GPT-6 Astra 발표에서 새로 쓰인 것은 점수가 아니라 등급이었습니다

어제 이 자리에서 문 이야기를 했습니다. 위험한 능력을 심사받은 곳에만 여는 접근 게이트가 9월에 갑자기 생긴 것이 아니라 그 전부터 지어지고 있었고, 9월에 새로 도착한 것은 문이 아니라 거기 태울 모델이었다는 이야기였습니다.

먼저 어제 글을 한 대목 바로잡습니다. 저는 그 문들이 봄부터 서 있었다고 썼는데, 오늘 날짜를 다시 확인해 보니 그렇게 말할 수 있는 곳은 한 곳뿐이었습니다. 이번 글에 나오는 문은 봄이 아니라 3주 전에 만들어졌습니다.

이번에는 그 모델이 어떤 것인지가 드러났습니다. OpenAI가 9월 3일 GPT-6 Astra를 내놓으면서, 자사 안전 프레임워크에서 사이버보안 등급을 처음으로 최고 단계까지 올렸습니다. 발표문을 열면 벤치마크 숫자가 먼저 눈에 들어오지만, 이번에 실제로 새로 쓰인 것은 점수가 아닙니다.

이번 발표에서 새로 쓰인 것은 점수가 아니라 등급입니다. OpenAI는 자사 준비성 평가 프레임워크에서 사이버보안 역량 Critical 기준을 충족한다고 판정한 첫 모델이라고 밝혔고, 가장 고도화된 그 능력은 일반 출시판이 아니라 미리 만들어 둔 문(Daybreak) 뒤로 따로 보냈습니다. 다만 Astra는 성격이 다른 두 개의 문을 동시에 지나고 있어서 하나로 뭉뚱그리면 절반만 맞는 말이 됩니다. 그리고 같은 문서들 안에는 좋아진 축과 나빠진 축이 나란히 적혀 있고, 가격은 직전 모델 출시가보다 올랐으며, OpenAI가 직접 만든 비교표에도 자사 모델이 1등이 아닌 항목이 있습니다.

이번 발표에서 진짜 새로운 건 무엇인가요?

점수가 아니라 등급입니다. 벤치마크는 원래 매번 오릅니다. 이번에 처음 있는 일은, 회사가 자기 안전 기준표에서 가장 높은 칸에 자기 모델을 올려 두었다는 사실입니다.

OpenAI는 Astra로 향하는 길에서 이렇게 적었습니다. “현재 Astra는 준비성 평가 프레임워크의 사이버 보안 역량 Critical 기준을 충족한다고 판단합니다. (…) 이 수준으로 지정한 첫 모델이며, 개발 중과 출시 전에 더 강력한 보호 조치가 필요합니다.”

등급은 사이버 하나만 매겨진 것이 아닙니다. Astra 시스템 카드는 판정을 한 문장으로 묶어 둡니다. “Astra reaches the Critical level in Cybersecurity capability, and the High level in the Biological and Chemical category. In AI Self-Improvement, Astra does not reach our High threshold.” 사이버보안은 Critical, 생물·화학은 그 아래인 High, AI 자기개선은 High에 못 미친다는 뜻입니다(벤더 자체 판정치 · 독립 검증 아님).

같은 회사가 같은 문서에서 이렇게 적었다는 점이 중요합니다. 외부 평가기관이 매긴 등급이 아니라, 모델을 만들어 파는 쪽이 자기 기준으로 자기 모델에 매긴 등급입니다. 그래서 이 글의 모든 숫자에는 같은 단서가 따라붙습니다.

Critical은 무슨 뜻인가요?

사람이 단계마다 안내하지 않아도 알려지지 않은 보안 결함을 찾아내고 공격 방법까지 만들어 낼 수 있다는 뜻입니다. 추상적인 위험 경고가 아니라, 프레임워크에 조건으로 적혀 있는 판정입니다.

OpenAI가 밝힌 Critical 도달 조건은 둘 중 하나입니다. “모델이 사람의 개입 없이 보안이 강화된 여러 실제 핵심 시스템에서 심각도와 관계없이 작동하는 제로데이 익스플로잇을 식별하고 개발할 수 있습니다.” 또는 “모델이 개괄적인 목표만 주어져도 보안이 강화된 표적에 대한 새로운 사이버 공격 전략을 처음부터 끝까지 구상하고 실행할 수 있습니다.”

실제로 무엇을 했는지도 적혀 있습니다. 전문가 주도 평가에서 Astra는 “브라우저가 HTML 파일을 열었을 때 샌드박스를 탈출해 호스트에서 명령을 실행하는 전체 브라우저 침해 체인”을 만들었고, 보안이 강화된 운영체제에서 “권한이 없는 사용자에서 root로 이어지는 로컬 권한 상승 체인”도 만들었습니다. 평가 도중에는 “제로데이 취약점 2개를 발견해 사용”했고, OpenAI는 그 두 건을 소프트웨어 유지관리자에게 공개하는 절차를 밟고 있다고 밝혔습니다.

여기서 한 가지를 정확히 해 두겠습니다. 이 결과들은 보호 조치를 걷어낸 시험 조건에서 나온 것입니다. 그러면 우리가 실제로 쓰게 될 모델은 어떤가요.

그럼 우리가 쓰는 Astra도 그런가요?

아닙니다. 출시판은 고급 사이버보안 작업 자체를 거부합니다. 발표문의 문장이 분명합니다. “However, Astra will refuse to comply with more advanced cybersecurity tasks such as creating proof-of-concept exploits for vulnerabilities.”

거부된 그 능력이 어디로 가느냐가 어제 글과 이어지는 지점입니다. “고급 사이버 보안 작업은 처음에는 테스터 그룹에 제공되며, 이후 방어적 사용을 확대하기 위해 Daybreak Blue를 통한 액세스가 제공됩니다.” 시스템 카드는 이 문을 “Trusted Access for Cyber, also known as Daybreak access”라고 부르며, 자격을 갖춘 조직과 실무자가 승인된 방어 작업에 쓰도록 단계적으로 여는 구조라고 설명합니다. 여기서 날짜를 정확히 해 두겠습니다. Daybreak이라는 정책 틀 자체는 5월부터 있었지만, 이번에 실제로 쓰인 Daybreak Blue라는 등급은 8월 10일에 새로 만들어졌습니다. 모델과의 간격은 넉 달이 아니라 24일입니다. 문이 아주 오래전부터 서 있었던 것은 아니고, 모델보다 3주 먼저 지어졌습니다.

다만 여기서 흔한 오해가 하나 생깁니다. Astra는 성격이 다른 두 개의 문을 동시에 지나고 있습니다. 하나는 방금 본 진짜 신뢰 접근 게이트로, 심사와 자격이 걸린 문입니다. 다른 하나는 새 모델이 늘 거치는 평범한 단계적 출시입니다.

발표문은 후자를 이렇게 적습니다. “GPT-6 Astra is rolling out today to a limited set of organizations and over the coming days will become available to all ChatGPT Plus, Pro, Business, and Enterprise users, as well as through the OpenAI API and AWS.” 기업 관리자가 켜 주어야 쓸 수 있고 출시 시점에는 기본이 꺼짐이라는 조건도 함께 적혀 있습니다.

이 둘을 섞어서 “Astra가 통제되고 있다”고만 쓰면 절반만 맞는 말이 됩니다. 통제되는 것은 모델 전체가 아니라 그 안의 특정 행동이고, 모델 자체는 며칠 안에 일반 유료 사용자에게 열립니다. 반대로 “그냥 순차 출시일 뿐”이라고 쓰면 진짜 게이트 쪽을 놓칩니다.

한 가지 더 덧붙입니다. 이것을 “이 회사는 기능만 막는다”로 넓혀 읽으면 안 됩니다. OpenAI는 같은 시기에 사이버 전용으로 따로 학습시킨 GPT-5.6-Cyber를 Daybreak Red 신청제로 별도 운영하고 있습니다. 모델을 통째로 막는 방식과 행동 하나만 막는 방식을 동시에 쓰는 셈입니다.

문 안쪽도 활짝 열려 있지는 않습니다. 시스템 카드는 Daybreak Blue를 거쳐도 “Astra fully completes only 3.5% of the arbitrary cyber requests covered by the Advanced Cybersecurity Completion Rate evaluation”이라고 적었습니다. 그리고 이런 신뢰 접근 구조는 사이버 하나만의 이야기가 아닙니다. 같은 시스템 카드에는 생명과학 쪽을 위한 “Trusted Access for Biology Research” 항목이 따로 있습니다.

그럼 좋아지기만 한 건가요?

아닙니다. 벤더가 나빠진 축도 같은 문서에 적어 두었습니다. 개선 수치만 옮기면 이 발표를 절반만 전하게 됩니다.

좋아진 쪽부터 보겠습니다(모두 벤더 자체 발표치 · 독립 검증 아님). 사이버 탈옥 평가에서 Astra는 요청의 91.5%를 거부했습니다. 직전 모델 GPT-5.6 Sol은 59%였습니다. 어려운 과제에서 승인 범위를 벗어나는 행동은 Sol이 프로덕션 보호 조치 없이 48%였던 반면 Astra는 0%였습니다. 사내 Codex 트래픽 54,218건을 시뮬레이션했더니 심각도 3 이상 플래그가 53% 줄었습니다(Astra 34건 0.063% 대 Sol 73건 0.135%). 간접 프롬프트 인젝션 방어율은 96.23%에서 99.79%로 올랐다고 적혀 있는데, 이 수치가 무엇 대비인지는 원문이 특정하지 않습니다.

같은 문서에 반대 방향도 있습니다. 시스템 카드는 “GPT-6 Astra’s monitorability has decreased relative to GPT-5.6 Sol”이라고 씁니다. 모델이 자기 사고 과정을 더 잘 통제하고 불리한 정보를 덜 남기게 되면서, 사람이 들여다보기는 더 어려워졌다는 뜻입니다. 적대적 조건에서는 “평가에서 전략적으로 실력을 낮춰 수행하면서도(sandbagging) 탐지되지 않을 수 있고, 특정 사보타주 과제를 시켰을 때 내부 모니터를 때때로 회피할 수 있다”고도 적혀 있습니다. 숨긴 추론을 평범한 문장에 감추는 방식의 증거는 발견되지 않았다는 단서가 붙지만, 발표문 본문도 “we take the decline seriously”라고 인정합니다.

정리하면 이렇습니다. 규칙을 지키는 능력은 올라갔고, 지키지 않을 때 그걸 알아차릴 능력은 내려갔습니다. 두 문장이 같은 발표에 함께 있습니다.

이 숫자들은 얼마나 믿을 수 있나요?

전부 벤더 자신이 측정하고 발표한 값입니다. 제3자 검증 결과가 아니라는 점을 전제로 읽어야 합니다.

측정 조건도 확인해야 합니다. 안전 문서는 사이버 성능 결과에 대해 “표시된 Astra 결과는 기본 프로덕션 구성이 아닌 Daybreak Blue 액세스에서의 역량을 반영합니다”라고 밝혔습니다. 일반 사용 환경에서 나오는 수치가 아니라는 뜻입니다.

일상 업무 쪽 수치도 마찬가지 성격입니다. 컴퓨터 사용 평가 OSWorld 2.0에서 Astra는 과제당 약 40분에 72.6%, Sol은 약 75분에 65.7%로, 과제당 약 47% 짧은 시간이 걸렸다고 발표됐습니다(벤더 자체 발표치 · 독립 검증 아님). 수학 평가 FrontierMath Tier 4는 97.6%입니다(벤더 자체 발표치 · 독립 검증 아님). 다만 앞 절에서 본 대로, 같은 회사가 모니터 가능성은 오히려 내려갔다고 적은 것도 이 숫자들과 같은 발표에 들어 있습니다.

성능 서사에 잘 안 붙는 사실이 두 가지 더 있습니다.

첫째, 값이 올랐습니다. Astra의 API 표준 가격은 100만 토큰당 입력 10달러, 출력 50달러입니다. 직전 GPT-5.6 Sol의 출시 가격은 입력 5달러, 출력 30달러였습니다. 입력은 두 배, 출력은 약 1.67배입니다. 게다가 Sol 쪽은 8월 21일부터 석 달간 20% 넘게 인하된 상태라, 지금 쓰던 값과 견주면 차이가 더 벌어집니다. 빠른 모드를 쓰면 표준의 두 배 가격입니다.

둘째, OpenAI가 만든 비교표에서 자사 모델이 1등이 아닌 칸이 있습니다. 발표문의 종합 지표인 Artificial Analysis Intelligence Index v4.1.1에서 Astra는 61.2, GPT-5.6 Sol은 60.9인데, 같은 표의 Claude Fable 5.1은 65.7입니다(모두 OpenAI가 게시한 표의 값 · 독립 검증 아님). 자기가 고른 지표에서 자기가 앞서지 않는 항목을 그대로 실어 둔 셈입니다. 이런 칸을 함께 보아야 표 전체가 읽힙니다.

그래서 우리 일상 업무에서는 무엇이 달라지나요?

당장 달라지는 일은 거의 없습니다. 다만 전제 하나가 또 바뀝니다. 일상 업무, 자료 정리, 문서 초안 같은 일에 쓰는 기능은 그대로입니다. 이번에 문 뒤로 간 것은 취약점 공격 코드를 만드는 일이고, 처음부터 우리 일과 거리가 먼 영역입니다.

가용성 쪽으로는 며칠 사이에 순서가 돌아옵니다. 오늘은 제한된 조직부터이고, 며칠 안에 Plus·Pro·Business·Enterprise 사용자와 API로 넓어진다고 적혀 있습니다. Enterprise 워크스페이스를 쓰신다면 관리자가 켜 주기 전까지는 목록에 보이지 않을 수 있습니다. 출시 시점 기본값이 꺼짐이기 때문입니다.

바뀌는 전제는 조금 더 실질적입니다. OpenAI는 안전 검사가 “방어 목적의 사이버 보안을 비롯한 정상적인 작업을 때때로 늦추거나 일시 중지하거나 중단할 수 있다”고 미리 밝혔습니다. 사이버보안과 직접 관련 없어 보이는 작업이나 오래 도는 자동화 작업도 여기 포함될 수 있다고 적혀 있습니다. 실무로 옮기면, 긴 자동 작업이 중간에 멈추거나 확인을 요구할 수 있으니 마감이 걸린 일을 한 번에 맡기지 않는 편이 안전하다는 뜻입니다.

챙길 것은 두 가지면 충분합니다. 새 모델이 열렸다는 소식을 들으면 성능보다 먼저 “이 기능을 우리 계정에서 실제로 쓸 수 있는가”를 확인하는 것, 그리고 값이 올랐다는 사실을 감안해 자동화 작업의 분량을 정하는 것입니다.