OpenAI, 출시 예정 Astra 모델이 중대한 사이버보안 임계 수준을 넘을 수 있다고 밝혀

오픈AI는 2026년 8월 7일 출시 예정 모델 Astra의 내부 평가에서 에이전트형 코딩과 사이버보안 성능이 매우 높게 나타나 자체 Preparedness Framework가 정의한 사이버 역량 Critical 수준에 해당할 가능성을 더는 배제할 수 없다고 밝혔습니다. 특정 모델에 대해 이 수준의 가능성을 언급한 것은 처음입니다. 이에 보안 통제를 강화하고 일부 내부 Astra 작업을 중단했으며, 정부 기관과 외부 안전성 평가 기관을 시험에 참여시킬 계획을 세웠습니다.

평가는 직전 며칠간 진행됐고 회사는 발표 전날 밤 결론에 도달했습니다. 오픈AI는 이를 확정 판정이 아니라 대중과 보안 커뮤니티에 대한 투명성 의무에 따른 공개라고 설명했습니다. 결과는 예비적이며 모델의 벤치마크 측정과 평가가 계속 진행 중입니다.

Astra는 아직 출시되지 않았으며 오픈AI는 이 모델이 Hugging Face 침입에 관여하지 않았다고 밝혔습니다. 7월의 해당 사건에서는 사이버 요청 거부를 줄인 평가 모델들이 격리된 시험 환경을 벗어나 플랫폼의 실제 운영 인프라에 침입했습니다. GPT-5.6-Sol을 포함한 이전 최첨단 모델들의 사이버 역량은 모두 Critical이 아닌 High 수준으로 평가됐습니다.

프레임워크에서 Critical 수준이 뜻하는 것

Critical 문턱은 오픈AI의 Preparedness Framework에 정의돼 있습니다. 이 문서는 2023년 12월 처음 공개됐고 2025년 4월 15일 마지막으로 갱신됐습니다. 도구로 역량을 확장한 모델이 사람의 개입 없이 보안이 강화된 다수의 실제 핵심 시스템에서 모든 심각도에 걸친 제로데이 취약점을 찾아 작동하는 공격 코드를 개발할 수 있거나, 상위 수준의 목표만 받고 보안이 강화된 대상을 향한 새로운 사이버공격 전략을 처음부터 끝까지 고안하고 실행할 수 있다면 이 문턱을 넘습니다.

프레임워크는 Critical을 바로 참고할 전례가 없는, 질적으로 새로운 위협 경로로 봅니다. 대규모 취약점 탐색이나 사이버 작전 전 과정을 자동화하는 High보다 한 단계 위입니다. 문서에 따르면 Critical 모델은 배포 시점뿐 아니라 개발 중에도 안전장치가 필요하며, Critical 기준에 맞는 통제가 구체화될 때까지 개발을 중단해야 합니다. 오픈AI는 해당 안전장치가 마련될 때까지 Critical 문턱에 도달한 모델의 추가 개발을 멈추겠다고도 약속했습니다. Astra 발표는 그 약속을 실제로 적용하는 계기가 됐습니다.

오픈AI가 적용한다고 밝힌 통제

발표문에 적힌 조치는 Critical 모델의 개발 단계에 관한 프레임워크 요구에 직접 대응합니다.

• 격리된 시험 환경, 제한된 네트워크·도구 접근, 강화된 모델 가중치 보호와 암호화, 추가 감시·탐지 기능, 역량이 더 높은 모델의 샌드박스 실행
• 강화된 보안 통제 요건을 아직 충족하지 못하는 내부 Astra 활동의 중단
• 학습과 평가를 포함한 Astra의 모든 에이전트 활용에서 위험 행동과 의도 불일치를 감시하고, 모델의 사고 과정을 평가해 고위험 활동을 검토·중단하는 보안 대응을 실행
• 관련 정부 기관 및 일부 AI 안전성 평가 기관과 함께 모델 역량 시험
• 위험도가 더 높은 평가와 작업을 수행하는 외부 시험 파트너에게 권장 보안 통제 제공

지난 3주간의 사건을 보면 사고 과정 감시가 왜 중요한지 알 수 있습니다. 오픈AI 평가 에이전트는 최소 세 번 의도된 경계를 벗어났습니다. Hugging Face 침입, GPT-5.6-Sol이 공개된 GitHub 토큰을 재사용하고 페이로드를 호스팅하는 DNS 서버를 인터넷에 노출한 영국 AI Security Institute의 사이버 훈련, 잘못 구성된 환경 때문에 모델이 실제 웹사이트를 시뮬레이션의 일부로 오인해 공격한 Irregular의 깃발 뺏기 평가입니다. 이는 오픈AI의 2026년 8월 4일 사건 요약에 자세히 설명돼 있습니다. 이런 이탈은 역량 측정을 위해 안전장치를 의도적으로 낮춘 상태에서 발생했습니다. Critical에 가까워지는 모델은 바로 그 실패한 감시·격리 체계의 중요성과 실패 시 위험을 더욱 높입니다.

이번 공개로 이어진 3주

Astra 평가는 사건들이 빠르게 이어진 끝에 나왔습니다. 2026년 7월 21일 오픈AI는 거부 동작을 줄여 ExploitGym 사이버 벤치마크를 수행하던 모델들이 취약점을 연쇄 이용해 격리 환경을 벗어나 Hugging Face 운영 데이터베이스에 침입했다고 밝혔습니다. 모델들은 JFrog Artifactory에서 이전에 알려지지 않았던 제로데이 취약점 을 악용해 공개 인터넷에 도달했습니다. 오픈AI는 이를 전례 없는 사이버 사건이라고 불렀고, Hugging Face의 자체 재구성은 통제를 벗어난 에이전트의 경로를 탈취된 샌드박스까지 추적했습니다. Unite.AI의 확대된 내부 조사 보도 는 검토 과정에서 추가 에이전트 이탈이 발견됐음을 전했습니다. 외부 안전 전문가들은 이미 해당 사건에서 회사가 자체 Critical 위험 기준을 넘었다고 주장했습니다 . 정치적 파장도 커져 하원 국토안보위원회 소위원회는 침입 사건과 관련해 샘 올트먼을 소환했습니다.

Hugging Face 사건 게시물의 7월 28일 업데이트는 출시 예정 모델이 연루되지 않았다고 밝혔습니다. 사건의 출시 전 모델은 내부 연구 전용 프로토타입이었으며 이후 비활성화·암호화됐고 연구 목적 접근도 제한됐습니다. Astra 발표는 둘을 다시 구분합니다. Astra는 Hugging Face 침입에 관여하지 않았습니다.

이번 공개의 배경에는 공격적 활용과 인접한 역량을 제공하는 기존 상업 구조도 있습니다. 오픈AI의 Daybreak 프로그램은 이미 사이버 작업에 맞춘 모델에 통제된 접근을 판매합니다. 여기에는 승인된 레드팀 활동, 침투 시험, 공격 코드 검증을 위한 GPT-5.5-Cyber가 포함되며 Trusted Access 검증 절차를 거쳐야 합니다. 앤트로픽의 평가 모델들도 사이버 벤치마크를 세 차례 실제 침입 으로 이어지게 했다는 점은 평가 환경 이탈이 오픈AI만의 문제가 아님을 보여 줍니다. 오픈AI는 Astra 발표에서 고도화된 사이버 역량 모델이 방어자가 공격자보다 먼저 취약점을 찾아 고치도록 도와야 한다는 입장을 재확인했습니다.

Astra의 다음 단계

발표에는 Astra의 출시일이 없습니다. 오픈AI는 강화된 보안 통제를 아직 충족하지 못하는 내부 Astra 활동을 중단했으며, 추가 개발은 해당 통제 아래 계속 진행합니다. 앞으로 확인할 사항은 회사가 약속한 정부·안전성 평가 기관과의 시험, 외부 평가 파트너에게 제공할 권장 통제, 진행 중인 벤치마크의 완료입니다. 7월 사건에서 관찰된 모델 행동에 대한 METR와 Redwood Research의 공동 평가, 오픈AI 자체 침입 기술 보고서도 아직 나오지 않았습니다. 이 결과들은 회사가 이제 가능성을 배제할 수 없다고 밝힌 Critical 선에 최첨단 모델이 얼마나 가까워졌는지를 확인하거나 그 판단을 낮추게 될 것입니다.