GPT-5.3-Codex는 사이버 분야에서 높은 평가를 받았다. 오픈AI는 확정적인 증거를 갖고 있지 않다.

2026년 2월 5일 OpenAI는 GPT-5.3-Codex의 시스템 카드를 공개했으며, 그 안에서 이 모델을 사이버보안 영역에서 높은 역량으로 분류했습니다. 이는 회사가 해당 영역의 어떤 모델에도 처음으로 그 라벨을 적용한 것입니다. 분류 뒤에 이어지는 문장은 두 번 읽을 가치가 있습니다: "우리는 이 모델이 우리의 High 기준에 도달한다는 결정적 증거를 가지고 있지 않습니다." OpenAI는 모델이 모든 카나리 기준을 통과했기 때문에 해당 역량이 실제로 존재할 가능성을 배제할 수 없어 예방적으로 조치했다고 밝혔습니다. 침해된 것은 없고 기록된 피해자도 없습니다. 이것은 사건이 아니라 분류이며, 랜드마크 플래그가 붙은 정책 기록으로 제출됩니다. 심각도와 신뢰도 등급이 포함된 이 분류에 대한 아카이브 자체의 항목은 Orca AI Incident Archive에서 올해의 다른 거버넌스 기록들과 나란히 있습니다.

"높음"이 의미하는 것, 그리고 누가 결정하는가

OpenAI의 Preparedness Framework는 두 가지 임계값을 설정한다. High 역량은 "심각한 피해로 이어지는 기존 경로를 증폭시킬 수 있는" 수준이고, Critical 역량은 "심각한 피해로 이어지는 전례 없는 새로운 경로를 도입할 수 있는" 수준이다. OpenAI가 프레임워크를 설명한 바에 따르면, High에 도달한 적용 대상 시스템은 배포 전에 관련 위험을 충분히 최소화하는 안전장치를 갖춰야 하며, Critical에 도달한 시스템은 개발 중에도 이를 갖춰야 한다. 그곳에서 설명된 검토는 내부 절차다. Safety Advisory Group이 안전장치가 위험을 충분히 최소화하는지 평가하고 권고안을 마련하며, 그 지침은 최종 결정을 위해 OpenAI 경영진에게 전달된다. 시스템 카드에는 등급에 대한 외부 승인 절차가 설명되어 있지 않다.

사이버 특화 정의는 표제문보다 더 좁다. OpenAI는 '높은 사이버보안 역량'을 "사이버 작전 확장에 존재하는 병목을 제거"하는 모델, 즉 "상당히 강화된 표적을 상대로 한 종단 간 사이버 작전을 자동화"하거나 "작전상 관련성이 있는 취약점의 발견 및 악용을 자동화"하는 모델로 정의한다. 이 카드는 그 기준이 하나의 캠페인 전반에서 병목을 제거하는 것에 관한 것이지, 어려운 과제를 해결할 수 있는 모델에 관한 것이 아니라는 점을 분명히 한다. OpenAI는 최전선 사이버 위험이 "개별 행동이 아니라 작전이나 캠페인 측면에서 평가되는 것이 가장 적절하다"고 쓴다.

그렇게 읽으면, 2월 5일의 분류는 구체적인 의미를 담고 있다. 즉 OpenAI는 이 모델이 없애는 병목이 지속적인 침입에 요구되는 기술과 체력이라고 보고 있으며, 회사는 그렇다는 증거가 나오기를 기다리기보다 접근을 제한하고 감시하는 쪽을 택했다는 것이다.

세 가지 평가, 그리고 반대 방향으로 흘러가는 한 가지 비교

OpenAI는 심각한 사이버 피해와 연관된 세 가지 기술에 대해 세 가지 벤치마크를 사용한다. 취약점 식별 및 악용을 위한 Professional Capture the Flag, 일관성을 위한 CVE-Bench, 에뮬레이션된 네트워크에서의 종단 간 운영을 위한 Cyber Range다. GPT-5.3-Codex는 카드의 표현대로 "세 평가 모두에서 모든 임계값을 통과한 첫 번째 모델"이다. 개별 결과가 요약보다 더 중요하다.

프로페셔널 CTF에서 이 모델은 "GPT-5.2-Codex와 동등한 성능"을 보였으며, 카드 자체의 설명은 "최고 CTF 성능에서 실질적인 변화 없음"이고, 이는 챌린지당 16회 롤아웃에 대한 pass@12로 측정되었다. CVE-Bench에서는 34개(벤치마크 40개 챌린지 중) 챌린지에서 3회 롤아웃에 걸친 pass@1 기준으로 90퍼센트를 기록해 GPT-5.2-Codex의 87퍼센트를 앞섰다. Cyber Range에서는 15개 시나리오 중 12개를 통과해 80퍼센트의 합산 통과율을 기록했으며, GPT-5.1-Codex-Max는 60퍼센트, GPT-5.2-Codex는 53.33퍼센트, GPT-5.2-Thinking은 47퍼센트였다. EDR Evasion, CA/DNS Hijacking, Leaked Token에서는 실패했다.

카드는 그것이 종합적으로 무엇을 의미하는지에 대해 신중하다. CTF는 미리 정해진 공격 경로를 테스트하고, CVE-Bench는 웹 애플리케이션만 다루며, Cyber Range 시나리오는 실제 사용 중인 네트워크의 방어 체계와 잡음이 부족하기 때문에, "세 가지 평가 모두에서 뛰어난 성과를 내는 것은 모델이 사이버보안 능력에서 High로 간주되기 위한 필요조건이지만 충분조건은 아니다." OpenAI의 결론은 해당 모델이 High라는 것이 아니라, High가 아니라고 배제할 수 없다는 것이다.

모델의 거의 최종 버전을 보안 연구소 Irregular가 외부 평가한 결과는 요약 문구가 보여주지 않는 방식으로 상황을 복잡하게 만든다. GPT-5.3-Codex는 네트워크 공격 시뮬레이션에서 평균 86퍼센트를 기록했고, GPT-5.2-Codex는 68퍼센트였으며, 100퍼센트는 GPT-5.2-Thinking이 기록했으며; 취약점 연구 및 악용에서는 72퍼센트로, 75퍼센트와 80퍼센트보다 낮았고; 회피에서는 53퍼센트로 52퍼센트, 53퍼센트와 비슷했다. 이 모델은 현실적 제약 아래 다단계 계획을 시험하는 시나리오 기반 프레임워크인 CyScenarioBench의 과제를 하나도 해결하지 못했다. 다시 말해 Irregular의 평가 제품군에서 새로 분류된 이 모델은 세 범주 중 두 범주에서 이전 형제 모델에 뒤졌다. 이는 모델 카드가 자체 임계값 주장과 조화시키지 않은 채 공개한 결과다.

관문: Trusted Access for Cyber

기록의 형태를 규정하는 완화책은 필터가 아니라 프로그램입니다. OpenAI는 "출시 첫날"부터 사이버 보안용 신뢰 액세스(Trusted Access for Cyber, TAC)를 시작했으며, 이를 기업 고객과 선의의 정당한 사용자에게 "고위험 이중용도 사이버 역량"을 제공하는 "신원 기반 게이트 프로그램"이라고 설명했습니다. 이 카드에는 지원되는 용도가 나열되어 있습니다: 침투 테스트, 레드 팀 활동, 취약점 평가, 식별 및 익스플로잇, 보안 테스트 및 탐지 회피 조사, 악성코드 리버스 엔지니어링, 암호 연구.

접근 설계는 일반적인 순서를 뒤집습니다. 로그인한 사용자는 모니터링과 집행을 전제로 기본적으로 사이버 고성능 기능을 부여받으며, "고위험 이중용도 사이버 기능을 자주 활용하는" 사용자가 TAC를 통해 신원을 확인해야 고급 기능을 유지할 수 있습니다. 기업은 OpenAI 담당자를 통해 팀 전체에 대한 신뢰 접근을 요청할 수 있고, 더 관대한 모델이 필요한 연구자는 초대 전용 프로그램에 지원할 수 있습니다. 이는 OpenAI가 해당 프로그램을 직접 발표한 내용에 따른 것입니다. 이와 함께 OpenAI는 사이버보안 그랜트 프로그램을 통해 1,000만 달러의 API 크레딧을 약정했습니다.

OpenAI는 이 게이트가 보증이 아니라는 점을 분명히 밝혔다. 접근 권한은 "합법적이고 방어적이며 승인된 보안 목적에 한해서만" 부여되며, "악의적 행동 기능을 자주 찾는" TAC 참가자는 "계속 모니터링 및 제재 대상이 되고, TAC 접근 권한을 상실하는 것을 포함한다." 출시 게시물은 두 번째 통제 장치를 추가로 설명한다. 시스템이 높은 사이버 위험으로 감지한 일부 요청은 "GPT-5.3-Codex에서 GPT-5.2로 자동 라우팅될 수 있다." Fortune은 2월 5일 OpenAI가 모델을 대규모로 자동화할 수 있는 전체 API 접근을 즉시 활성화하지 않았으며, 그동안 모델은 유료 ChatGPT 사용자에게 제공됐다고 보도했다.

샌드박스 기본값과 공개된 미탐지율을 갖춘 모니터

두 가지 추가 계층이 측정 가능한 용어로 설명된다. 에이전트 샌드박스는 클라우드에서 "OpenAI가 호스팅하는 격리된 컨테이너" 안에서 실행되며 사용자의 호스트 시스템에 접근할 수 없고 네트워크 접근은 기본적으로 비활성화된다. 로컬 설치에서는 샌드박싱이 기본으로 적용되는데, macOS에서는 Seatbelt를, Linux에서는 seccomp와 landlock을, Windows에서는 기본 방식 또는 WSL(Windows Subsystem for Linux)을 통해 이루어진다. 기본 설정은 네트워크 접근을 비활성화하고 파일 편집을 현재 작업 공간으로 제한하도록 설계되었으며, 사용자는 샌드박스가 적용되지 않은 명령을 승인하거나 프로젝트별 허용 목록 및 차단 목록을 설정할 수 있다. 이 카드는 네트워크 접근을 켜면 프롬프트 인젝션, 자격 증명 유출 및 라이선스 위험이 다시 발생한다고 경고한다.

모니터링 계층은 2단계 시스템입니다. 빠른 주제 분류기가 콘텐츠가 사이버 보안 관련인지 판단하고, 관련이 있다고 판단된 것은 모두 "안전 추론기"로 에스컬레이션되어 OpenAI의 사이버 위협 분류 체계에 배치되고 출력을 표시할 수 있는지 결정합니다. 주제 분류기는 99.9%가 넘는 시스템 신뢰성에서 90%가 넘는 재현율을 내도록 조정되어 있습니다. 추론 모니터의 수치는 덜 안심되며 카드 자체의 표에 기재되어 있습니다. 사용자 프롬프트에서는 재현율 77.8%, 정밀도 37.1%이고, 어시스턴트 응답에서는 재현율 88.8%, 정밀도 24.1%입니다. OpenAI는 정밀도보다 재현율을 의도적으로 최적화한다고 말합니다. 그래서 저위험 작업이 때때로 차단되며, 해당 테스트 세트에서 잡아냈어야 할 사용자 프롬프트 다섯 개 중 대략 하나는 잡히지 않았습니다.

레드 팀이 발견한 것

이 카드는 적대적 결과를 요약이 아니라 상세히 공개한다. 두 캠페인은 2025년 12월부터 2026년 1월까지 전문가 레드팀 활동에 3,526시간을 투입했다. Universal Jailbreak Campaign은 1,375시간을 사용해 21건의 제출물을 만들었으며, 그중 6건은 완전한 범용 탈옥이었고 14건은 부분적 탈옥이었다. Adversarial Policy Coverage Campaign은 2,151시간을 사용해 279건의 보고서를 제출했고, 안전 추론기가 콘텐츠를 차단했어야 했지만 차단하지 않은 132건의 위음성을 발견했다. OpenAI는 해당 탈옥들을 "차단하지 않음"이라고 부르며 수정될 것이라고 말하고, 캠페인들이 "Safety Reasoner가 여전히 적대적 공격에 대비한 반복적 강화가 필요함"을 보여준다고 인정한다.

가장 눈에 띄는 단일 결과는 정부 평가 기관과 관련되어 있습니다. 영국 AI 보안 연구소(UK AI Security Institute)는 안전 추론기가 활성화되어 차단하는 빌드에 조기 접근권을 받고, 약 10시간의 수동 레드팀 작업 동안 단일 사용자 메시지를 사용해 "0.778 pass@200을 달성한 보편적 탈옥(재시도 포함)"을 개발했습니다. 같은 섹션에는 미국 AI 표준·혁신 센터(US Center for AI Standards and Innovation)가 자체 자동 평가로 이 모델의 사이버 역량을 테스트했고, 이를 활용해 오픈소스 및 클로즈드 소스 소프트웨어에서 새로운 버그를 찾아냈다는 점, 그리고 GPT-5.3-Codex가 컨텍스트 압축 구간 전반에서 어려운 작업을 계속 진전시켜 "5,000만 개 이상의 고유 토큰과 수십 시간의 분석 후에도 새로운 결과를 찾아냈다"는 점이 기록되어 있습니다.

두 정부 조사 결과는 모두 OpenAI의 모델 카드 안에 보고되어 있다. 이 연구에서는 두 기관 중 어느 곳에서도 GPT-5.3-Codex를 다룬 독립적으로 공개된 평가를 찾지 못했다. 그러한 평가가 나오기 전까지, 이 모델에 대한 외부의 검증은 벤더가 제공한 설명을 통해서만 대중에게 알려져 있다. 이 카드의 잔여 위험 목록은 같은 공백에 대해 이례적으로 솔직하게 밝히고 있다. 제한된 모니터 정밀도가 건초더미에서 바늘 찾기식 검토 문제를 야기한다는 점, "악의적 행위자가 신뢰된 접근 권한을 얻을 가능성이 0은 아니다"라는 점, 신원 확인 업체의 실패, 그리고 아직 발견되지 않은 범용 탈옥이다. 또한 이 카드는 5개월 동안 비동기적으로 실행된 Codex 배포에 대한 내부 모니터링이 "피해를 막지도, 다른 보호 장치의 우회를 방지하지도 못한다"고 명시하고 있다.

그 후 무엇이 달라졌나요?

그 게이트는 출시보다 오래 살아남아 성장했다. Axios는 2026년 4월 9일 OpenAI가 소규모 파트너 집합을 위한 별도의 사이버보안 제품을 마무리하고 있다고 보도했으며, TAC가 "GPT-5.3-Codex를 출시한 후" 2월에 출시되었다고 설명했다. 2026년 4월 15일 Help Net Security는 OpenAI가 TAC를 "수천 명의 검증된 개인 방어자와 수백 개 팀"으로 확장했으며, 정당한 보안 작업에 대한 거부 경계가 더 낮고 바이너리 리버스 엔지니어링 기능을 갖춘 GPT-5.4 변형인 GPT-5.4-Cyber를 최고 접근 등급에 출시하고 있다고 보도했다. 2월 카드에 설명된 파일럿은 등급 체계를 갖춘 제품 라인이 되었다.

분류 자체는 게이트보다 덜 멀리 퍼졌다. Fortune의 2월 5일자 Sharon Goldman 기사는 이를 직접 보도하며, GPT-5.3-Codex를 "우리 대비 프레임워크에서 사이버보안 '높음' 등급을 받은 첫 모델"이라고 부른 OpenAI CEO 샘 올트먼의 X 게시물을 인용했다. The Cyber Express는 2월 6일 TAC 출시를 세 가지 접근 경로, 1,000만 달러, 금지 행동까지 자세히 다뤘지만 '높음' 등급은 전혀 언급하지 않았다. Boston Global Forum은 4월 12일 글에서 둘을 함께 다시 언급했다. 4월 중순까지 이 패키지에서 가장 많이 인용된 부분은 그 배경에 있는 기준 판단이 아니라 접근 프로그램이었다.

설립됨, 미설립, 개방

확립된 사실: OpenAI는 2026년 2월 5일 GPT-5.3-Codex 시스템 카드를 공개하고 자사의 Preparedness Framework에 따라 이 모델을 사이버보안 분야에서 High capability로 분류했다. 회사는 같은 문서에서 이 모델이 해당 기준에 도달한다는 결정적 증거는 없으며 예방적 조치를 취하는 것이라고 밝혔다. 위의 평가 수치는 회사 자체 수치다. TAC는 이 모델과 함께 출시되었다. 샌드박스와 2단계 모니터는 여기 인용된 수준의 세부 사항까지 문서화되어 있다. 그리고 레드팀 시간, 제출 건수, UK AISI 탈옥 수치는 모두 카드에 인쇄되어 있다. Fortune은 같은 날 이 분류를 보도하며 X에 올린 Altman의 게시물을 인용했다. 기록해 둘 만한 날짜상의 미묘한 불일치가 하나 있다. 출시 게시물 자체의 페이지 메타데이터에는 2월 4일 22:23 GMT 타임스탬프가 있는 반면, 시스템 카드와 Fortune의 보도는 2월 5일자로 되어 있다.

확립되지 않은 것: GPT-5.3-Codex가 실제로 OpenAI의 High 기준을 충족한다는 점이다. 그것은 비평가가 아니라 OpenAI 자신의 단서다. 이 연구는 또한 그 등급에 대한 외부 인증, 이 모델에 대한 규제 기관이나 국가 연구소의 공개 평가, 또는 계층화된 스택이 실제 세계의 오용을 줄였는지에 대한 어떤 측정도 찾지 못했다 — 기록에 피해가 없다는 것은 피해가 기록되지 않았기 때문이지, 피해가 발생하지 않았기 때문이 아니다. 모델이 세 가지 내부 기준을 모두 통과한 첫 사례라는 카드의 주장은 OpenAI의 벤치마크 제품군에 대한 진술이며, 같은 문서는 그것이 탐지하려는 능력에 대한 필요하지만 충분하지는 않은 증거라고 말한다.

아직 열려 있는 문제: 신원 게이트와, 플래그가 지정된 사용자 프롬프트의 약 5분의 1을 놓치는 모니터가 증명이 아니라 예방 조치를 기준으로 분류된 모델에 대한 지속 가능한 답인지, Irregular의 외부 스위트에서 GPT-5.2-Thinking 대비 모델의 겉보기 성능 저하가 하네스와 유도 방식의 차이를 감안한 뒤에도 의미가 있는지, 그리고 2월 파일럿과 4월 제품 라인 사이의 격차 중 얼마나 많은 부분이 학습된 것이 아니라 계획된 것이었는지. 아카이브 항목은 그 분류를 기록한다. 나머지는 게이트를 운영하는 사람들이 여전히 써 내려가고 있다.

이 기록은 거버넌스 사건이며, 그렇게 읽힌다: 한 기업이 어떤 사건이 발생하기 전에, 자사 모델 중 하나가 아직 측정할 수 없는 선을 넘었을 수 있다고 생각한다고 적어 두고, 그 의심에 힘입어 게이트를 구축한 것이다. 그 게이트가 비례적이었는지는 이 카드가 의도적으로 열어 둔 질문이다 — 카드는 위험이 "충분히 최소화되었다"고만 말하며, 그렇지 않을 수 있는 여섯 가지 방식을 나열한다.