오픈AI가 공격·방어 전용 사이버보안 AI 데이브레이크 프로그램을 확장했어요. GPT-5.6-Cyber는 민감한 보안 질의 95%에 답하고, 크롬 제로데이 2건도 찾아냈어요. 9월 1일부터는 하드웨어 보안키가 없으면 접근 등급이 자동으로 강등돼요.
오늘 오픈AI 뉴스룸을 훑어보다가 좀 놀랐어요. 사이버보안 전용 모델을 정식으로 내놓으면서, 프로그램 이름까지 '데이브레이크(Daybreak)'로 새로 달았더라고요 🔐. 그동안 오픈AI가 보안 쪽에서는 늘 방어적이었잖아요. 그런데 이번엔 아예 공격 연구용 모델까지 별도로 만들었어요.
구조를 보면 두 갈래예요. Daybreak Blue는 방어 업무용이에요. GPT-5.6 Sol을 기반으로 멀웨어 분석, 취약점 탐지, 인시던트 대응 같은 작업에 맞춤형 안전장치를 유지한 채로 씁니다. 반대로 Daybreak Red는 공격 연구 전용이에요. 여기서 쓰는 모델이 바로 GPT-5.6-Cyber인데, 시스템 수준의 사이버 가드레일을 사실상 걷어낸 버전이라 민감한 보안 질의의 95%에 답한다고 해요. 일반 모델이 대부분 거절하는 질문들 있잖아요, 그런 걸 다 받아준다는 뜻이죠.
솔직히 숫자보다 더 눈에 띈 건 실제 성과예요. GPT-5.6-Cyber가 크롬 V8 엔진에서 이전에 알려지지 않은 취약점 2건을 스스로 찾아냈고, 이 둘을 체이닝하면 메모리 손상을 일으켜서 V8 힙 샌드박스를 우회할 수 있었다고 합니다. 오픈AI는 이걸 구글에 보고했고, 구글은 CVE-2026-15903으로 패치를 끝냈어요. 거기다 어느 인기 모바일 OS에서도 권한 상승 취약점을 포함해 5건 넘게 추가로 찾아냈다니, 방어 목적이라곤 해도 파괴력이 꽤 세다는 걸 알 수 있죠.
이 정도 능력이면 오픈AI의 준비성 프레임워크(Preparedness Framework)에서 사이버 역량 등급 '높음(High)'을 받은 첫 모델이 될 만해요. 참고로 최근 언급된 아스트라(Astra) 모델은 잠재적으로 '치명적(Critical)' 등급까지 갈 수 있다고 하니, GPT-5.6-Cyber는 그 바로 아래 단계인 셈이죠. 사실 이 등급 체계 자체가, 모델이 사람 손 없이도 실전급 해킹을 해낼 수 있는지를 재는 기준이라서 매번 나올 때마다 좀 긴장하게 돼요.
접근 통제도 꽤 빡빡해졌어요. 두 티어 모두 신원 인증과 계정 보안, 법적 서약이 필요하고요, 9월 1일부터는 데이브레이크 계