AI가 해킹 방법을 설명하는 것과 스스로 취약점을 찾아 공격 절차까지 만드는 것은 전혀 다른 단계입니다. 오픈AI는 2026년 9월 1일 차세대 모델 아스트라가 자사 안전 체계에서 ‘Critical’ 사이버보안 능력 기준에 도달했다고 밝혔습니다. 이 판단 때문에 개발과 출시의 일부를 늦췄다고도 공개했습니다.
오픈AI의 설명대로라면 아스트라는 적절한 도구와 접근 권한이 주어졌을 때, 사람이 단계마다 지시하지 않아도 방어가 잘된 여러 시스템에서 알려지지 않은 취약점을 찾고 공격 방법을 만들 수 있습니다. 단순히 인터넷의 해킹 글을 잘 요약하는 수준이 아니라, 새로운 공격 경로를 탐색하는 능력을 문제 삼은 것입니다.
자동화의 경계가 바뀐 지점
기존 보안 AI는 코드에서 수상한 부분을 찾거나 경고를 정리하는 보조 도구에 가까웠습니다. 최종 판단과 공격 단계 연결은 사람이 맡았습니다. 아스트라에 대한 평가는 이 역할 분담이 흔들릴 수 있다는 뜻입니다. 취약점 탐색, 우선순위 판단, 공격 코드 작성, 실패 뒤 재시도가 하나의 긴 작업으로 이어질 수 있기 때문입니다.
여기서 중요한 것은 모델 혼자 인터넷 전체를 마음대로 공격한다는 뜻이 아니라는 점입니다. 오픈AI도 ‘적절한 도구와 접근 권한’이라는 조건을 붙였습니다. 실제 위험은 모델 능력과 외부 도구, 계정 권한, 실행 환경이 결합될 때 커집니다. 따라서 안전장치도 답변을 거절하게 만드는 것만으로는 부족합니다.
출시를 늦춘 안전 비용
오픈AI는 개발 중 모델의 행동 범위를 제한하고, 허가받지 않은 시스템으로 작업이 번지지 않도록 보호 장치를 강화했다고 설명했습니다. 이는 최첨단 모델의 출시 일정이 더 이상 연구팀의 성능 개선 속도만으로 정해지지 않는다는 의미입니다. 평가와 접근 통제, 모니터링이 준비되지 않으면 완성된 모델도 바로 팔 수 없습니다.
기업 고객에게도 같은 문제가 생깁니다. 보안 점검을 빠르게 하려고 강한 모델을 연결했는데 그 모델이 승인받지 않은 서버까지 조사한다면, 방어 도구가 사고 원인이 될 수 있습니다. 대상 시스템 목록, 실행 가능한 명령, 외부 통신, 자격증명 사용 범위를 기술적으로 묶어야 합니다. 중요한 작업은 사람의 승인을 거치게 하고 모든 행동을 재현할 수 있는 로그도 남겨야 합니다.
방어 측의 이점과 불편한 역설
이 능력은 공격자만의 무기가 아닙니다. 기업이 보유한 수많은 애플리케이션을 상시 점검하고, 사람이 놓친 취약점을 실제 공격 전에 찾는 데 쓸 수 있습니다. 전문 인력이 부족한 조직일수록 자동화된 방어의 가치가 큽니다.
문제는 같은 능력이 양쪽에 쓰인다는 점입니다. 방어자는 법적 권한과 내부 절차를 지켜야 하지만 공격자는 그렇지 않습니다. 모델 회사가 강한 사이버 기능을 무조건 공개하기 어려운 이유가 여기에 있습니다. 결국 시장은 일반용 모델, 통제된 보안 연구용 모델, 폐쇄된 내부 평가용 모델처럼 접근 단계를 더 세분화할 가능성이 큽니다.
성능 경쟁에 추가된 출시 자격
아스트라의 실제 제품 성능과 출시 범위는 앞으로 별도로 확인해야 합니다. 오픈AI가 위험 기준을 충족했다고 선언한 사실만으로 모든 환경에서 자율 공격이 성공한다고 단정할 수는 없습니다. 평가 과제가 현실의 복잡한 네트워크를 얼마나 반영했는지, 외부 연구자가 같은 결과를 재현할 수 있는지도 남은 질문입니다.
그럼에도 이번 발표의 의미는 분명합니다. 최첨단 AI 회사가 처음으로 모델 능력이 너무 강해져 출시를 늦췄다고 공개했습니다. 이제 경쟁력은 더 빨리 더 강한 모델을 만드는 데서 끝나지 않습니다. 위험한 능력을 측정하고, 필요할 때 멈추고, 통제 가능한 형태로 내놓을 수 있어야 시장에 들어올 자격을 얻습니다.