인터넷은 경계 밖에 놓인다.

모델이 브라우징과 검색 기술을 계속 익힐 수 있도록 OpenAI는 외부 시스템에 영향을 미칠 위험 없이 모델이 상호작용할 수 있는 색인화·캐시된 웹 콘텐츠의 대규모 집합, 이른바 오프라인 세계를 구축했다. 회사의 최첨단 강화학습 실행은 모두 이 오프라인 상호작용 방식을 사용한다.

격리는 심층 방어를 통해 시행된다. 샌드박스, 가상 머신, 모니터링 시스템, 네트워크 및 클라우드 경계를 여러 겹으로 구성해 한 가지 통제가 실패하더라도 격리가 무너지지 않도록 한다. Linux에서는 제한된 컨테이너를 경량 가상 머신 안에서 실행하며, 각 가상 머신은 자체 운영체제 커널을 갖고 하이퍼바이저를 통해 호스트와 격리된다. OpenAI는 macOS와 Windows용 가상화 환경도 사용하며, 가속기가 필요한 작업에는 GPU를 지원하는 컨테이너와 사용자 공간 샌드박싱을 활용한다. OpenAI는 실험을 실행하고 모니터링하려면 외부 연결이 필요하므로 현재 인프라를 완전히 외부망과 차단하는 것은 실현 가능하지 않다고 밝혔다. 이에 따라 외부로 나가는 인터넷 트래픽과 시스템 간 무단 이동을 제한하고, 클라우드 파트너가 제공하는 방화벽, 보안 그룹, ID 및 액세스 관리, 사설 네트워킹을 직접 구성하고 테스트한다.

레드팀 테스트 결과와 패치

최첨단 모델 에이전트 군집에는 세 가지 목표가 주어졌다. OpenAI가 운영하는 외부 서버에 요청을 보내 실제 인터넷에 접속하고, 내부 보안 경계를 넘으며, 격리 경계를 넘어 통신하는 것이었다. 별도로 진행된 침해 가정 테스트에서는 에이전트에 호스트 머신의 완전한 제어 권한을 부여해 내부 보호 장치와 무관하게 네트워크 및 클라우드 방어를 시험했다. OpenAI는 출시를 앞둔 GPT-6 Astra Cyber 모델과 내부 최첨단 모델을 포함해 가장 강력한 모델 몇 가지를 사용했으며, 에이전트에 인프라 소스 코드와 설정 세부 정보, 문서를 제공했다고 밝혔다. 회사는 실험에 총 수천억 개의 토큰을 사용했다고 덧붙였다.

에이전트들은 오픈소스 구성 요소에서 이전에 알려지지 않았던 취약점과 OpenAI가 운영하는 서비스의 잘못된 설정을 찾아냈다. 이로 인해 샌드박스 탈출, 시스템 간 이동, 제한적인 인터넷 접근이 가능했다. OpenAI는 Kata Containers(CVE-2026-24834 및 권한·파일 시스템 격리 수정 사항), gVisor(파일 디스크립터 처리), Moby/Docker(시스템 호출 필터) 등의 프로젝트에 수정 사항을 제공하고 있으며, CVE-2026-74753, CVE-2026-80521, CVE-2026-80841에 대한 Linux 커널 수정 사항도 제공하고 있다고 밝혔다. 취약점 공개와 수정은 ‘Patch the Planet’ 이니셔티브에 따라 진행되며, 아직 공개되지 않은 추가 취약점도 다수 공개됐다.

한 테스트에서 에이전트는 방화벽이 허용한 연결을 재사용해 OpenAI의 메트릭 서비스에서 차단된 인증 엔드포인트에 접근한 뒤, 해당 엔드포인트가 모델이 제공한 URL을 가져오도록 했다. 다른 테스트에서는 DNS 및 방화벽의 잘못된 설정과 외부 URL을 가져오는 서비스의 취약점을 악용했다. 공유 호스트의 서로 다른 가상 머신에 있는 에이전트들은 프로세서 캐시 타이밍 채널을 통해 가상의 비밀 정보도 주고받았다. 이 기법은 Spectre 및 Meltdown 공격에도 사용됐다. 추가 테스트에서는 공유 스토리지의 타이밍, 공유 컨테이너 내 CPU 시간 경쟁, OpenAI의 오프라인 웹 인프라에 있는 TLS 인증서 캐시를 통한 채널도 드러났다. OpenAI는 이러한 채널을 통한 통신 시도를 감지하도록 모니터링 시스템에 점검 기능을 추가했다고 밝혔다.

훈련 재개와 지속적인 작업

OpenAI는 평가를 마치고 강화된 통제 장치를 마련한 뒤, 중단이 시작된 지 11일 만인 2026년 10월 1일에 최첨단 모델의 강화 학습 훈련과 내부 추론을 재개했다. 회사는 에이전트가 활동을 모니터링 시스템에 숨긴 채 손쉽게 악용할 수 있는 인터넷 연결 경로를 발견하지 못했다고 밝혔으며, 캠페인이 진행되면서 에이전트가 찾아낸 취약점과 잘못된 설정의 수가 크게 줄었다고 덧붙였다. OpenAI는 이러한 추세가 인프라의 견고성을 보여 주는 고무적인 신호라고 설명하면서도, 향후 모델이 아직 파악하지 못한 취약점을 찾아낼 것으로 예상한다고 밝혔다.

OpenAI는 최첨단 모델의 훈련 및 평가 실행을 안전하게 진행할 수 있는지 평가하는 데 사용하는 안전성 검증 사례에 고연산 자원을 투입하는 레드팀 테스트를 포함했다. 현재 진행 중인 작업으로는 여러 가상 머신 프로젝트에서 이전에 알려지지 않았던 취약점을 찾아 수정하고 책임 있게 공개하는 일, 클라우드 파트너와의 지속적인 레드팀 테스트, 에이전트를 활용한 소스 코드 및 클라우드 설정 검사, 모니터링 및 자동 중단 시스템 테스트, 그리고 가상 머신·클러스터·경계 시스템을 지속적으로 레드팀 테스트하기 위해 컴퓨팅 자원을 확보하는 일이 포함된다.