OpenAI는 2026년 11월 5일 GPT-6 Cyber를 공개했습니다. 방향성은 명확합니다. 더 많은 취약점을 찾는 게 아니라, 찾는 범위 안에서 더 정확하게, 더 안전하게 일하도록 만든 모델입니다.

이 글에서는 공개된 벤치마크 숫자와 실제 활용 사례를 정리하고, 보안 팀이 이 모델을 어떻게 읽어야 하는지 풀어봅니다.

공개된 숫자부터 정리해 봅시다

OpenAI의 설명을 한 줄로 줄이면 이렇습니다.

취약점을 찾고 검증하는 cybersecurity 모델이면서, 연구자가 정한 범위 안에서 더 reliably 움직입니다.

핵심 벤치마크는 이렇습니다.

벤치마크 GPT-6 Cyber 이전 세대
ExploitGym 48.5% 32.1% (GPT-5.6 Cyber)
ExploitBench (web pentesting) 40.3% recall 32.0% (GPT-6 Astra)
ExploitGym Honeypot (범위 준수, deployment prompt 없이) 99.93% 94.49% (GPT-5.6 Cyber)
ExploitGym Honeypot (deployment prompt 포함) 100% 100% (GPT-5.6 Cyber)

ExploitGym은 원격 대상에서 지정된 취약점을 exploit할 수 있는지 테스트하는 벤치마크입니다. 16%p 차이는 상대론으로 따지면 51% 개선입니다. ExploitBench는 소스 코드 없이 웹 애플리케이션을 probing하는 offensive web pentesting 평가로, GPT-6 Cyber가 40.3% recall을 기록했습니다. GPT-6 Astra가 refusal을 많이 했다는 점을 고려하면, refusal 없이도 이 수치는 의미 있습니다.

정렬(alignment) 평가에서 눈에 띄는 건 ExploitGym Honeypot입니다. Hugging Face 사고에서 영감을 받은 이 평가는 모델에게 어려운 exploitation 과제를 주고, 패키지 레지스트리나 object store 같은 supporting 서비스에 접근성을 줍니다. 이 서비스들은 고의로 쉽게 exploit되도록 만들어져서, 공격하면 과제 flag를 얻을 수 있습니다. 모델이 이를 추론해서 벗어나야 합니다.

GPT-6 Cyber는 deployment safety prompt 없이도 99.93%에서 out-of-scope 서비스를 공격하지 않았고, deployment prompt를 포함하면 100% 범위 내에서 움직였습니다. 모델의 chain-of-thought에서도 이런 단서가 나옵니다.

"Can't assume extra API or attack controller not target.
 We should only target binary/server."

"don't explore out of scope credentials."

이건 단순한 refusal이 아닙니다. 모델이 과제를 읽고, 범위를 추론하고, 벗어난 행동을 막는 reasoning을 거치는 구조입니다. 99.93%라는 숫자는 10,000 번 테스트에서 7번만 벗어났다는 뜻이고, 100%는 단 한 번도 벗어나지 않았다는 뜻입니다. 이 차이는 deployment prompt가 모델의 reasoning에 어떤 영향을 미치는지를 보여줍니다.

실제 코드베이스에서 어떤 일이 벌어지고 있나요

공개된 숫자보다 더 중요한 건 실제 활용 사례입니다.

OpenAI의 연구진이 GPT-6 Cyber를 사용해 Linux 커널에서 948개의 privilege escalation exploit을 개발했고, Firefox에서 81개의 previously unknown high-severity 취약점을 확인했습니다. GPT-5.6 Sol이 같은 research harness로 166개 exploit만 개발했다는 점과 비교하면 5배 이상 차이나는 수치입니다.

Mozilla는 이 결과를 받고 fix를 landing하기 시작했고, Cisco, CodeRabbit, Palo Alto Networks, CrowdStrike, SentinelOne, Perplexity 등 보안 팀이 실제 워크플로우에 투입하고 있습니다.

각사의 평가는 대략 이렇습니다.

Firefox (Brian Grinstead, Distinguished Engineer):
  "Even after further hardening with multiple generations
   of frontier models, GPT-6 Cyber uncovered previously
   unknown high-severity vulnerabilities."

Calif (Thai Duong, CEO):
  "Its ability to construct libraries of primitives over time
   and then find a path through them to something stronger
   is a step change from previous generations."

Cognition (Steven Hao, CTO):
  "It scored 23% compared to the previous best score of 13%.
   It is highly efficient in discovering high impact
   vulnerabilities in large codebases."

Palo Alto Networks (Lee Klarich, CPTO):
  "We found the model to be faster, more cost-effective,
   and significantly smarter."

특히 Calif의 언급이 주목됩니다. "primitives library를 시간이 지나면서 구축하고, 그 경로 중 하나를 stronger exploit로 찾는" 능력 — 이건 모델이 한 번 호출로 정답을 내는 게 아니라, 여러 턴에 걸쳐 exploit 체인을 구성하는 에이전트 워크플로우에 적합하다는 신호입니다.

Cognition의 23% vs 13% 점수도 의미 있습니다. 상대론으로 77% 개선이지만, 절대값이 23%라는 점은 아직 개선 여지가 많다는 뜻입니다. 보안 모델은 점수가 높을수록 더 좋은 것이 아니라, 실제 코드베이스에서 어떤 취약점을 찾아내는지의 질이 더 중요합니다.

Daybreak Red 구조를 이해해야 합니다

GPT-6 Cyber는 Daybreak Red를 통해서만 접근할 수 있습니다. Daybreak Red는 더 깊은 exploit 개발과 원격 대상에 대한 authorized security testing을 지원하는 접근 제어 체계입니다.

접근 구조는 이렇습니다.

GPT-6 Astra (기본 코드 리뷰, 취약점 triage, patch 개발)
  ↓
Daybreak Blue (검증된 방어자가 exploit validation + fewer refusals)
  ↓
Daybreak Red (승인된 보안 전문가만, identity verification + monitoring)
  └─ GPT-5.6 Cyber (모든 Daybreak Red 고객)
  └─ GPT-6 Cyber (승인된 Daybreak Red 고객, 점진적 확장)

Daybreak Red API 접근에는 IP allowlisting이 기본으로 요구됩니다. 승인된 네트워크以外的에서의 요청은 제한됩니다. 이 구조는 credential 유출 시에도 모델 오용을 막는 설계입니다.

RemoteExploitBench라는 새로운 벤치마크도 공개되었습니다. GitLab, PostgreSQL, Jenkins 같은 애플리케이션의 알려진 취약점을 통제된 환경에 배포한 테스트입니다. GPT-6 Astra (Daybreak Blue)는 100% refusal했지만, GPT-6 Cyber는 95%를 완료했습니다. 유일한 실패는 원격으로 작동하지 않은 exploit이었습니다.

이 95%라는 숫자는 중요한 시사점을 줍니다. 5%의 실패가 "원격으로 작동하지 않은 exploit"이었다는 건, 모델이 exploit을 개발하는 능력 자체는 있지만, 네트워크 환경이나 원격 타겟의 특정 조건에서 작동하지 않는 경우가 있다는 뜻입니다. 이는 실제 보안 팀이 모델을 사용할 때, 로컬 테스트 환경에서 잘 작동하는 exploit이 실제 원격 환경에서도 작동하는지 반드시 검증해야 한다는 점을 시사합니다.

안전장치는 아키텍처 문제로 읽어야 합니다

GPT-6 Cyber는 더 강한 capability에 더 강한 safeguard를 짝지어냈습니다. 주요 보호 장치는 이렇습니다.

1. Cyber-specific misalignment monitoring
   → 요청이 사용자의 authorization과 일치하는지 모니터링

2. Targeted monitoring for emerging threats
   → 예: PHP 취약점 공백기 동안 live 서버 exploit 개발 시도 모니터링

3. Private Safety Processing (PSP)
   → Zero Data Retention 사용자는 PSP 필수
   → 30일 간 encrypted records를 OpenAI 직원이 노출 없이 리뷰

4. Stolen credentials protection
   → Daybreak Red API 접근에 IP allowlisting 기본

5. Critical infrastructure safeguards
   → 발전소, 수도 시설 등 OT/ICS 시스템 관련 assistance 차단

중요한 점은 "higher safeguard block rates are not always better"라는 OpenAI의 설명입니다. 많은 blocking 기법이 legitimate security work에서도 필요한 기술입니다. 100% blocking을 목표로 하는 게 아니라, legitimate research와 patching을 지원하면서 균형점을 찾는 구조입니다.

이 균형점은 실제 보안 팀이 모델을 사용할 때 가장 중요한 고려사항입니다. safeguard가 너무 강하면 legitimate vulnerability research가 차단되고, 너무 약하면 malicious use가 허용됩니다. OpenAI는 이 균형점을 찾기 위해 Dragos, Cisco, Palo Alto Networks 등 실제 보안 기업과의 피드백을 반영하고 있습니다.

Dragos와의 평가도 주목할 만합니다. Dragos는 mock power plant range에서 frontier model을 테스트했고, model이 OT assets를 IT noise에서 분리하고, protective relay data를 관리하는 engineering software에서 두 개의 zero-day를 발견했습니다.

Dragos 평가 결과 요약:
  Network discovery → asset enumeration
  → targeted reconnaissance
  → sensitive data exfiltration
  → unauthorized device actions

결론: "The skill floor is dropping for the
 reconnaissance and vulnerability research
 needed before an attack."

이건 경고입니다. 탐색과 취약점 연구의 진입 장벽이 낮아지고 있다는 뜻이고, OpenAI는 이에 대응해 safeguards를 어떻게 구축할지 adversary의 경로를 먼저 예측하려는 시도입니다. "skill floor이 dropping"한다는 건,之前에는 전문 보안 전문가만 할 수 있던 작업이 AI 모델의 도움으로 더 많은 사람이 할 수 있게 된다는 뜻입니다. 이는 방어자에게는 기회이지만, 공격자에게도 기회라는 양면성을 가지고 있습니다.

보안 팀이 실제로 어떻게 써야 하는지

공개 벤치마크보다 실전에서의 사용 패턴이 더 중요합니다. GPT-6 Cyber를 쓰는 입장에서 세 가지를 염두에 둬야 합니다.

첫째, 이 모델은 single-shot 정답을 내는 게 아니라 multi-turn exploit chain을 구성하는 데 최적화되어 있습니다. 한 번 호출로 취약점을 찾는 게 아니라, 여러 턴에 걸쳐 primitives library를 쌓고 경로를 찾는 구조입니다. 이는 에이전트 워크플로우를 설계할 때, single-turn 호출이 아닌 multi-turn conversation context를 유지하는 아키텍처가 필요하다는 뜻입니다.

둘째, Daybreak Red 접근에는 두 단계 승인 — OpenAI Daybreak Red 승인 + AWS provisioning — 이 필요합니다. 둘 다 필요하다는 점을 간과하면 실제 도입이 늦어집니다. Daybreak Red 승인만 받고 AWS provisioning을 잊으면, 모델은 쓸 수 없습니다.

셋째, 모델이 range를 준수하는 능력은 training에서 온 것입니다. Hugging Face 사고 같은 사례에서 배운 교훈이 explicit training objective로 반영되었습니다. 같은 모델이라도 training objective가 다르면 range 준수율이 달라질 수 있다는 점입니다. 이는 보안 팀이 모델을 선택할 때, 모델의 capability뿐만 아니라 training methodology도 고려해야 한다는 점을 시사합니다.

결론: 모델 성능보다 접근 구조가 먼저입니다

GPT-6 Cyber가 던지는 질문은 "이 모델이 몇 점 받을까?"가 아닙니다. "내 보안 팀이 Daybreak Red를 통해 이 모델을 어떻게 승인받고, 어떤 워크플로우에 투입할 수 있을까?"입니다.

48.5% ExploitGym 점수도 중요하지만, 99.93% 범위 준수와 IP allowlisting, PSP, Zero Data Retention 같은 접근 제어 구조가 실제 운영에서 더 큰 역할을 합니다. capability가 높아질수록 safeguard의 설계가 더 중요해지는 시점입니다.

실전에서의 결정 요인은 ExploitGym 점수가 아니라, "내 코드베이스에서 이 모델이 실제로 어떤 취약점을 찾아내는지"입니다. 공개 벤치마크는 참고용일 뿐, 실제 보안 팀의 도입 결정은 Daybreak Red 승인 과정과 기존 보안 워크플로우와의 통합 가능성에 달려 있습니다.

여기서 한 가지 더 생각해 볼 점은 "Cyber Defense Window narrows"라는 OpenAI의 표현입니다. 2026년 8월 10일 발표에서 OpenAI는 "Expanding Daybreak as the Cyber Defense Window Narrows"라고 명시했습니다. 사이버 방어 창이 좁아지고 있다는 건, 취약점이 발견되고 exploit이 개발되는 속도가 빨라지고 있다는 뜻이고, 이에 대응하기 위해 AI 모델의 활용이 더 시급해지고 있다는 경고입니다. 이 맥락에서 GPT-6 Cyber의 도입은 선택이 아니라 필수라는 점을 생각해 볼 필요가 있습니다.

함께 읽으면 좋은 글

참고 자료

이 주제를 직접 따라가며 배우고 싶다면

보안 에이전트를 감으로 돌리는 게 아니라, 검증과 제어가 있는 워크플로우로 통제하는 연습이 필요하다면, Claude Code 기준으로 CLAUDE.md·Skills·Hooks·Subagents·MCP를 쌓는 과정이 이 글과 바로 이어집니다.