본문으로 건너뛰기

'Critical' 사이버 임계값: OpenAI가 Astra로 방금 촉발한 것

중급

2026년 8월 7일 OpenAI는 *"중대한 사이버 능력의 다음 프론티어에 대응하기(Responding to the next frontier of critical cyber capabilities)"*라는 포스트를 발행하고, 미출시 Astra 모델의 내부 개발 일부를 일시 중단하고 있다고 언론에 밝혔습니다. 이유: 지난 며칠간의 예비 평가로 OpenAI는 Astra가 자체 Preparedness Framework의 Critical 사이버 보안 능력 수준에 도달했을 가능성을 현재로서는 배제할 수 없다고 결론지었기 때문입니다.

이는 처음 있는 일입니다. Preparedness Framework는 2023년 12월부터 존재했습니다. 어떤 프론티어 모델도 — GPT-4도, GPT-4o도, GPT-5.6 Sol도, 공개적으로 벤치마킹된 어떤 Anthropic이나 Google 모델도 — 이전에는 자기 랩이 Critical 플래그를 올리도록 촉발하지 않았습니다. GPT-5.6 Sol은 사이버 트랙에서 High에 안착했고 완화책과 함께 출시됐습니다. Astra는 OpenAI가 서면으로 "아마 우리가 이걸 모든 것을 배포하는 방식으로 배포할 수 없다"라고 말하게 만든 첫 후보입니다.

이 페이지는 (이 글을 쓰는 시점에) 다른 누구도 쓰지 않은 실용적 설명입니다. 뉴스 재게시가 아닙니다. Critical이 기술적 정의로 실제로 무엇을 의미하는지, 랩이 그것을 말할 때 운영적으로 무슨 일이 벌어지는지, 여러분이 결코 Astra를 만지지 않더라도 이것이 왜 중요한지, 그리고 다음 그런 발표를 통역자 없이 읽을 수 있도록 이것이 Anthropic의 병렬 프레임워크와 어떻게 맞춰지는지.

What you'll learn
  • Preparedness Framework의 네 능력 티어(Low / Medium / High / Critical)와 무엇이 재평가를 촉발하는지 이해
  • 'Critical 사이버'의 정확한 정의를 알기 — 이는 '모델이 해킹을 잘한다'보다 훨씬 좁고 구체적
  • OpenAI가 Astra에 적용한 구체적 운영 대응을 보기: 격리된 환경, 샌드박스 실행, 가중치 암호화, 사고 사슬 모니터링, 일시 중단된 작업
  • OpenAI의 Preparedness Framework를 Anthropic의 Responsible Scaling Policy / ASL 레벨에 매핑해 둘을 같은 단위로 추론할 수 있게 하기
  • 프론티어 모델 위에서 출시하는 빌더가 이번 주에 실제로 바꿔야 할 세 가지 가져가기

실제로 무슨 일이 벌어졌는지, 한 문단으로​

대략 2026년 8월 1일과 7일 사이에 OpenAI는 Astra에 대해 일련의 내부 사이버 보안 및 에이전틱 코딩 평가를 실행했습니다 — 8월 1일 열 개의 Lean-4 형식화된 수학 증명으로 예고한 모델 패밀리입니다. 평가는 이전 모델 대비 큰 도약을 보였습니다. Astra가 Critical 사이버 능력 수준에 있을 가능성을 현재로서는 배제할 수 없다고 OpenAI의 Preparedness 팀이 결론지을 만큼 큰. OpenAI는 안전 테스트를 확장하고, 보안 통제를 강화하며, 새로운 통제를 충족하지 못한 일부 내부 작업을 일시 중단하고 있다고 공개적으로 발표했습니다. 또한 광범위한 출시 전에 정부 기관과 독립 AI 안전 조직과 함께 추가 테스트를 실행할 계획이라 말했습니다. Astra는 취소되지 않았습니다. 그 출시는 추정 능력을 낮추거나, 프레임워크가 Critical-티어 모델에 요구하는 완화책을 세우는 것을 조건으로 합니다.

모델 자체에 대한 배경은 OpenAI Astra: 프리뷰 필드 노트를 보세요.

90초로 보는 Preparedness Framework​

OpenAI의 Preparedness Framework — 현재 라이브 버전은 v2 — 는 이렇게 말하는 문서입니다: 프론티어 모델을 출시하기 전에, 우리는 그것을 추적된 능력 도메인 세트에서 평가하고, 각 도메인은 네 개의 티어를 가진다. 티어는 도메인 전반에 걸쳐 공통입니다:

티어의미(단순화)
Low기준선. 모델이 공격자 능력을 의미 있게 끌어올리지 않는다.
Medium공격자를 위한 하찮지 않은 향상. 표준 완화책과 함께 출시.
High심각한 향상. "High" 보안 및 배포 통제(가중치 격리, 배포 제약, 모니터링)와 함께만 출시.
Critical모델이 강화된 실세계 표적에 대해 도메인에서 종단간 작업을 자율적으로 수행할 수 있다. 사전 커밋된 특정 안전장치가 먼저 마련되지 않은 채로 배포하지 마라.

OpenAI가 현재 Preparedness v2 아래에서 추적하는 도메인은 (의역): 사이버, 생물학/화학, AI 자기 개선, 모델 자율성을 포함합니다. 각각은 네 티어에 대한 자체 정의를 가집니다. 그래서 모델은 예를 들어 사이버에서 Medium, 바이오에서 High일 수 있습니다.

프레임워크는 프로세스에 대한 약속이지, 모델이 어떤 것에서도 결코 나쁘지 않을 거라는 약속이 아닙니다. 누구든 현재 PDF를 cdn.openai.com/pdf/18a02b5d-6b67-4cec-ab64-68cdfbddebcd/preparedness-framework-v2.pdf에서 읽을 수 있습니다.

왜 Critical 바로 아래 티어(High)가 여기서 충분하지 않은가​

GPT-5.6 Sol은 사이버에서 High에 배치됐고 표준 High-티어 통제 — 배포 게이팅, 오용 모니터링, 공격적 기술에 대한 파인튜닝 없음, 가중치 보안 — 와 함께 출시됐습니다. 그 통제 세트는 여전히 대부분의 일을 해야 하는 공격자를 의미 있게 돕는 모델에 맞춰져 있습니다.

Critical은 다른 체제입니다. Critical-티어 사이버 모델은 공격의 흥미로운 부분에서 사람이 루프에 없는 모델입니다. High 모델을 위한 통제는 사람이 병목이라 가정하기 때문에 구조적으로 불충분합니다.

사이버 트랙에서 "Critical"이 실제로 무엇을 의미하는가​

이것이 뉴스에서 사람들이 잘못 읽는 문장입니다. OpenAI의 자체 프레이밍은 좁습니다:

사람의 도움 없이 많은 강화된 실세계 중요 시스템에 대한 작동하는 제로데이 익스플로잇을 발견하고 개발할 수 있는 모델, 또는 오직 고수준 목표만으로 강화된 표적에 대해 새로운 종단간 사이버 공격 전략을 고안하고 실행할 수 있는 모델.

두 가지에 주목하세요.

첫째, 이는 "모델이 CTF 챌린지를 정말 잘한다"가 아닙니다. CTF는 의도된 해답을 가진 사전 설계된 퍼즐입니다. Critical은 강화된(패치되고, 모니터링되고, 방어된) 실제 시스템에 대한 새로운 종단간 공격을 요구합니다. 그것은 보통 국가 행위자 레드 팀에 귀속되는 부류의 작업입니다.

둘째, "사람의 도움 없이"가 많은 일을 하고 있습니다. 숙련된 운영자가 작동하는 제로데이를 더 빨리 떨어뜨리도록 돕는 모델은 자동으로 Critical이 아닙니다 — 그것은 정확히 High 영역입니다. Critical 바는 자율성입니다: "이 URL에서 고객 데이터베이스를 얻고 유출해라" 같은 목표만 주어졌을 때 모델이 계획하고, 버그를 발견하고, 무기화하고, 안착시킵니다.

그 정의 아래에서, "우리는 Critical을 현재로서는 배제할 수 없다"는 "모델이 보안을 잘한다"보다 훨씬 강한 진술입니다. 그것은: 우리의 평가가 유능한 적대자가 이 것을 강화된 표적에 겨누고 추가 사람 입력 없이 셸 접근을 받을 수 있는 수준이나 그 근처에서 능력을 발견했다는 것입니다.

운영적 대응, 단계별로​

랩이 그 말을 할 때, 사무실에서 일어나는 일은 이렇게 보입니다. OpenAI의 포스트와 후속 보도는 다음의 구체적 행동들을 설명합니다:

Guided walkthrough1 of 7
  1. Astra는 네트워크와 툴 접근이 제한된 격리 개발 환경으로 이동합니다. Critical-티어 모델이 위험을 *증명하는 데* 사용할 툴 사용 표면(임의 인터넷 접근, 셸, 패키지 설치)이 정확히 가장 먼저 잘리는 표면입니다.

OpenAI 대 Anthropic: 같은 모양, 다른 어휘​

Anthropic은 **Responsible Scaling Policy(RSP)**라는 병렬 프레임워크를 운영하며, 현재 v3.0입니다. 도메인당 Low/Medium/High/Critical 대신, Anthropic은 글로벌 **AI Safety Levels(ASL)**를 씁니다: ASL-1에서 ASL-5까지. 두 프레임워크는 같은 문제를 풀려 하고 티어-대-티어로 대략 겹치지만, 일대일은 아닙니다.

어느 랩도 매핑을 공식 승인하지 않은 상태에서 최선을 다해 진술할 수 있는 대략적 정렬:

OpenAI Preparedness 티어Anthropic ASL 이웃무엇이 출시
LowASL-1 / ASL-2표준 사용 정책과 함께 무엇이든.
MediumASL-2오늘의 기본 완화책과 함께 출시.
HighASL-3배포 측과 가중치 측 통제 모두 요구됨. Anthropic은 2025년 5월 Claude Opus 4에 대해 ASL-3 보호를 활성화했다.
CriticalASL-4(대략)Anthropic이 활발히 정제해 온 티어, 사전 지정이 진정으로 어렵기 때문이다. RSP v3는 ASL-4/5 정의가 어려운 부분임을 명시적으로 인정한다.

흥미로운 뉘앙스는 Anthropic의 ASL-4에 대한 공개 입장이 *"우리는 ASL-4 임계값을 명확히 충족하는 모델을 배포할 안전장치 세트를 아직 준비하지 못했다"*였다는 것 — 이는 OpenAI가 Astra에 대해 다른 단어로 방금 소리 내어 말한 것과 대략 같습니다. 어느 프레임워크든 앞으로 읽을 때 정신적 번역은:

"Critical 사이버"(OpenAI) ≈ "ASL-4-ish 자율 능력"(Anthropic) ≈ "우리가 이미 가진 안전장치가 이것에 필요한 안전장치가 아니다."

프레임워크 중 어느 것도 마법이 아닙니다. 프로세스 약속입니다. 가치는 능력을 방지한다는 게 아니라 — 그렇지 않습니다 — 랩을 출시 쪽으로의 느린 기본값이 아니라 명시적이고 공개적으로 보이는 결정 지점으로 강제한다는 것입니다.

빌더를 위한 세 가지 뻔하지 않은 가져가기​

여러분은 (아직) Astra를 출시하지 않습니다. 여러분은 Claude, GPT-5.6, Gemini 또는 뭔가 로컬 위에서 출시합니다. 다음은 여러분에게 실제로 무엇이 바뀌는지입니다.

1. 프론티어 출시는 자기 능력 발표를 뒤처지게 될 것​

Astra 사건은 더 흔해질 패턴의 구체적 인스턴스입니다. 랩은 능력(수학적 증명, 평가 점수, 데모)을 모델이 그 능력으로 배포 가능해지기 몇 주 전에 발표할 것입니다. Preparedness 스타일 프로세스가 "우리가 가중치를 가졌다"와 "우리가 가중치를 출시하는 게 편안하다" 사이에 간극을 강제하기 때문입니다. 로드맵을 이렇게 짜세요: 벤더가 프론티어 모델을 사전 발표하면, 제품의 런칭 날짜를 그것 주위에 설계하지 마세요. 현재 출시된 모델 주위에 설계하고, 새 것은 업그레이드 경로로 취급하세요.

2. 여러분의 툴 표면이 완화책​

Critical-티어 능력이 제한된 툴 표면 뒤에 앉을 때, 모델은 여전히 출시될 수 있습니다 — 다만 임의의 네트워크 I/O나 임의의 셸을 할 수 없을 뿐입니다. 그것은 정확히 랩들이 다른 이유(안전, 비용, 결정성)로 이미 밀어붙이는 배포 모양입니다. 에이전트를 만들고 있다면, 그것을 디버깅 가능하게 만드는 같은 툴-표면 위생이 기저 모델이 어떤 것에서든 Critical인 세계에서 그것을 배포 가능하게도 만듭니다. 구체적으로: 좁은 허용 리스트를 가진 명명되고 타입된 툴이 "셸을 줘라"를 이깁니다. Vetting agent skills와 MCP 툴 포이즈닝과 러그 풀에 크로스 링크.

3. 이것은 여러분의 평가 가치를 올린다, 벤더의 것이 아니라​

벤더 Preparedness / RSP 평가는 최악의 경우에 관한 것입니다 — 이 것이 강화된 시스템을 자율적으로 공격할 수 있는가. 그것은 여러분 제품에 잘못된 질문입니다. 여러분 제품의 위험은 "모델이 제로데이를 개발할 수 있는가"가 아니라 "모델이 여러분의 도메인이 해로운 것으로 여기는 출력을 만들지 않고 여러분의 특정 워크플로에서 사용자가 필요한 것을 하는가"입니다. 벤더 평가는 그것에 답하지 않을 겁니다. "Critical"을 듣는 것에 대한 가장 건강한 반응은 여러분 자신의 흐름에 대한 여러분 자신의 평가에 배가로 걸어, 벤더가 결국 무엇을 출시하든(제약되든, 지연되든, 아니면 다르게), 첫날부터 제품에 대해 변경을 회귀 테스트할 수 있게 하는 것입니다. 하나의 구체적 패턴에 대해 Supabase 평가: 에이전트 벤치마크를 보세요.

워크드 예제: "Critical-with-mitigations" 배포가 어떻게 보일 수 있는가​

외부 평가가 Critical을 확인하지만 OpenAI가 여전히 출시하고 싶다면, 배포 모양은 매우 예측 가능합니다. 이런 식:

가상의 Astra 배포 제약(예시적)

- No raw shell / arbitrary code execution tool exposed to third-party developers
- Browsing restricted to allow-listed content classes (docs, GitHub, package registries)
and blocked from arbitrary URL fetch on request
- All "security research" adjacent requests routed through a stricter refusal policy
with mandatory logging and human review sampling
- Fine-tuning API disabled for the Critical-tier model
- API-only, no download, no on-device version, no self-hosted variant
- Rate-limited and gated behind explicit enterprise agreements with reporting requirements
- Independent monitoring org receives redacted misuse signals

이 중 어느 것도 Astra에 대해 확인되지 않았습니다. Critical-with-mitigations 배포가 프레임워크의 자체 약속을 충족하기 위해 어떻게 보여야 하는지의 모양입니다. 만약 결국 출시가 대략 이렇게 보인다면, 그것은 프레임워크가 작동하는 것입니다. 이것과 전혀 다르게 보인다면, 그것은 분류가 결국 Critical 아래로 돌아왔다는 신호입니다.

피해야 할 흔한 오독​

  • "OpenAI가 Astra를 취소했다." 아닙니다. 새 통제를 충족하지 않은 내부 작업을 일시 중단하고 안전 테스트를 확장했습니다. 취소는 없습니다.
  • "Astra는 무엇이든 해킹할 수 있다." 아닙니다. 임계값은 "해킹할 수 있다"가 아닙니다. "고수준 목표에서 강화된 표적에 대한 종단간 공격을 자율적으로 수행할 수 있다"입니다. 발표조차 "확인됨"이 아니라 "현재로서는 배제할 수 없다"를 씁니다.
  • "이는 AI가 이제 출시하기에 너무 위험하다는 것을 의미한다." 아닙니다. 프레임워크의 요점은 등급별 대응입니다. Critical은 출시 불가를 의미하지 않고, Critical이 요구하는 특정 통제 없이 출시 불가를 의미합니다.
  • "Preparedness Framework는 해자다." 아닙니다. Preparedness의 어떤 것도 다른 사람의 모델을 제한하지 않습니다. 오픈-웨이트 랩들(Meta, Mistral, DeepSeek, Qwen, MiniMax)은 자체 능력, 자체 선택을 가지며, Preparedness를 채택할 의무가 없습니다. 프레임워크는 그것에 서명한 랩을 묶지, 필드를 묶지 않습니다.

다음에 지켜볼 것​

  • OpenAI의 다음 Preparedness Framework 개정이 사이버-Critical을 더 세밀한 대역(예: Critical-Autonomous 대 Critical-Assisted)으로 나누는지 여부. 지금 정의는 "사람의 도움 없이"에 많은 무게를 두고, 현실은 스펙트럼입니다.
  • Anthropic이 자신의 RSP v3.0 티어를 공개적으로 Preparedness 티어에 명시적으로 매핑하는지 여부. 독립 연구자들은 이미 비공식적으로 이렇게 합니다.
  • 어떤 랩(Anthropic, Google, xAI, DeepSeek)의 다음 큰 프론티어 출시가 역 패턴을 촉발하는지 여부 — 랩이 "우리는 Critical 사이버에 대해 평가했고 촉발하지 않았다, 여기 숫자가 있다"라고 말하는 것.
  • 위에 스케치된 제약된 배포 모양이 Critical-티어 모델뿐 아니라 프론티어 모델 출시 일반의 기본 템플릿이 되는지 여부.

빠른 체크​

Check yourself

0/5
  1. OpenAI의 Preparedness Framework 아래에서, Critical-티어 사이버 능력을 High-티어와 구별하는 것은 무엇입니까?
  2. OpenAI가 2026년 8월 7일 Astra에 대해 실제로 무엇을 말했습니까?
  3. 다음 중 OpenAI가 대응의 일부로 Astra에 적용한 통제 조치는?
  4. Anthropic의 Responsible Scaling Policy에서 OpenAI의 'Critical' 티어와 가장 가까운 이웃은?
  5. 어떤 프론티어 모델 위에서든 에이전트를 출시하는 빌더에게, Astra 사건에서 최고의 가져가기는?

플래시카드​

아직 카드가 없습니다 — 추가해서 학습을 시작하세요. 🃏

출처 및 참고자료​