OpenAI, GPT-5.6-Cyber 공개: 보안 AI의 성능보다 ‘누가 어떻게 쓰나’를 묻다
OpenAI가 고위험 보안 작업을 위한 GPT-5.6-Cyber와 Daybreak의 이원화 접근 체계를 공개했다. 핵심은 모델 성능만이 아니라 통제된 배포와 책임 있는 운영이다.
OpenAI가 고난도 사이버보안 작업에 특화한 GPT-5.6-Cyber와 새로운 Daybreak 접근 체계를 공개했다. 일반 사용자에게 모델을 풀어놓는 대신, 승인된 보안 전문가와 파트너가 정해진 범위 안에서 취약점 연구·침투 테스트·사고 대응에 쓰도록 한 것이 핵심이다. OpenAI의 자체 평가에서 이 모델은 고급 보안 요청의 95%를 완료했지만, 이 수치는 독립 평가가 아니라 회사 내부 벤치마크 결과라는 점을 함께 봐야 한다. 이번 발표는 보안 AI 경쟁의 기준이 단순한 성능에서 접근 통제와 책임 추적까지 넓어지고 있음을 보여준다.
Daybreak Blue와 Red, 위험도에 따라 접근을 나누다
OpenAI는 Daybreak를 Blue와 Red 두 단계로 재구성했다. Blue는 GPT-5.6 Sol을 기반으로 취약점 탐색, 보안 코드 리뷰, 악성코드 분석, 사고 대응, 패치 검증 같은 방어 업무를 지원한다. 일반 서비스에 적용된 일부 시스템 수준의 보안 제한을 조정해 승인된 방어자가 실무 맥락에서 모델을 더 폭넓게 활용하도록 설계됐다.
Red는 더 민감한 이중용도 작업을 위한 통제 구간이다. GPT-5.6-Cyber는 이 계층에서만 제공되며, 제로데이 취약점 탐색이나 익스플로잇 체인 검증처럼 방어와 공격 양쪽에 쓰일 수 있는 요청에 대한 거부를 줄이도록 별도 훈련됐다. OpenAI가 공개한 내부 ‘Advanced Cybersecurity Completion Rate’에서 GPT-5.6-Cyber의 완료율은 95.0%로, 일반 GPT-5.6 Sol의 1.5%, Daybreak Blue 환경의 2.0%, 이전 GPT-5.5-Cyber의 57.3%보다 높았다.
왜 성능 수치보다 배포 방식이 중요한가
보안 모델은 취약점을 더 잘 찾을수록 동시에 오용 위험도 커진다. OpenAI는 이를 모델 자체의 일괄적인 거부로만 해결하지 않고, 신원 확인, 명시된 테스트 범위, 로그와 모니터링, 사람의 감독을 결합한 접근 통제로 옮기려 한다. 고객이 기초 모델을 직접 넘겨받는 방식이 아니라 승인된 파트너가 관리형 서비스나 기존 보안 제품 안에서 사용하고, 실제 조치 전 전문가가 결과를 검토하는 구조다.
독립 보안 매체 BleepingComputer도 Daybreak Blue와 Red의 역할 분리, 모델에 대한 일반 사용자 접근 제한, 파트너를 통한 제공 방식을 확인했다. 발표된 파트너에는 Accenture·IBM·NCC Group·SpecterOps 같은 서비스 기업과 Palo Alto Networks·CrowdStrike·Cisco·Cloudflare 등 보안 기술 업체가 포함된다. 다만 실제 현장에서의 취약점 발견 정확도, 오탐률, 재현 가능성, 감독 비용은 공개된 내부 완료율만으로 판단할 수 없다.
기업 보안팀이 지금 확인할 실무 포인트
- 승인 범위를 문서화한다. 어떤 자산과 환경에서 어떤 테스트를 허용하는지, 운영 시스템 접근이 필요한지 사전에 구분해야 한다.
- 발견보다 수정까지 측정한다. 취약점 수가 아니라 재현 성공률, 우선순위 판단, 패치 검증 시간, 실제 위험 감소를 지표로 삼는 편이 낫다.
- 모델 활동 기록을 보존한다. 입력·도구 호출·결과·사람의 승인 과정을 추적할 수 있어야 사고 시 책임과 원인을 확인할 수 있다.
- 독립 검증을 요구한다. 공급사의 완료율과 별개로 자사 환경에서 오탐·누락·데이터 노출 가능성을 평가해야 한다.
전망: ‘최강 모델’보다 ‘통제 가능한 모델’
GPT-5.6-Cyber의 의미는 더 강한 보안 모델의 등장에만 있지 않다. 고위험 기능을 모든 사용자에게 동일하게 제공하지 않고, 업무 목적과 책임 구조에 따라 접근 단계를 나누는 제품 설계가 본격화됐다는 데 있다. 앞으로 경쟁의 핵심은 취약점 탐지 능력과 함께 누가 어떤 근거로 접근하고, 행동을 어떻게 기록하며, 잘못된 결과를 누가 검토하는지를 증명하는 운영 체계가 될 가능성이 크다.
