OpenAI는 Astra의 치명적 사이버 능력을 배제하지 못했고, 작업 일부만 중단했다

금요일인 2026년 8월 7일, OpenAI는 게시물을 통해 Astra — 자사의 출시 예정 모델 중 하나 — 에 대한 최신 내부 평가가 "에이전틱 코딩과 사이버보안 분야의 상당한 발전"을 보여 주었으며, 해당 모델이 Critical — 자사의 Preparedness Framework에서 가장 높은 사이버 등급 — 에 도달할 가능성을 배제할 수 없다고 밝혔다. 게시물은 이 결론이 여러 날의 테스트를 거친 뒤 "지난밤" 내려졌다고 전한다. 피해는 없었다. 게시물은 침해가 아니라 평가를 설명하며, OpenAI는 Astra가 "Hugging Face를 익스플로잇하는 데 관여하지 않았다"고 밝혔다. 바뀐 것은 내부적이었다. 강화된 보안 통제를 충족하지 못한 개발은 중단되었고, 충족한 작업은 계속되었다. 가장 직접적인 영향을 받는 사람들은 OpenAI의 개발자들과, 결국 접근 권한을 얻게 될 테스터 및 방어 담당자들이다. 이 결정의 기록은 AI 사건 아카이브의 한 항목이며, 이 아카이브에는 이 사건의 출처, 등급 및 인접 항목이 실려 있다.

거버넌스 사안으로서 눈에 띄는 점은 이 게시물이 주장하는 바가 얼마나 적은지다. 점수도, 테스트 결과도, 대화 기록도, 이름이 밝혀진 외부 평가자도 보고하지 않는다. 대신 하나의 판단을 보고한다. 이용 가능한 증거로 볼 때 OpenAI는 자사 모델 어느 것에도 이전에 부여한 적 없는 역량 수준을 배제할 수 없었다는 판단이다. 이로써 이 기록은 동시에 두 가지로 읽을 가치가 있다. 한 모델에 관한 공개이면서, 회사 자체의 안전 프레임워크가 회사의 행동을 바꾸는지를 시험하는 사례라는 점이다.

OpenAI 프레임워크에서 "Critical"이 의미하는 것

해당 Preparedness Framework는 2023년 12월에 처음 발표되었고 2025년 4월 15일 버전 2로 개정되었으며, 생물학적·화학적 역량, 사이버보안, AI 자기 개선의 세 범주를 추적합니다. 각 범주에는 High와 Critical의 두 가지 역량 등급이 있습니다. 사이버 임계값은 이 프레임워크와 OpenAI의 8월 게시물 모두에서 거의 동일한 표현으로 나타납니다. 모델이 "인간의 개입 없이 다수의 강화된 실제 핵심 시스템에서 모든 심각도 수준의 기능적인 제로데이 익스플로이트를 식별하고 개발"할 수 있거나, "높은 수준의 원하는 목표만 주어진 상태에서 강화된 표적에 대한 사이버 공격을 위한 엔드투엔드의 새로운 전략을 고안하고 실행"할 수 있으면 Critical에 도달합니다.

High는 한 단계 아래 등급이다. OpenAI의 게시물에 따르면 ‘GPT-5.6 Sol’을 포함한 이전 모델들은 프런티어 사이버 역량에 대해 평가받았으며, Critical이 아닌 High로 평가되었다. 이 구분은 중요하다. 프레임워크가 각 등급에 서로 다른 의무를 부여하기 때문이다. Critical에 도달한 모델의 경우, 프레임워크는 ‘배포 계획과 관계없이 개발 중 관련 위험을 충분히 최소화’하는 보호장치를 요구한다. 사이버 관련 표는 더 노골적이다. ‘Critical 기준을 충족할 보호장치 및 보안 통제 표준을 명시할 때까지 추가 개발을 중단하라.’

8월 7일의 문구는 지정이 아니다. 해당 게시물은 ‘예비 평가 결과 성능이 충분히 강력하여 현시점에서는 Critical 능력 수준을 배제할 수 없다’고 밝혔다. 회사는 여전히 벤치마킹을 진행 중이었으며, 그렇게 밝혔다.

OpenAI가 한 일, 그리고 그 일시 중지가 다룬 것

해당 게시물은 다섯 가지 내부 조치를 나열하고 있으며, 그 모두는 작업을 중단할 이유가 아니라 계속하기 위한 조건으로 제시되고 있습니다:

• 고성능 모델 및 관련 활동에 대한 더 엄격한 보안 통제: {{1}}"격리된 테스트 환경, 제한된 네트워크 및 도구 접근, 강화된 모델 가중치 보호 및 암호화, 추가 모니터링 및 탐지 기능, 샌드박스 실행."{{/1}}

• 아직 이러한 강화된 보안 통제 요건을 충족하지 못하는 "Astra가 관련된 내부 활동"을 일시 중단합니다. 해당 요건을 충족한 작업은 계속할 수 있습니다.

• "Astra의 모든 에이전트형 애플리케이션(교육 및 평가 포함) 전반에서 위험한 행동과 목표 불일치를 보편적으로 모니터링"하며, 모니터가 모델의 사고 과정을 읽고 보안 대응을 촉발하여 고위험 활동을 검토하고 중단합니다.

• "관련 정부 기관 및 일부 AI 안전 조직"과 함께 테스트하기.

• 고위험 평가 및 워크로드를 실행하는 제3자 테스트 파트너를 위한 권장 보안 통제.

OpenAI는 그 선례를 직접 설명했습니다. "2025년 6월, 우리 모델들이 Preparedness Framework에 따른 생물학 분야의 고역량 임계값에 근접함에 따라"라는 게시물에서 회사는 안전장치를 강화하고, 테스트를 확대하고, 외부 전문가와 협력하고, 보안 통제를 추가하는 조치들을 제시했으며, "여기에도 같은 원칙을 적용"하고 있었다고 밝혔습니다. 주목할 만한 세부 사항은 등급입니다: OpenAI 자체의 설명에 따르면 그 2025년 6월 생물학 사례는 High, 즉 이번에 공개하는 사이버 평가보다 한 단계 낮은 등급에 해당합니다.

언론의 즉각적인 해석은 한 연구소가 제동을 걸었다는 것이었다. The Next Web은 8월 7일 17:36 UTC에 보도하면서, 테스트가 계속되는 가운데 "일부 내부 작업"을 일시 중단했다고 설명했으며, 다음과 같이 전했다: Axios는 이를 "사이버 위험을 이유로 프런티어 연구소가 자사 모델 중 하나의 속도를 늦춘 것은 아마도 처음일 것"이라고 말했다. 이는 해당 발표에 대한 타당한 설명이다. 이는 중단과 같지 않으며, 그 게시물은 중단이라고 주장하지 않는다.

8월 7일 게시물이 입증하지 못하는 것

‘배제할 수 없다’와 ‘도달했다’ 사이의 격차는 이 기록의 불확실성 전체이며, 게시물은 그 격차를 좁히려 하지 않는다. 벤치마크 이름, 성공률, 발견된 취약점 수, 테스트한 시스템에 대한 설명, 대화 기록, 독립적 평가, 출시일 중 어느 것도 제시하지 않는다. Astra가 접근하고 있었던 두 가지 Critical 조건 중 어느 것인지, 또 얼마나 가까웠는지도 말하지 않는다. 오직 그 회사가 최상위 등급을 배제할 수 없을 만큼 증거가 강했다는 것만 말한다.

따라서 그 날짜 기준의 기록은 측정된 역량이 아니라 공개와 대응이 있었음을 보여준다. 그 역량 판단은 OpenAI가 공개하지 않은 내부 평가를 바탕으로 스스로 내린 것이며, OpenAI는 어떤 외부 평가자도 지목하지 않았고, 어떤 외부 연구소도 Astra를 Critical 정의에 따라 공개적으로 시험하지 않았다. 이 항목은 최고 신뢰도 등급으로 평가되고, 이의 없음으로 표시되며 실제 피해 없이 기록되는데, 이는 그 게시물이 실제로 담고 있는 내용, 즉 사고 보고서가 아니라 회사 성명서와 부합한다.

그다음에 무슨 일이 일어났나요?

까지2026년 9월 1일 잠정적 표현은 바뀌어 있었다. 이어서 "Astra로 가는 길: 핵심 역량과 프런티어 안전장치"라는 제목의 후속 글에서 OpenAI는 이렇게 썼다: "우리는 이제 Astra가 우리의 Preparedness Framework상 Critical 사이버보안 역량 임계값을 충족한다고 믿습니다... 이는 우리가 이 수준으로 지정하는 첫 번째 모델입니다."

같은 게시물은 8월 공개에서 빠뜨린 구체적인 내용을 제공했습니다. 그것들은 종류별로 구분해 볼 가치가 있습니다:

• 벤치마크.Astra는 알려진 취약점을 익스플로잇으로 전환하는 공개 벤치마크인 ExploitBench에서 100%를 기록했습니다. 오염 우려 때문에 OpenAI는 2026년 6월부터 8월 사이에 공개된 20개의 고위험도 V8 취약점을 포함한 내부 포트도 구축했습니다. 게시물에 따르면 해당 세트에서 Astra는 "익스플로잇 체인의 일부로 두 개의 제로데이 취약점"을 발견하고 사용했으며, OpenAI는 이를 유지관리자에게 공개하는 절차를 진행 중이라고 밝혔습니다.

• 전문가 주도 평가. 강화된 브라우저를 대상으로 Astra는 샌드박스를 탈출해 호스트에서 명령을 실행하는 체인을 구축했습니다. 시스템 카드에는 전문가들이 일부 프로덕션 보호 조치가 빠졌다고 판단한 빌드를 대상으로 초기 성공에 29시간이 걸렸고, 해당 익스플로잇을 공식 안정 릴리스에 적용하는 데는 추가로 12시간이 걸렸다고 기록되어 있습니다. 강화된 운영 체제를 대상으로는 취약점들을 결합해 비권한 사용자에서 root로 상승하는 로컬 권한 상승을 12시간 내에 달성했습니다.

• 거부율. OpenAI의 사이버 탈옥 평가에서 Astra는 요청의 91.5%를 거부했으며, GPT-5.6 Sol의 경우 59%를 기록했습니다 — 시스템 카드가 그대로 재현하는 수치입니다.

• 한계가 있는 독립적 검증. 시스템 카드는 2026년 9월 3일 OpenAI가 그날 GPT-6 Astra로 출시한 모델에 대해 공개되었으며, Irregular 보안 연구소의 외부 평가를 포함합니다. Irregular는 Astra가 226개의 FrontierCyber 과제 중 86개를 해결했고, GPT-5.6 Sol은 226개 중 34개를 해결했다고 밝혔으며, 여기에는 브라우저, 휴대전화, 클라우드 데이터베이스에 영향을 미치는 제로데이 취약점도 포함됩니다. 또한 "완전히 강화된 대상에 대한 성공적인 공격은 관찰되지 않았다"고 밝혔고, 두 모델 모두 7개의 Elite 과제 중 어느 것도 해결하지 못했습니다.

9월 1일 게시물은 또한 이번 중단의 양상도 공개했다. OpenAI는 지난 몇 주 동안 "Astra 개발 및 출시의 일부를 지연"시켰으며, 이전에 중단되었던 "대규모 프런티어 RL 실행"을2026년 8월 28일에 재개했다고 밝혔다. 이는 새로운 안전 및 보안 요건이 마련된 이후에 이뤄진 일이었다. 접근 권한은 단계적으로 부여됐다. 고급 사이버 보안 작업은 먼저 소규모 테스터 그룹에게 돌아가고, Daybreak Blue 프로그램이 그 뒤를 잇는 방식이었다.

확립됨, 잠정적, 미확립

• 확립됨.OpenAI는 2026년 8월 7일에 해당 공개 내용을 발표했으며, Astra에서 Critical 사이버 역량을 배제할 수 없다고 밝혔다. 또한 위에서 설명한 통제 조치와 부분적 일시 중단을 나열했다. The Next Web은 같은 날 해당 게시물을 보도했고, Axios는 사이버 위험으로 인한 둔화로 다뤘다.

• 나중에 확립됨. 2026년 9월 1일 OpenAI는 Astra를 Critical 임계값을 충족하는 것으로 지정했습니다. 이는 OpenAI가 해당 수준으로 지정한 첫 번째 모델이었으며, 벤치마크 및 전문가 평가 결과도 함께 공개했습니다. 9월 3일 시스템 카드에는 동일한 거부 수치와 Irregular 외부 평가가 기재되어 있습니다.

• 잠정적이며 자체 평가에 기반함. 해당 능력 판정은 OpenAI의 것으로, OpenAI의 평가에 근거한다. 8월 7일 기준으로 어떤 외부 연구소도 이 모델을 'Critical' 정의에 따라 공개적으로 시험하지 않았으며, 해당 게시물은 외부 평가자도 지목하지 않았다. 이후 Irregular가 수행한 외부 검증은 그 지정 범위보다 좁으며, 완전히 강화된 표적에 대한 성공적인 공격은 없었다고 명시적으로 밝혔다.

• 확인되지 않음. Astra가 실제로 8월 7일 Critical 임계값에 도달했다는 점: 게시물은 회사가 이를 배제할 수 없다고만 말합니다. 실제 시스템이 침해되었다는 점: 기록에는 피해가 기록되지 않았고, OpenAI는 Astra가 Hugging Face 사건에 관여하지 않았다고 밝혔습니다. 부분적 일시 중지가 프레임워크 자체의 "추가 개발 중단" 문구를 충족했다는 것도 확인되지 않습니다 — OpenAI는 새 통제를 충족하는 작업을 계속했고, 외부 기관이 아닌 회사가 그러한 통제의 충분성을 판단했습니다.

기록이 미결로 남겨 둔 거버넌스 질문

이 프레임워크는 자체 구속적 장치다. 이는 OpenAI로 하여금 임계값과 보호조치를 준수하도록 약속하게 하지만, 평가와 충분성 판단은 OpenAI에 맡기며, 안전자문그룹의 내부 검토와 이사회 감독을 수반한다. 8월 7일 게시물은 정부 기관과 "일부 AI 안전 조직"이 해당 모델을 테스트할 것이라는 자문을 설명하지만, 어떤 규제 기관도 지목하지 않고, 기준도 공개하지 않으며, 일정도 정하지 않는다. 기록상 외부 당사자가 그 판단을 검증했음을 보여주는 것은 없다.

기록이 실제로 보여주는 것은 그 체계가 움직였다는 점이다. 역량 평가는 하루 안에 내부 관행을 바꾸었다. 통제는 강화되었고, 일부 작업은 중단되었으며, 모니터링은 훈련과 평가까지 확대되었고, 가장 성능이 뛰어난 기능에 대한 접근은 이후 테스터에게만 제한되었다. 이는 보도자료보다는 크고, 외부 검증보다는 작다.

해결되지 않은 부분은 프레임워크가 스스로 결론짓지 못하는 부분이다. "배제할 수 없다"는 역량에 관한 진술이 아니라 증거에 관한 진술이며, 재개 전에 어느 정도의 증거가 충분한지를 결정하는 일은 회사에 맡겨져 있다. OpenAI는 8월 28일 대규모 학습 실행을 재개했고, 9월 1일 해당 모델을 Critical로 지정했으며, 9월 3일 GPT-6 Astra로 공개했다. 각 단계는 문서화되어 있다. 각 단계가 마땅히 그때 일어났어야 했는지는 기록이 기록할 뿐 답하지는 않는 판단이다.