OpenAI '데이비크' 확장: 취약점 발견 넘어 자동 패치하는 GPT-5.5-Cyber 공개

그동안 사이버 보안의 가장 큰 장벽은 시스템에 숨겨진 취약점을 찾아내는 일이었습니다. 하지만 AI가 취약점 발굴을 극단적으로 가속하면서 상황이 뒤집혔습니다. 이제 방어자들은 쏟아지는 경고를 감당하지 못하고 있으며, 진짜 병목은 발견이 아니라 패치 작업으로 옮겨갔습니다.

OpenAI가 자사의 사이버 보안 이니셔티브인 Daybreak를 확장하며 대규모 자동 패치 도구를 공개했습니다. 취약점 보고서만으로는 시스템을 지킬 수 없다는 판단 아래, 위험 검증부터 패치 작성, 테스트 배포까지의 과정을 기계 수준의 속도로 단축하겠다는 구상입니다.

코드 작성기 안으로 들어온 보안 엔지니어

핵심 축 중 하나는 업데이트된 Codex Security 플러그인입니다. 지난 3월 리서치 프리뷰 공개 이후 3만 개 이상의 코드베이스에서 3천만 개가 넘는 커밋을 분석했습니다. 보안 담당자가 직접 확인해 수정한 건수만 7만 건 이상이며, 자동으로 조치 완료를 판정한 건수는 50만 건을 넘어섰습니다.

이 플러그인은 개발자 곁에 전담 보안 엔지니어를 두는 방식으로 설계되었습니다. 단순히 취약점을 알리는 데 그치지 않고, 프로젝트의 위협 모델을 파악해 해당 취약 코드가 실제로 외부에서 실행 가능한지 검증한 뒤 맞춤형 패치 코드를 제안합니다.

함께 공개된 GPT-5.5-Cyber 정식 버전은 검증된 방어자에게 제한적으로 제공됩니다. 취약점 재현 성능을 측정하는 CyberGym 벤치마크에서 85.6%를 기록해 표준 GPT-5.5(81.8%)를 넘어선 단일 모델 최고 점수를 달성했습니다.

공격 코드 생성 능력을 측정하는 ExploitGym에서는 일반 모델(25.95%)을 크게 앞선 39.5%를 기록했고, 장기 취약점 발굴 지표인 SEC-bench Pro에서도 69.8%를 나타냈습니다. 이 모델은 이미 Firefox, V8, Safari, FreeBSD 등의 핵심 소프트웨어 취약점 검증에 활용되었습니다.

오픈소스 생태계를 위한 구조대 결성

AI가 쏟아내는 취약점 신고로 오픈소스 개발자들이 지치는 것을 막기 위해, OpenAI는 보안 기업 Trail of Bits, HackerOne, Calif와 함께 Patch the Planet 프로젝트를 시작했습니다.

cURL, Python, Go, Sigstore, pyca/cryptography 등 30개 이상의 주요 오픈소스 프로젝트가 참여를 약속했습니다. Trail of Bits는 전체 연구 조직을 투입해 19개 프로젝트에서 Codex와 GPT-5.5-Cyber를 활용해 수십 건의 패치 병합을 완료했습니다.

수주일이 걸리던 대규모 퍼징 랩 구축 작업을 AI를 통해 하루 만에 끝마치는 등 구체적인 성과도 나타나고 있습니다. 기업 고객 지원을 위해서는 Cisco, CrowdStrike 등이 참여하는 파트너 프로그램을 가동해 검증된 보안 제품 내에 모델 기능을 통합합니다.

왜 중요한가

사이버 보안 방어의 성패는 늘 한정된 전문 인력에 묶여 있었습니다. 특히 전 세계 인프라를 지탱하는 오픈소스 소프트웨어는 소수의 자발적 기여자에 의존하는 경우가 많아, 공격자들의 AI 활용 속도를 따라잡기 불가능에 가까웠습니다.

우리는 OpenAI가 취약점 경고를 늘리는 대신 패치 제작과 검증을 자동화하는 데 집중한 점을 긍정적으로 평가합니다. 취약점 보고서만 양산하는 것은 방어자에게 과부하를 줄 뿐이지만, 테스트가 완료된 패치를 PR 형태로 넘겨주면 방어자의 업무는 단순 검토로 축소됩니다.

오픈소스 관리자나 엔지니어링 팀에게 이번 업데이트는 쌓여 있는 보안 부채를 털어낼 수 있는 강력한 실용 도구입니다. SARIF 내보내기나 CLI 연동을 지원하는 만큼, 보안 파이프라인의 효율을 즉각 끌어올릴 수 있습니다.

다만 양날의 검에 대한 경계는 남아 있습니다. 익스플로잇 생성 능력이 일반 모델보다 월등히 높다는 점은, 이 모델이 악의적인 공격자 손에 들어갔을 때 강력한 무기가 될 수 있음을 의미합니다. 미국 정부 기관과의 사전 검증 및 엄격한 신원 검증 절차를 거치고 있지만, 보안 생태계의 폐쇄적 통제가 장기적으로 실효성을 유지할 수 있을지는 지켜볼 필요가 있습니다.