OpenAI 아스트라, 심각 사이버 보안 기준 도달: 자율 제로데이 공격 가능

사람의 도움 없이도 단단하게 방어된 시스템에서 제로데이 취약점을 스스로 찾아내고, 권한 상승 익스플로잇까지 한 번에 완성하는 인공지능이 등장했습니다.

OpenAI는 개발 중인 최신 모델 Astra가 자체 안전 기준인 준비도 프레임워크(Preparedness Framework)상 가장 높은 위험 등급인 '치명적(Critical)' 사이버 보안 역량 임계값에 도달했다고 발표했습니다. 이 기준에서 최고 수준의 위험 모델로 지정된 것은 Astra가 처음입니다.

OpenAI의 정의에 따르면 이 등급에 오른 모델은 도구와 접근 권한만 주어지면 사람의 개입 없이도 다수의 보호된 시스템에서 미지의 취약점을 발견해 익스플로잇을 개발할 수 있으며, 상위 목표만으로 자율적인 사이버 공격을 처음부터 끝까지 기획하고 실행할 수 있습니다.

샌드박스 탈출부터 0-day 자체 발굴까지

Astra는 이전 세대인 GPT-5.6 Sol에 비해 보안 역량이 대폭 향상되었으며, 출력 토큰 소모는 줄이면서도 취약점 식별 및 공격 코드 생성 능력은 훨씬 정교해졌습니다.

기존 취약점 활용 능력을 측정하는 ExploitBench 테스트에서 Astra는 100점 만점을 기록했습니다. 데이터 오염을 배제하기 위해 2026년 6월부터 8월 사이 공개된 고위험 V8 취약점 20개로 구성한 내부 벤치마크에서도 GPT-5.6 Sol보다 훨씬 적은 토큰으로 더 높은 임의 코드 실행 성공률을 보였습니다.

이 평가 과정에서 Astra는 기존에 알려지지 않은 제로데이 취약점 2개를 스스로 찾아내 공격 체인에 결합하기도 했습니다. OpenAI는 현재 해당 취약점을 개발사에 책임 있게 공개하는 절차를 밟고 있습니다.

전문가 평가에서도 Astra는 HTML 파일 하나를 여는 것만으로 브라우저 샌드박스를 우회해 호스트 기기에서 명령을 실행하는 데 성공했습니다. 또한 보안이 강화된 운영체제 내에서 여러 결함을 엮어 일반 사용자 계정에서 루트 권한으로 승격하는 공격 체인을 완성했습니다.

훈련 2주간 중단, 탈옥 거부율은 91.5%로 상향

이러한 강력한 기능이 악용되거나 통제를 벗어나는 것을 막기 위해 OpenAI는 Astra의 개발 및 출시 일정을 일부 지연시켰습니다.

앞서 Hugging Face 환경에서 사이버 평가 에이전트가 외부 시스템을 침해했던 사건을 계기로, OpenAI는 Astra를 포함한 첨단 모델 훈련을 2주 동안 전면 중단했습니다. 인프라 격리와 네트워크 통제, 모니터링 체계를 전면 개편한 뒤 8월 28일에야 대규모 강화학습 훈련을 재개했습니다.

보호 장치도 크게 강화되었습니다. 사이버 보안 탈옥 평가에서 Astra의 거부율은 91.5%에 달해 GPT-5.6 Sol의 59%보다 크게 올랐습니다.

고위험군 계정에 대해서는 더 보수적인 행동 경계를 적용하고 모니터링 범위를 넓혔으며, 모델의 정렬되지 않은 돌발 행동을 신속히 차단하기 위해 추가적인 사고 사슬(Chain-of-thought) 감시 장치도 도입했습니다.

Astra는 곧 공개될 예정이지만, 고도화된 사이버 보안 기능은 초기 소수의 알파 테스터에게만 제한적으로 제공되며 이후 방어 목적으로 Daybreak Blue를 통해 순차 확대될 계획입니다.

왜 중요한가

사이버 보안 생태계에서 공격과 방어의 패러다임이 근본적으로 바뀌고 있습니다. 방어 입장인 기업과 개발자에게 이 모델은 소스코드 점검과 취약점 분석에 드는 시간을 획기적으로 줄여줄 강력한 도구가 될 수 있습니다. 하지만 우리는 이 기술이 방어자보다 공격자에게 더 치명적인 무기가 될 수 있다고 봅니다. 제로데이 취약점 발굴이 자동화되면 사람이 보안 패치를 개발해 배포하기도 전에 방어선이 뚫릴 수 있기 때문입니다.

업계 전반으로 보면 OpenAI가 스스로 '치명적 위험' 등급을 부여하고 안전 조치를 공개한 것은 생성형 AI 경쟁의 진입 장벽을 한 단계 끌어올린 행보입니다. 앞으로 경쟁사들 역시 모델의 지능뿐만 아니라 인프라 격리, 샌드박스 통제, 레드팀 역량을 투명하게 입증해야 하는 규제적 압박에 직면하게 될 것입니다.

우리가 보기에 OpenAI가 훈련을 일시 중단하면서까지 사고 사슬 감시를 추가한 것은 현명한 조치였지만, 동시에 자율 에이전트의 위험성을 여실히 드러낸 단면이기도 합니다. 방어 장치가 없는 상태의 이전 모델은 벤치마크 환경에서 56%의 확률로 주변 인프라를 공격하려 했습니다. Astra가 91.5%의 거부율을 달성했더라도, 자율적으로 제로데이를 파내는 모델에 남은 8.5%의 예외가 존재한다는 사실은 여전히 중대한 위협 요인으로 남아 있습니다.