보안

숫자로 보는 GPT-6 Cyber: 'Critical' 분류, 리눅스 익스플로잇 948건 중 588건은 미지의 결함 겨냥, 중대 발견 304건은 수정안과 함께 메인테이너에 전달

OpenAI는 GPT-6 Cyber를 Critical로 분류했다. 리눅스 익스플로잇 948건 중 588건은 미지의 결함을 겨냥했고, 중대 발견 304건은 수정안과 함께 전달됐다고 밝혔다.

작성: Audryk · 2026년 11월 6일

• 모델
• #OpenAI
• #GPT-6 Cyber
• #리눅스 커널
• #Preparedness Framework
• #Daybreak Red
• #취약점
• #사이버 보안

OpenAI는 자사 GPT-6 Cyber를 사이버 역량에 관한 Preparedness Framework에서 가장 높은 단계인 Critical로 분류했다. 언론이 전한 OpenAI 설명에 따르면, 연구 실행에서 리눅스 커널 취약점 1,724건을 재현했고 그중 948건에서 작동하는 익스플로잇을 만들었다. 948건 중 588건은 이전에 알려지지 않은 버그를 겨냥했고, 중대 발견 304건은 후보 패치와 함께 메인테이너에게 공개됐다. 이 수치는 모두 OpenAI에서 나왔고 독립적으로 검증되지 않았다. 이 글은 숫자를 풀어 보는 글이며, 모델 출시와 리눅스용 120만 달러 파이프라인에 대한 이전 기사의 후속이다.

핵심 요약

• Critical: OpenAI Preparedness Framework에서 사이버 위험이 가장 높은 단계. GPT-5.6 Cyber는 High였다.
• 948과 588: 재현한 1,724건 중 리눅스 커널 취약점 948건에서 작동하는 익스플로잇을 만들었다. 948건 중 588건(약 62%)은 이전에 알려지지 않은 버그를 겨냥했고, 나머지 360건은 새롭지 않았다.
• 304: 리눅스 메인테이너에게 후보 패치와 함께 공개된 중대 발견. '후보'는 검토를 위해 제안됐다는 뜻이며 반영된 것은 아니다.
• 5배 이상: OpenAI에 따르면 같은 구성에서 GPT-5.6 Sol의 166건 대비 948건.
• 접근: 당분간 선별된 Daybreak Red 고객만, API와 Codex를 통해.

Critical 분류는 무엇을 뜻하나

Critical은 OpenAI Preparedness Framework에서 사이버 역량 위험이 가장 높은 단계다. The Register에 따르면, 실제 핵심 시스템에서 작동하는 제로데이 익스플로잇을 찾아 개발하고 처음부터 끝까지 사이버 공격을 수행할 수 있는 모델을 뜻한다. GPT-6 Cyber는 GPT-5.6 Cyber의 High에서 올라 Critical이며, The Decoder는 기반 모델 GPT-6 Astra와 같은 분류라고 짚는다. 이 분류는 역량에 대한 OpenAI 자신의 평가이지 공격이 일어났다는 확인이 아니며, 접근 제한이 따른다. GPT-6 Cyber는 승인된 일부 Daybreak Red 고객에게 API와 Codex로 제공되며, 앞으로 몇 주 안에 Daybreak Red 고객으로 접근이 넓어질 예정이다.

1,724, 948, 588, 304는 어떻게 맞물리나

OpenAI 설명(전달된 바)에 따르면, 연구자들은 리눅스 커널 취약점 1,724건을 재현하고 그중 948건(약 55%)에서 작동하는 익스플로잇을 만들었다. 같은 구성에서 GPT-5.6 Sol이 만든 166건의 5배를 넘는다. 948건 중 588건(약 62%)은 이전에 알려지지 않은 버그였고, 나머지 360건은 새롭지 않았다. 이 360건에 대해 읽은 보도는 설명하지 않는다. 별개로 OpenAI는 리눅스 메인테이너에게 중대 발견 304건을 공개했다고 밝혔다. 이 304건이 588건에 포함되는지는 보도에 나오지 않으며, 중대하고 후보 패치가 딸려 있었다는 것만 알 수 있다. OpenAI가 이전 파이프라인에 대해 말했듯 가장 심각한 보고부터 먼저 보냈을 가능성이 있지만 이는 본 사이트의 추정이다. 수치는 시점도 다르다. OpenAI는 앞서 분석 10일 뒤 로컬 권한 상승 결함 61건이 커널 본류에서 수정되었고 299건이 보고되어 공개 논의되었다고 밝혔으며, 이를 304에 더하지 않았다.

'수정안과 함께 전달'은 무슨 뜻인가

The Register에 따르면 리눅스 발견은 메인테이너의 검토를 위한 잠정 패치와 함께 보고되고 있다. 후보 패치는 제안일 뿐이다. 커널 메인테이너가 그것이 올바른지, 반영할지를 결정하며, 수정은 반영되어 사용자가 쓰는 커널에 배포되어야 비로소 사용자를 보호한다. Firefox의 심각도 높은 결함 81건은 Mozilla가 수정을 시작했다(The Register). 따라서 '중대 결함 304건이 수정과 함께 전달됐다'는 304건의 중대 발견이 수정안과 함께 보고됐다는 뜻으로 읽어야 하며, 304건이 수정됐다는 뜻이 아니다.

확립되지 않은 점

• 948, 588, 304 수치의 독립적 검증. 모두 OpenAI 설명을 언론이 전한 것이다.
• 304건이 588건과 겹치는지, 이미 본류에 반영된 패치가 몇 건인지.
• '이전에 알려지지 않은'이 무엇을 기준으로 하는지(어느 데이터베이스, 언제 시점), 나머지 360건이 무엇이었는지.
• 948건의 익스플로잇 여러 건이 같은 근본 결함을 겨냥하는지. 고유 결함으로의 묶음은 OpenAI가 한 것이며 확인하지 못했다.
• OpenAI가 시험한 커널 버전과 가상 머신 구성 외의 소프트웨어에 결과가 어디까지 적용되는지.

비교 표

자주 묻는 질문

Critical은 모델이 공격에 쓰였다는 뜻인가?

아니다. OpenAI의 역량 분류이며 접근은 검증된 Daybreak Red 고객으로 제한된다. 읽은 보도에는 오용 보고가 없다.

중대 결함 304건은 수정됐나?

확립되지 않았다. 후보 패치와 함께 보고됐고, 메인테이너가 아직 검토하고 반영해야 한다.

948건 중 588건은 발견된 결함 대부분이 새롭다는 뜻인가?

악용된 커널 버그의 약 62%가 이전에 알려지지 않았다는 뜻이다. 나머지 360건은 새롭지 않았고, 그것이 무엇이었는지는 알 수 없다.

방법과 한계

2026년 11월 6일 기준 정보입니다. The Register는 자동 추출로 읽었고(Critical 분류, 948, 588은 있으나 304와 1,724는 없음), The Next Web, The Decoder, Gulf Business, 개발자 가이드는 검색 발췌를 읽었습니다. OpenAI 자체 보고서와 시스템 카드는 읽지 않았습니다. 모든 수치는 OpenAI의 것입니다. 보안 조언이 아닙니다.

출처

• The Register: OpenAI releases GPT-6 Cyber, and promises this one stays within rules of engagement (확인일: 2026-11-06)
• The Next Web: OpenAI's GPT-6 Cyber found 81 new Firefox flaws and is rated 'Critical' (확인일: 2026-11-06)
• The Decoder: OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them (확인일: 2026-11-06)
• Gulf Business: OpenAI launches GPT-6 Cyber with 'Critical' cybersecurity rating, uncovers 81 Firefox vulnerabilities (확인일: 2026-11-06)
• Byteiota: GPT-6 Cyber Found 948 Linux Exploits: Developer Guide (확인일: 2026-11-06)

이 기사에서 오류를 발견하셨나요? 제보하기 · 정정 정책