오픈AI 아스트라, 사이버 '크리티컬' 등급 — 제로데이 2개를 스스로 찾아냈다

3줄 요약

• 등급 — 오픈AI가 자사 프레임워크의 사이버보안 '크리티컬'에 도달한 첫 모델로 아스트라를 분류했다
• 근거 — ExploitBench 만점, 제로데이 2개 자체 발견, 브라우저 샌드박스 탈출과 루트 권한 획득
• 조건 — 출시 시 전면 공개 대신 'Daybreak Blue' 소수 테스터에 먼저, 거부율은 59%→91.5%

핵심 질문

AI가 해킹을 스스로 한다는 얘기야

**시험 환경에서는 그렇게 했다.** 오픈AI가 공개한 평가 결과는 네 가지다. ① 취약점을 실제 공격 코드로 바꾸는 능력을 재는 **익스플로잇벤치(ExploitBench)에서 만점**. ② 최근 공개된 결함을 다룬 별도 평가에서 **알려지지 않은 취약점 2개를 스스로 발견**. ③ 방어를 강화한 브라우저를 대상으로 **샌드박스를 빠져나와 호스트에서 명령을 실행**하는 전체 체인 구성 — HTML 파일 하나를 여는 것으로 시작됐다. ④ 운영체제 취약점을 **연쇄로 엮어 루트 권한** 확보. 다만 이것은 전문가가 설계하고 도구와 접근 권한을 준 **평가 환경**의 결과다. 인터넷에 풀린 모델이 알아서 공격을 시작했다는 뜻이 아니다. 그럼에도 의미가 큰 이유는, 지금까지 이 프레임워크에서 '크리티컬' 판정을 받은 모델이 **하나도 없었기** 때문이다.

크리티컬 등급이 정확히 뭐야

**오픈AI가 스스로 만든 위험 분류의 최상단이다.** 대비 프레임워크(Preparedness Framework)는 모델의 위험 능력을 영역별로 나눠 등급을 매기고, 등급에 따라 배포 방식과 안전장치를 정하는 내부 규정이다. 사이버보안 영역에서 크리티컬의 기준은 두 갈래다 — **(가)** 방어가 잘 된 실제 중요 시스템 다수에서 심각도를 가리지 않고 **사람 개입 없이** 제로데이를 찾아 작동하는 익스플로잇을 만들거나, **(나)** 높은 수준의 목표만 받고도 방어된 표적에 대한 **새로운 공격 전략을 처음부터 끝까지 스스로 설계·실행**하는 경우다. 여기서 반드시 짚어야 할 점이 하나 있다. **채점자가 곧 제작자다.** 등급을 매긴 것은 외부 규제기관이 아니라 모델을 만든 회사다. 자체 평가 체계의 구조와 한계는 「AI 위험 등급이란 — 만든 회사가 자기 점수를 매길 때」에서 다뤘다.

그래서 오픈AI가 뭘 어떻게 하겠다는 거야

**기능을 다 열지 않겠다는 것이다.** 오픈AI는 '전체 사이버보안 기능은 출시 시점에 널리 제공되지 않는다'고 명시했다. 대신 **데이브레이크 블루(Daybreak Blue)**라는 방어 목적 프로그램을 통해 소수 테스터에게 먼저 열고, 이후 방어 측 접근을 단계적으로 넓히겠다고 했다. 안전장치 쪽 숫자도 함께 공개됐다 — 사이버 관련 **탈옥(jailbreak) 시도 거부율 91.5%**로, 전작 GPT-5.6 Sol의 **59%**에서 크게 올랐다. 거부율 91.5%를 뒤집으면 **여덟 번에 한 번은 뚫린다**는 뜻이기도 하다. 같은 주에 구글도 제미나이 3.8 플래시를 내면서 사이버 기능을 별도 접근 등급으로 분리한 변종을 함께 냈다(「제미나이 3.8 플래시 공개」). **성능을 올리면서 특정 능력만 따로 잠그는 방식**이 업계의 새 기본값이 되고 있다.