신뢰 기반 접근이란 — 해킹도 잘하는 AI를 검증된 방어자에게 먼저 주는 방식, 구글·오픈AI·앤트로픽 3사 비교
Trusted access is the practice of giving AI models with dangerous cyber capabilities first, or only, to vetted defenders such as governments, critical-infrastructure operators and security teams, instead of releasing them to everyone. OpenAI piloted Trusted Access for Cyber on February 5, 2026 and built it into Daybreak, with Blue and Red tiers; Anthropic gave Claude Mythos to partners through Project Glasswing in April 2026 and folded it into a three-tier Cyber Verification Program on October 6; Google runs the Fairwind Program, which has more than 650 partners and gave Gemini 4 Carbon to defenders first on October 28. It differs from government pre-release testing at AI safety institutes such as the US CAISI: testing checks a model for risk, while trusted access decides who gets to use it. The approach tilts new capabilities toward defense but relies on opaque vetting, concentrates power in a few companies and creates a high-value target.
신뢰 기반 접근(trusted access)은 해킹 능력이 뛰어난 AI 모델을 모두에게 풀지 않고, 신원과 목적을 확인한 방어자에게 먼저 또는 그들에게만 주는 배포 방식이다. 정부·기반시설 운영사·보안팀이 주 대상이다. 오픈AI는 2026년 2월 5일 시범 운영한 뒤 데이브레이크 프로그램으로 키웠고, 앤트로픽은 4월 프로젝트 글래스윙을 거쳐 10월 6일 3단계 사이버 검증 프로그램으로 묶었으며, 구글은 650곳 이상이 참여한 페어윈드 프로그램으로 10월 28일 제미나이 4 카본을 방어자에게 먼저 줬다. 정부 AI 안전연구소의 출시 전 시험이 모델이 위험한지 따지는 절차라면, 신뢰 기반 접근은 그 모델을 누가 쓸지 정하는 절차다
3줄 요약
- 정의 — 취약점을 찾는 능력은 곧 공격 능력이라, 심사를 통과한 방어자에게 먼저 또는 그들에게만 준다
- 3사 — 구글 페어윈드, 오픈AI 데이브레이크(블루·레드), 앤트로픽 사이버 검증 프로그램(방어·레드팀·특화)
- 한계 — 심사 기준 불투명, 소수 기업의 문지기 권한, 공격자가 노릴 고가치 표적. 효과 측정치는 아직 없다
핵심 질문
- 신뢰 기반 접근이란
- **위험한 능력을 가진 AI 모델을 신원·목적이 검증된 사람에게만 단계적으로 여는 배포 방식이다.** | 항목 | 내용 | |---|---| | 영어 | Trusted access | | 대상 능력 | 주로 사이버(취약점 발견·익스플로잇), 일부 생명과학 | | 받는 쪽 | 정부·기반시설 운영사·보안팀·오픈소스 관리자 등 방어자 | | 핵심 장치 | 신원 확인, 용도 제한, 사용 기록, 단계별 해제 | | 대표 사례 | 구글 페어윈드, 오픈AI 데이브레이크, 앤트로픽 사이버 검증 프로그램 |
- AI 보안 모델 일반 공개 안 하는 이유
- **버그를 찾아 고치는 능력과 버그를 악용하는 능력이 같은 능력이기 때문이다.** | 능력 | 방어자가 쓰면 | 공격자가 쓰면 | |---|---|---| | 취약점 찾기 | 패치 전에 발견 | 제로데이 확보 | | 익스플로잇 작성 | 위험도 검증 | 실제 공격 | | 악성코드 분석 | 탐지 규칙 작성 | 탐지 회피 | | 장시간 자율 작업 | 대규모 코드 점검 | 무인 공격 캠페인 |
- AI 안전연구소 사전 시험과 신뢰 기반 접근 차이
- **사전 시험은 모델이 위험한지 따지고, 신뢰 기반 접근은 그 모델을 누가 쓸지 정한다.** | 구분 | 정부 사전 시험 | 신뢰 기반 접근 | |---|---|---| | 주체 | 미국 CAISI·영국 AISI 등 정부 기관 | 모델 개발사 | | 받는 쪽 | 정부 평가팀 | 심사 통과한 방어자 | | 목적 | 위험 평가 | 방어에 먼저 쓰게 함 | | 시점 | 출시 전 | 출시 시점부터 상시 | | 근거 | 자발적 협약 | 회사 이용 약관 |
버그를 찾아 고치는 AI는 버그를 찾아 뚫는 AI이기도 하다. 2026년 들어 구글·오픈AI·앤트로픽은 가장 강한 보안 능력을 가진 모델을 일반에 그냥 풀지 않았다. 대신 신원과 목적을 확인한 방어자, 즉 정부·전력·병원·통신·은행 같은 기반시설 운영사와 보안팀에게 먼저 줬다. 이 방식을 신뢰 기반 접근(trusted access)이라고 부른다.
구글이 10월 28일 공개한 제미나이 4 카본이 가장 최근 사례다(「제미나이 4 카본 공개」). 회사가 가장 강하다고 밝힌 모델인데, 첫 사용자는 일반 개발자가 아니라 일부 사이버 방어 인력이었다. 아래에서 이 방식이 왜 생겼는지, 세 회사의 프로그램이 어떻게 다른지, 정부 안전연구소의 시험과 무엇이 다른지, 어디가 약한지 차례로 정리한다.
1. 신뢰 기반 접근은 왜 생겼나 — 같은 능력, 다른 손
보안에는 오래된 원칙이 있다. 공격을 알아야 막을 수 있다. 그래서 보안 도구 대부분은 이중 용도다. 모의 해킹 도구는 범죄자도 쓴다. AI가 이 문제를 키운 이유는 속도와 규모다. 사람 전문가 수십 명이 몇 달 걸릴 취약점 탐색을 모델이 며칠 만에, 수천 개 프로젝트에 동시에 할 수 있게 됐다.
| 능력 | 방어자가 쓰면 | 공격자가 쓰면 |
|---|---|---|
| 취약점 찾기 | 패치 전에 발견해 고친다 | 패치 없는 제로데이를 확보한다 |
| 익스플로잇 작성 | 위험도를 실제로 검증한다 | 바로 공격에 쓴다 |
| 악성코드 역분석 | 탐지 규칙을 만든다 | 탐지를 피하는 변종을 만든다 |
| 장시간 자율 작업 | 대규모 코드를 밤새 점검한다 | 사람 없이 공격을 이어 간다 |
패치가 없는 취약점이 왜 가장 비싼지는 「제로데이란」에서 다뤘다. 문제는 모델을 공개한 뒤에는 이 둘을 가를 수 없다는 점이다. 그래서 회사들은 공개 전에 누구의 손에 먼저 쥐여 줄지를 정하기 시작했다.
정책 연구소 IAPS는 2025년 이 구상을 차등 접근(differential access)이라는 틀로 정리했다. 능력이 위험할수록 접근을 좁히되, 어느 단계에서도 방어자는 빼지 않는다는 원칙이다.
| IAPS 단계 | 대상 능력 | 접근 방식 |
|---|---|---|
| 접근 촉진(Promote Access) | 위험이 낮은 능력 | 널리 열고 방어자에게 적극 보급 |
| 접근 관리(Manage Access) | 중간 위험 | 통제된 배포, 특정 방어자 우선 |
| 기본 거부(Deny by Default) | 높은 위험 | 선별된 방어자에게만, 혜택은 간접 확산 |
2026년 타임라인
| 날짜 | 사건 |
|---|---|
| 2025년 5월 | IAPS, 차등 접근 보고서 발표 |
| 2026년 2월 5일 | 오픈AI, 신뢰 기반 사이버 접근(Trusted Access for Cyber) 시범 운영, API 크레딧 1천만 달러 |
| 4월 7일 | 앤트로픽, 프로젝트 글래스윙 — 클로드 미토스 미리보기를 12개 출범 파트너 등에 제한 제공, 사용 크레딧 최대 1억 달러 |
| 4월 15일 | 오픈AI, 보안 특화 GPT-5.4-사이버와 함께 프로그램을 수천 명 규모로 확대 |
| 5월 5일 | 미국 CAISI, 구글 딥마인드·마이크로소프트·xAI와 출시 전 시험 협약 |
| 9월 2일 | 구글·앤트로픽·오픈AI, 같은 날 보안 모델과 접근 제한 프로그램 발표 |
| 9월 3일 | 오픈AI, 자원이 부족한 방어자 대상 10억 달러 규모 지원(데이브레이크 포 프론트라인 디펜더스) |
| 10월 6일 | 앤트로픽, 글래스윙을 합친 3단계 사이버 검증 프로그램으로 개편 |
| 10월 28일 | 구글, 제미나이 4 카본을 일부 방어자에게 먼저 제공 |
9월 2일의 동시 발표는 「사이버 AI 모델 3사 동시 공개 (9월 2일)」에 정리했다.
2. 3사 프로그램 비교 — 구글 페어윈드, 오픈AI 데이브레이크, 앤트로픽 CVP
| 항목 | 구글 페어윈드 | 오픈AI 데이브레이크 | 앤트로픽 사이버 검증 프로그램(CVP) |
|---|---|---|---|
| 뿌리 | 9월 제미나이 3.8 플래시 사이버와 함께 보도 | 2월 신뢰 기반 사이버 접근 시범 → 5월 데이브레이크 | 기존 CVP + 4월 프로젝트 글래스윙 |
| 최신 모델 | 제미나이 4 아르곤, 4 카본 | GPT-5.6-사이버 등 GPT 사이버 모델 | 미토스 5.1, 오퍼스 5.5, 소네트 5.5 |
| 단계 | 단일(우선순위 심사) | 블루 / 레드 / 레드+모델 승인 | 방어 / 레드팀 / 특화 |
| 우선 대상 | 정부·국가 사이버 당국, 의료·통신·에너지·금융, 핵심 기술 플랫폼 | 기업·기관, 자격 갖춘 개인 | 보안팀·보안업체·오픈소스 관리자, 특화는 기반시설 시험 기관 |
| 개인 신청 | 사실상 불가(학생은 대체 도구 안내) | 블루 단계 가능 | 방어 단계 가능(제보 이력 필요) |
| 정부 관여 | 공개 내용 없음 | 공개 내용 없음 | 특화 단계는 미국 정부와 공동 심사 |
| 규모 | 파트너 650곳 이상 | 보도 기준 승인 조직 약 2,000곳 | 글래스윙 참여사 4~7월 검증 취약점 12만9천 건 이상 발견 |
각 회사가 단계별로 푸는 것
| 회사·단계 | 허용되는 일 | 여전히 막히는 일 |
|---|---|---|
| 오픈AI 블루 | 보안 코드 검토, 취약점 분류, 악성코드 분석, 탐지 규칙, 침해 대응, 패치 검증 | 공격 코드 개발 등 레드 단계 작업 |
| 오픈AI 레드 | 블루 + 모의 해킹, 레드티밍, 익스플로잇 검증·개발 | 소유·허가받지 않은 시스템 대상 작업 |
| 앤트로픽 방어 | 보안관제, 침해 대응, 악성코드 역분석, 취약점 분석·검증 | 모의 해킹 |
| 앤트로픽 레드팀 | 방어 + 허가받은 모의 해킹 | 랜섬웨어 배포 같은 물리적 피해·대규모 장애 유발 행위 |
| 앤트로픽 특화 | 사이버 제한이 가장 적음(항공·전력망·통신망·은행 간 송금망 시험) | 공개된 목록 없음 |
| 구글 페어윈드 | 승인된 위협 모의, 역분석, 악성코드 분석 | 악성코드 제작, 접근권 공유·재판매 |
세 프로그램은 겉모양이 비슷해도 설계 철학이 다르다. 구글은 기관 중심이다. 우선 대상을 정부와 기반시설로 못 박았다. 오픈AI는 신원 중심이다. 개인도 보안키와 유료 계정으로 본인 확인을 거치면 들어올 수 있다. 오픈AI는 누가 스스로를 지킬 자격이 있는지 중앙에서 정하는 것은 현실적이지도 적절하지도 않다는 입장을 밝힌 바 있다. 앤트로픽은 작업 중심이다. 같은 모델을 주되 단계마다 허용 작업의 범위를 다르게 묶었다. 앤트로픽 개편 내용은 「앤트로픽 사이버 검증 프로그램 3단계」에 자세히 있다.
공통 조건
| 조건 | 구글 | 오픈AI | 앤트로픽 |
|---|---|---|---|
| 강한 본인 확인 | 사용자 단위 인증, 피싱 방지 다중 인증 | 고급 계정 보안, FIDO2 하드웨어 보안키(개인) | 신원·소속 검증 |
| 사용 범위 제한 | 내부 보안·침해 대응·모의 해킹 팀 | 소유하거나 허가받은 시스템 | 시험 권한이 있는 시스템 |
| 사용 기록 | 직원 접근·사용 추적 의무 | 관리자가 사용자·프로젝트별로 허용 | 오남용 감시용 데이터 보관 동의 |
| 재판매 | 금지 | — | — |
3. 정부 사전 시험과는 무엇이 다른가
신뢰 기반 접근과 자주 헷갈리는 것이 정부 AI 안전연구소의 출시 전 시험이다. 둘 다 모델이 일반에 나오기 전에 누군가에게 먼저 준다는 점은 같다. 하지만 목적이 반대다.
| 구분 | 정부 출시 전 시험 | 신뢰 기반 접근 |
|---|---|---|
| 주체 | 미국 CAISI, 영국 AI 보안연구소 등 | 모델 개발사 |
| 모델을 받는 쪽 | 정부 평가팀 | 심사 통과한 방어자 |
| 목적 | 위험한지 평가 | 방어에 먼저 쓰게 함 |
| 기간 | 출시 전 일정 기간 | 출시 이후에도 상시 |
| 결과물 | 평가 결과(공개 의무 없음) | 실제 패치·탐지 작업 |
| 법적 근거 | 자발적 협약 | 회사 이용 약관 |
| 대표 사례 | 미국 CAISI, 5개 연구소와 협약 | 페어윈드, 데이브레이크, CVP |
미국 CAISI는 2026년 5월 5일 구글 딥마인드·마이크로소프트·xAI와 출시 전 시험 협약을 맺었다. 오픈AI·앤트로픽을 더해 협약 연구소는 5곳이 됐다. 개발사가 안전장치를 줄인 판을 넘겨 사이버·생물·화학 위험을 시험할 수 있다. 구글은 카본 발표에서 미국 정부의 자발적 출시 전 시험에 참여 중이라고 밝혔다. 기관별 차이와 한계는 「AI 안전연구소란」에서 다뤘다.
두 장치가 겹치는 지점도 있다. 앤트로픽의 특화 단계는 신청 기관을 미국 정부와 함께 심사한다. 정부가 시험자에서 문지기 역할까지 넘어온 셈이다. 정부가 접근 순서에 손을 댄 사례로는 9월 백악관이 영국 연구소에 새 모델 제공 보류를 요청한 일이 있다(「백악관, 영국 AI안전연구소 모델 접근 복원」).
4. 장점과 단점
| 장점 | 근거·사례 |
|---|---|
| 방어가 먼저 출발한다 | 글래스윙 참여사 4~7월 검증 취약점 12만9천 건 이상 발견(앤트로픽 발표) |
| 고칠 사람에게 도구가 간다 | 오픈소스 관리자·지방정부·소규모 은행까지 대상 확대(앤트로픽 방어 단계, 오픈AI 10억 달러 지원) |
| 단계별로 실제 차단이 작동한다 | 앤트로픽 시험: 미가입자 50회 시도 모두 첫 요청에서 차단, 방어 단계 46회 차단, 레드팀 단계 34회 완료 |
| 사고 추적이 가능하다 | 신원·사용 기록이 남아 오남용 시 책임 주체가 분명 |
| 단점 | 내용 |
|---|---|
| 심사 기준이 불투명하다 | 누가 왜 떨어졌는지 공개되지 않는다. 회사 판단이 사실상 최종 |
| 소수 기업이 문지기가 된다 | 어느 나라·기관이 먼저 방어할지를 민간 회사가 정한다 |
| 고가치 표적이 생긴다 | IAPS는 선별된 방어자에게만 준 모델 자체가 공격자의 탈취 표적이 된다고 지적 |
| 찾는 속도가 고치는 속도를 앞선다 | 발견 건수는 크게 늘었지만 패치 완료는 훨씬 적다는 보도가 이어진다 |
| 효과 측정이 없다 | 접근 제한이 실제로 방어를 앞서게 했는지 보여 주는 독립 측정치는 아직 없다 |
| 자체 시험이다 | IDC 분석가는 앤트로픽 차단 시험을 독립 시험이 아닌 회사 시험이라고 평가 |
가장 근본적인 질문은 시간이다. 신뢰 기반 접근은 공격자가 비슷한 능력을 얻기 전까지 방어자에게 시간을 벌어 주는 장치다. 경쟁 연구소나 공개 모델이 같은 능력에 도달하면 그 시간은 끝난다. 그 기간이 몇 주인지 몇 달인지는 아무도 공개하지 않았다. 등급을 매기는 기준 자체가 회사마다 다르다는 점은 「AI 위험 등급이란」에 정리했다.
5. 개인·기업이 들어가려면
| 프로그램 | 기업·기관 | 개인 | 신청 창구 |
|---|---|---|---|
| 구글 페어윈드 | 정부·기반시설·핵심 플랫폼 우선, 학계 연구실 가능 | 사실상 불가. 대상이 아니면 공개 모델 기반 보안 에이전트(코드멘더) 안내 | 구글 클라우드 계정 담당자 |
| 오픈AI 데이브레이크 | 블루·레드 신청, 레드는 별도 심사 | 블루만. 유료 요금제·고급 계정 보안·FIDO2 보안키 필요 | 신뢰 기반 사이버 접근 신청, 이후 관리자가 사용자별 허용 |
| 앤트로픽 CVP | 방어·레드팀·특화 | 방어 단계만, 취약점 제보 이력 필요 | 심사 기간 방어 단계 며칠, 레드팀 몇 주 |
한국 기관이나 개인이 어떤 서류로 신청하는지는 세 회사 모두 따로 안내하지 않았다. 국내 사이버 위협 대응 체계는 「사이버 위기경보 단계」에서 다뤘다.
6. 남은 것과 확인되지 않은 것
- 효과: 접근을 좁힌 결과 방어가 공격보다 앞섰는지 보여 주는 독립 측정은 아직 없다. 공개된 숫자 대부분은 회사가 낸 발견 건수다.
- 심사 기준 공개: 세 회사 모두 탈락 사유와 세부 기준을 공개하지 않는다.
- 일반 공개 시점: 카본·미토스처럼 방어자에게만 간 모델이 언제 일반에 나오는지, 그 판단 기준이 무엇인지 밝힌 회사는 없다.
- 한국 참여: 국내 기관의 참여 여부와 신청 경로는 확인되지 않았다.
- 오픈AI 세부 구조: 데이브레이크 단계 구성과 개인 신청 조건은 오픈AI 공식 페이지 대신 보안업체 정리를 통해 확인했다.
출처
- IAPS — Asymmetry by Design: Boosting Cyber Defenders with Differential Access to AI
- 사이버스쿱 — OpenAI expands Trusted Access for Cyber to thousands (2026-04-15)
- 체크막스 — OpenAI Daybreak: how it works, getting access, limitations and risks
- 렛츠데이터사이언스 — OpenAI Launches Daybreak for Cyber Defenders (2026-09-04)
- 컨스텔레이션 리서치 — Anthropic launches Project Glasswing, Claude Mythos Preview (2026-04-07)
- CSO 온라인 — Anthropic widens access to AI cyber capabilities for vetted security teams (2026-10)
- 구글 딥마인드 — Fairwind Program
- 구글 블로그 — Gemini 4 Carbon: our next frontier model (2026-10-28)
- 클라우드 시큐리티 얼라이언스 — CAISI Frontier Testing Agreements Reach Five Labs (2026-05)
- MLex — US CAISI enters pre-deployment agreements with Google DeepMind, Microsoft, xAI (2026-05-05)