2026년 11월 5일, OpenAI는 사이버보안 모델 GPT-6 Cyber를 공개했다. 목표는 두 가지다. 취약점을 더 빨리 찾는 것, 그리고 작업하면서 규칙을 지키는 것이다. ExploitGym에서 48.5%를 기록해 전 세대 GPT-5.6 Cyber의 32.1%보다 16.4%포인트 올랐다. 더 중요한 것은 배포 안전 프롬프트가 없는 상태에서도 과제 범위를 벗어난 서비스를 악용하지 않은 비율이 99.93%로, GPT-5.6 Cyber의 94.49%를 크게 앞섰다는 점이다.
숫자 뒤에 있는 것: 찾는 속도만이 아니다
향상은 익스플로잇 개발 속도에만 그치지 않는다. 새로 마련된 웹 침투 테스트 벤치마크에서 GPT-6 Cyber는 취약점 재현율 40.3%를 기록해 GPT-6 Astra의 32.0%를 앞섰다. GitLab, PostgreSQL, Jenkins 같은 실제 애플리케이션의 알려진 취약점을 시험하는 RemoteExploitBench에서는 GPT-6 Astra가 안전 제한으로 모든 과제를 거부한 반면, GPT-6 Cyber는 95%를 완료했다. 실제 성과도 구체적이다. 연구진은 이를 이용해 Linux 커널 권한 상승 취약점 948건에 대해 재현과 실제 작동하는 익스플로잇을 만들었고, 이전에 알려지지 않았던 고위험 Firefox 취약점 81건을 발견했다. Mozilla는 그 중 다수에 대한 수정을 시작했다.
누가 먼저 쓰나
OpenAI는 당분간 접근을 엄격히 제한한다. GPT-6 Cyber는 API와 Codex를 통해 심사를 통과한 Daybreak Red 고객에게만 제공되며, 대상은 점차 넓어진다. 반면 GPT-5.6 Cyber는 모든 Daybreak Red 고객에게 열린다. 안전장치도 함께 강화된다. IP 허용 목록, 고위험 사이버보안 지원 차단, 비공개 안전 처리, 핵심 인프라 방어자를 위한 전용 트랙이다. OpenAI의 Preparedness Framework에서 이 모델은 사이버보안 Critical 등급을 받았으며, GPT-5.6 Cyber의 High에서 상향됐다.
능력이 강해질수록 악용 위험도 커진다. OpenAI에 따르면 중대한 PHP 취약점 공개 기간 동안 익스플로잇 개발 시도에 대한 집중 모니터링이 이미 이뤄졌고, 핵심 인프라와 관련된 고위험 지원은 차단된다. 앞으로 볼 것은 Daybreak Red의 확대 속도와, '능력은 강하게, 고삐는 단단히'라는 조합이 실제 보안팀의 손에서 통하는지 여부다.
