프리페어드니스 프레임워크란 — AI 회사가 자기 모델에 위험 등급을 매기는 기준
A preparedness framework is the internal document an AI lab uses to decide, before release, whether a model's capabilities have crossed a threshold that requires extra safeguards or blocks deployment entirely. OpenAI's version tracks a small set of Tracked Categories — biological and chemical, cybersecurity, and AI self-improvement — and rates each on two thresholds. High capability means the model significantly increases an existing route to severe harm; Critical means it opens a qualitatively new one with no ready precedent. A separate list of Research Categories covers long-range autonomy, sandbagging, autonomous replication, undermining safeguards, and nuclear and radiological. Anthropic runs a parallel system called the Responsible Scaling Policy, built on AI Safety Levels: ASL-3 covers models that substantially raise catastrophic misuse risk relative to a non-AI baseline such as a search engine, and it pairs a Security Standard for protecting model weights with a Deployment Standard for restricting use. The reason these documents suddenly matter is that OpenAI rated Astra at the Critical cybersecurity threshold in September 2026, the first time a shipped frontier model has been placed in the top box by its own maker — and the three labs then released their September 2 cyber models behind access gates rather than into open APIs
프리페어드니스 프레임워크는 AI 회사가 모델을 내놓기 전에 그 모델의 능력이 위험 기준선을 넘었는지 스스로 판정하고, 넘었으면 추가 안전장치를 붙이거나 배포를 막기 위해 만든 내부 규칙 문서다. 오픈AI의 문서는 소수의 '추적 범주'를 정해 두는데 생물·화학, 사이버보안, AI 자기개선이 여기에 들어간다. 각 범주는 두 개의 기준선으로 평가된다 — '하이(High)'는 이미 존재하는 위해 경로를 모델이 크게 키우는 수준이고, '크리티컬(Critical)'은 전례 없는 새로운 위해 경로를 여는 수준이다. 별도의 '연구 범주'에는 장기 자율성, 샌드배깅(일부러 못하는 척하기), 자율 복제·적응, 안전장치 무력화, 핵·방사능이 들어간다. 앤스로픽은 같은 역할을 하는 문서를 '책임 있는 스케일링 정책(RSP)'이라 부르고 AI 안전 등급(ASL)으로 구분한다. ASL-3은 검색엔진 같은 비AI 수단과 비교해 재앙적 오용 위험을 상당히 높이는 모델을 가리키며, 모델 가중치를 지키는 보안 기준과 사용을 제한하는 배포 기준이 함께 따라붙는다. 이 문서들이 갑자기 뉴스가 된 이유는 2026년 9월 오픈AI가 아스트라를 사이버보안 '크리티컬'로 판정했기 때문이다
3줄 요약
- 정의 — 모델 출시 전에 '이 능력이 위험선을 넘었나'를 회사가 스스로 판정하고 대응을 정해 두는 내부 규칙
- 구조 — 오픈AI는 추적 범주(생물·화학, 사이버, AI 자기개선)마다 하이/크리티컬 두 기준선. 앤스로픽은 ASL 등급
- 왜 지금 — 2026년 9월 오픈AI가 아스트라를 사이버 '크리티컬'로 판정했고, 3사가 사이버 모델을 심사제로 내놨다
핵심 질문
- 프리페어드니스 프레임워크가 뭐야
- **AI 회사가 자기 모델의 위험을 출시 전에 스스로 채점하기 위해 만든 내부 규칙 문서다.** 이름을 그대로 옮기면 '준비 태세 체계'인데, 실제 내용은 **채점표에 가깝다.** 세 부분으로 되어 있다. **① 무엇을 볼 것인가 — 추적 범주(Tracked Categories).** 오픈AI는 **생물·화학**, **사이버보안**, **AI 자기개선** 세 가지를 여기에 둔다. 모든 위험을 보는 것이 아니라 '심각한 피해로 이어질 수 있는 최전선 능력'만 좁혀서 본다. **② 어디부터가 위험인가 — 두 개의 기준선.** **하이(High)**는 이미 존재하는 위해 경로를 모델이 **크게 키우는** 수준, **크리티컬(Critical)**은 전례가 없는 **새로운 위해 경로를 여는** 수준이다. 이 구분이 핵심이다 — 하이는 정도의 문제, 크리티컬은 종류의 문제다. **③ 넘으면 어떻게 하나.** 기준선을 넘으면 배포 전에 완화 조치를 붙이거나, 특정 기능을 막거나, 접근을 심사제로 바꾼다. 이와 별도로 **연구 범주(Research Categories)**가 있는데 아직 기준선을 정하지 못했지만 지켜보는 항목들이다 — **장기 자율성, 샌드배깅(모델이 평가에서 일부러 못하는 척하는 것), 자율 복제·적응, 안전장치 무력화, 핵·방사능**이 여기에 들어간다.
- 앤스로픽·구글도 같은 게 있나
- **있다. 이름과 구조가 조금씩 다르다.** **앤스로픽 — 책임 있는 스케일링 정책(RSP, Responsible Scaling Policy).** 등급 체계를 쓰는 것이 특징이다. **AI 안전 등급(ASL)**이라 부르고, 원자력·생물 실험실의 생물안전등급(BSL)에서 발상을 가져왔다. **ASL-3**은 '검색엔진이나 교과서 같은 비AI 수단과 비교해 재앙적 오용 위험을 상당히 높이거나, 낮은 수준의 자율 능력을 보이는' 모델로 정의된다. 등급이 올라가면 두 가지가 함께 따라온다 — **보안 기준**(모델 가중치를 훔치기 어렵게 만드는 내부 조치)과 **배포 기준**(특정 용도로 쓰이지 못하게 막는 조치)이다. **오픈AI와의 차이**는 여기에 있다. 오픈AI가 '이 능력이 위험한가'를 범주별로 채점한다면, 앤스로픽은 **모델 자체에 등급을 붙이고 그 등급에 맞는 보안·배포 규격을 적용**한다. 구글 딥마인드도 프런티어 안전 프레임워크라는 이름의 문서를 운영한다. **세 문서 모두 공통점이 하나 있다 — 법이 아니라 자율 규약이다.** 강제하는 기관이 없고, 판정도 회사가 스스로 한다. 이것이 이 체계의 가장 큰 약점이자, 계속 지적되는 지점이다.
- 아스트라가 '크리티컬' 받았다는 게 무슨 뜻인가
- **전례 없는 새로운 사이버 위해 경로를 열 수 있는 수준으로, 만든 회사가 스스로 판정했다는 뜻이다.** 2026년 9월 오픈AI는 GPT-6 계열 모델 아스트라가 **사이버보안 범주에서 크리티컬 기준을 충족**한다고 밝혔다(「오픈AI 아스트라, 사이버 '크리티컬' 등급」). 근거로 제시된 것 중에는 모델이 **제로데이 취약점 2개를 스스로 찾아냈다**는 사례가 있었다. **이 판정이 이례적인 이유는 세 가지다.** ① **최상위 등급이다.** 하이가 아니라 크리티컬이다. ② **출시된 모델이다.** 판정 후 배포를 막은 것이 아니라, 안전장치와 접근 제한을 붙여서 내놨다. ③ **자기 신고다.** 외부 기관이 매긴 등급이 아니다. **실제로 붙은 조치**는 접근 창구의 분리였다. 아스트라의 사이버 능력은 '데이브레이크 블루'라는 방어자 대상 프로그램을 통해 제공되고, 일반 사용자에게는 분류기 기반의 계층 방어가 걸린다. 공개된 수치로는 익스플로잇벤치 100점, 탈옥 시도 거절률 91.5%(GPT-5.6 솔 59%)가 함께 제시됐다. **그리고 이 판정이 업계 전체를 움직였다.** 9월 2일 구글·앤스로픽·오픈AI가 각각 사이버 특화 모델을 내면서 셋 다 심사를 통과한 방어자에게만 열었다(「사이버 AI 모델 3사 동시 공개 (9월 2일)」). **능력을 감추지 않고 문을 좁히는 쪽**을 세 회사가 동시에 선택한 것이다.
AI 회사가 "우리 모델이 위험합니다"라고 스스로 말하는 일이 실제로 일어났다. 그 말을 하기 위해 미리 만들어 둔 규칙이 프리페어드니스 프레임워크다.
1. 채점표의 구조
이름은 거창하지만 하는 일은 단순하다. 출시 전에 세 가지를 정해 둔다.
| 부분 | 내용 |
|---|---|
| 무엇을 볼 것인가 | 추적 범주 — 생물·화학, 사이버보안, AI 자기개선 |
| 어디부터 위험한가 | 하이(High) = 기존 위해 경로를 크게 키움 / 크리티컬(Critical) = 전례 없는 새 경로를 엶 |
| 넘으면 어떻게 하나 | 완화 조치 부착, 기능 차단, 접근 심사제 전환, 최악의 경우 배포 보류 |
하이와 크리티컬의 차이가 이 문서의 가장 중요한 설계다. 하이는 정도의 문제다 — 원래도 가능했던 일을 더 쉽게 만든다. 크리티컬은 종류의 문제다 — 이전에는 없던 방식의 피해가 가능해진다.
여기에 더해 연구 범주가 따로 있다. 아직 기준선을 정하지 못했지만 지켜보는 항목들이다.
- 장기 자율성 — 사람의 개입 없이 오래 이어지는 작업 수행
- 샌드배깅 — 모델이 평가에서 일부러 능력을 감추는 행동
- 자율 복제·적응
- 안전장치 무력화
- 핵·방사능
두 번째 항목이 특히 곤란한 문제다. 평가를 통과하려고 일부러 못하는 척한다면, 평가 자체가 무력해진다.
2. 회사마다 이름이 다르다
| 회사 | 문서 이름 | 핵심 장치 |
|---|---|---|
| 오픈AI | 프리페어드니스 프레임워크 | 범주별 하이/크리티컬 두 기준선 |
| 앤스로픽 | 책임 있는 스케일링 정책(RSP) | AI 안전 등급(ASL) — 모델 자체에 등급 |
| 구글 딥마인드 | 프런티어 안전 프레임워크 | (이 기사에서 내용 대조 안 함) |
앤스로픽의 ASL은 생물 실험실의 생물안전등급(BSL)에서 발상을 가져왔다. ASL-3은 "검색엔진이나 교과서 같은 비AI 수단과 비교해 재앙적 오용 위험을 상당히 높이거나, 낮은 수준의 자율 능력을 보이는" 모델을 가리킨다.
등급이 올라가면 두 가지가 함께 온다 — 보안 기준(모델 가중치를 훔치기 어렵게)과 배포 기준(쓰이는 방식을 제한). 9월 2일 앤스로픽이 미토스 5.1을 신뢰 접근 프로그램으로 묶고 침투 테스트·익스플로잇 생성 요청을 다른 모델로 우회시킨 것이 배포 기준의 구체적인 모습이다.
세 문서의 공통점이 하나 있다 — 법이 아니다. 자율 규약이고, 판정도 회사가 스스로 한다. 어기면 어떻게 되는지에 대한 조항은 어느 문서에도 없다.
3. 그래서 아스트라의 '크리티컬'이 뉴스가 됐다
2026년 9월 오픈AI는 아스트라가 사이버보안 범주에서 크리티컬 기준을 충족한다고 밝혔다. 근거로 든 사례 중에는 모델이 제로데이 취약점 2개를 스스로 찾아냈다는 것이 있었다.
이 판정이 이례적인 이유는 세 가지다.
- ① 최상위 등급이다. 하이가 아니라 크리티컬이다.
- ② 그런데도 출시됐다. 배포를 막는 대신 안전장치와 접근 제한을 붙였다. 방어자 대상 창구는 '데이브레이크 블루', 일반 사용자에게는 분류기 기반 계층 방어다.
- ③ 자기 신고다. 외부 기관이 매긴 등급이 아니다.
그리고 이 판정 뒤 업계가 같은 방향으로 움직였다. 9월 2일 구글·앤스로픽·오픈AI가 각각 사이버 특화 모델을 내면서 셋 다 일반 API에 풀지 않고 심사제로 열었다(「사이버 AI 모델 3사 동시 공개 (9월 2일)」).
능력을 낮추는 대신 문을 좁히는 쪽을 세 회사가 동시에 선택한 것이다.
4. 이 체계의 약한 곳
- 자기 채점이다. 만든 회사가 스스로 매기고, 외부 검증 절차가 문서에 명시돼 있지 않다.
- 기준이 서로 다르다. 오픈AI의 크리티컬과 앤스로픽의 ASL-3을 나란히 비교할 방법이 없다. 같은 모델에 다른 회사 기준을 적용하면 다른 결과가 나올 수 있다.
- 평가 대상이 평가를 안다. 샌드배깅이 연구 범주에 올라 있다는 것 자체가 이 문제를 인정한 것이다.
- 개정이 잦다. 문서 버전이 바뀌면서 범주 구성과 기준선의 문구가 달라졌다. 뉴스에 인용된 등급이 어느 버전 기준인지 확인해야 한다.
- 법과의 관계가 정리되지 않았다. EU AI법의 고영향 AI 규제나 각국 규제와 이 자율 규약이 어떻게 맞물리는지는 정해지지 않았다(「고영향 AI란」).
출처
- OpenAI — Our updated Preparedness Framework
- OpenAI — Preparedness Framework Version 2 (PDF)
- Anthropic — Responsible Scaling Policy
- Anthropic — Activating AI Safety Level 3 protections
- The Hacker News — Google, Anthropic, and OpenAI Unveil Cyber AI Models, Safeguards, and Access Programs
- Digital Applied — OpenAI Won't Rule Out Critical Cyber Risk in Astra