OpenAI, 사이버보안 전문 모델 제공 개시

OpenAI는 사이버보안 방어 담당자를 대상으로 한 전문 AI 모델 「GPT-5.6-Cyber」의 제공을 시작했다. 이 모델은 통상의 AI 시스템에서 안전상의 이유로 답변이 제한되는 보안 관련 질문에 대해 98.5%라는 높은 답변률을 실현하고 있다. 더욱이 Google의 브라우저 「Chrome」에 존재했던 미발견의 취약점 2건을 특정했다고 OpenAI는 발표했다.

사이버보안 현장에서는 오랫동안 공격자와 방어자 사이에 「비대칭적 투쟁」이라는 구조가 존재한다. 공격 측은 한 곳이라도 돌파구를 찾으면 성공할 수 있는 반면, 방어 측은 모든 허점을 막아야 한다는 불균형이다. OpenAI에 따르면, 이러한 구조 속에서 방어자가 행동할 수 있는 시간적 여유(윈도우)는 더욱 축소되고 있다고 한다. AI를 활용한 공격 수법이 고도화됨에 따라 방어 측이 취약점을 발견하고 수정하기까지의 유예가 단축되고 있다는 관점이 가능하다.

GPT-5.6-Cyber는 이러한 상황을 바탕으로 방어 담당자가 공격자보다 먼저 취약점을 발견하도록 지원하는 목적으로 개발되었다. 종래의 AI 모델은 오용을 방지하기 위해 보안상 민감한 질문에 대한 답변을 광범위하게 제한해왔다. 이 모델은 그 제한을 방어 목적에 한정하여 완화하고, 보안 전문가가 실제의 조사·분석 업무에 활용할 수 있도록 설계되어 있다.

이용에 있어서는 본인 확인(아이덴티티 검증)이 필요하다고 요구된다. 이는 모델이 보유한 높은 답변 능력이 오용되는 것을 방지하기 위한 조치로 자리 매김된다. 보안상의 고도한 정보를 다루는 모델인 만큼 이용자를 제한·관리하는 구조는 필수불가결하다고 판단된 것으로 보인다.

실적 측면에서는 이미 Chrome의 미지의 취약점 2건을 발견했다는 점이 구체적인 성과로 제시되고 있다. 「제로데이 취약점」이라고 불리는, 아직 공개·수정되지 않은 취약점의 발견은 보안 분야에서 특히 가치가 높다. AI가 이러한 발견을 자율적으로 수행할 수 있다면, 인간 전문가가 간과한 문제를 보완하는 도구로서 기능할 가능성이 있다.

AI를 사이버보안에 활용하려는 움직임은 OpenAI 이외에서도 확산되고 있으며, 업계 전체의 관심이 높아지고 있는 영역이다. 다만, 동등한 능력을 보유한 모델이 방어 측뿐만 아니라 공격 측에도 응용될 위험은 항상 존재한다. 이번의 본인 확인 의무화는 그러한 양의성에 대한 OpenAI 측의 현시점에서의 대응 전략이라는 관점이 가능하다.

향후 주목되는 점은 이 모델이 실제의 기업이나 조직의 보안 체계에 어떻게 통합되어 가는가, 또한 발견된 취약점에 대한 대응이 어떻게 이루어지는가라는 점이다. AI에 의한 취약점 발견이 일상적인 보안 업무의 일부가 된다면, 방어 측과 공격 측의 역학 관계에 일정한 변화를 초래할 가능성이 있다.