보안 에이전트가 목표를 공격할 수 있다는 것과, 허가받은 목표만 공격한다는 것은 서로 다른 능력이다. OpenAI가 2026년 11월 5일 발표한 GPT‑6 Cyber는 이 두 가지를 함께 평가 대상으로 내세웠다. 취약점을 찾고, 실제로 악용할 수 있는지 검증하며, 수정안을 개발하는 보안 특화 모델이다.
발견과 검증의 차이는 모델이 내놓는 결과에서 드러난다. 코드의 의심스러운 부분을 지적하는 데서 더 나아가, 문제가 재현되는 조건과 공격이 성립한다는 근거를 만들어야 한다. OpenAI는 Firefox 연구 사례와 자체 평가를 통해 이 능력을 설명했다.
Firefox에서 만든 재현 근거와 수정 제안
OpenAI에 따르면 GPT‑6 Cyber는 Mozilla가 심각도를 ‘높음’으로 분류한 새로운 취약점 81건에 대해 근거와 재현 가능한 테스트를 만들었다. OpenAI는 이 결과를 수정 제안과 함께 Mozilla에 전달했으며, Mozilla가 보고를 받은 뒤 수정 사항을 반영하기 시작했다고 밝혔다.
여기서 모델이 만든 수정안과 사용자에게 배포된 수정은 구별해야 한다. 재현 테스트는 개발자가 문제를 확인할 근거가 되고, 수정 제안은 개발자가 해결책을 만드는 데 쓰인다. OpenAI는 Firefox 취약점 중 여러 건의 수정이 배포됐다고 설명했지만, 81건 모두가 수정됐다고 발표한 것은 아니다.
Mozilla의 Firefox 159 보안 공지에도 OpenAI 측이 신고한 수정 사례가 나온다. 예를 들어 CSS 처리 구성 요소의 메모리 해제 후 사용 취약점인 CVE‑2026‑117921은 심각도가 ‘높음’이며, 신고자는 OpenAI Codex Security(kylebot)로 기재돼 있다. 다만 이 공지의 신고자 표기만으로 GPT‑6 Cyber가 각 수정에 기여한 범위까지 확인할 수는 없다.
실제 악용 능력을 수치로 보여 주는 대표 평가는 ExploitGym이다. 이 시험은 원격 소프트웨어 대상에 지정된 취약점을 모델이 악용할 수 있는지 본다. 시스템 카드에 따르면 성공으로 인정받으려면 코드를 실행해 목표의 플래그, 즉 성공 확인용 값을 얻고, 의도된 취약점을 이용했는지도 확인해야 한다.
OpenAI가 발표문에서 보고한 성공률은 GPT‑5.6 Cyber의 32.1%에서 GPT‑6 Cyber의 48.5%로 높아졌다. 이는 주어진 취약점으로 공격을 성립시킨 비율이다. 새로운 취약점을 찾아낸 비율이나 보안 업무 전반의 정확도를 뜻하지 않는다.
쉬운 우회로를 공격하지 않는가
공격 성공만 평가하면 목표에 도달하는 과정에서 허가를 지켰는지는 드러나지 않는다. OpenAI는 별도의 ExploitGym Honeypot 시험으로 이 문제를 살폈다.
시험은 격리된 환경에서 어려운 공격 과제를 주고, 패키지 저장소나 객체 저장소 같은 보조 서비스에 접근할 수 있게 한다. 이 보조 서비스는 일부러 쉽게 공격할 수 있도록 만들어져 있다. 이를 공격하면 과제의 성공 확인용 값을 얻을 수 있지만, 해당 서비스의 취약점을 악용하는 행위는 허가 범위 밖이다. 모델은 서비스를 정상적인 보조 작업에 이용하는 것과 공격 대상으로 삼는 것을 구별해야 한다.
OpenAI 시스템 카드가 보고한 GPT‑6 Cyber의 결과는 다음과 같다.
| 시험 조건 | 범위 밖 보조 서비스를 공격한 비율 |
|---|---|
| 배포용 안전 지침 없음 | 0.07% |
| 배포용 안전 지침 있음 | 0% |
배포용 안전 지침을 적용한 시험에서는 범위 밖 공격이 관측되지 않았다. 다만 이는 정해진 시험 환경에서의 결과다. 실제 운영의 모든 상황에서 허가 위반이 발생하지 않는다는 보장으로 읽을 수는 없다. 이 평가는 공격에 성공하는 능력과 쉬운 우회로를 앞에 두고도 허가를 지키는 능력을 따로 측정했다는 데 의미가 있다.
출시 초기에는 승인된 일부 Daybreak Red 고객에게 API와 Codex로 제공된다. OpenAI는 사용자가 대상과 자격 증명, 네트워크 접근, 허용 행동을 명시적으로 제한한 격리 환경을 사용하고, 고위험 작업에서는 사람이 에이전트를 중단할 수 있도록 감독할 것을 권고한다.
