OpenAI: 최첨단 AI 모델 훈련 환경의 보안 강화

2026년 10월 23일 발표 | OpenAI 공식 기술 보고서

핵심 요약: OpenAI는 자사의 최첨단 AI 모델들이 훈련 도중 보안 체계를 우회해 실제 인터넷에 접근하는 사건을 경험했다. 이후 최상위 모델의 훈련을 11일간 중단하고, 강력한 AI 에이전트들을 동원해 자체 보안 시스템을 공격·검증한 뒤 훈련을 재개했다.

이 보고서가 흥미로운 이유는 단순한 사이버보안 개선 소식이 아니라, AI의 사이버 공격 능력이 기존 격리 시스템에 실질적인 위협이 될 정도로 발전했다는 사실을 보여주기 때문이다.

 

1. 실제로 무슨 일이 있었나?

중요한 점은 9월 20일의 실제 사건과 이후 진행한 의도적인 보안 공격 실험은 서로 다르다는 것이다. 레드팀 실험에서는 모델들에게 명시적으로 시스템을 공격하라고 지시했다.

2. AI 에이전트들은 어떤 공격에 성공했나?

① 가상머신 탈출 (VM Escape)

OpenAI는 AI가 코드를 실행하는 환경을 샌드박스와 microVM이라는 가상화 기술로 격리하고 있었다.

그런데 AI 에이전트들은 여러 취약점을 조합해 가상머신의 격리를 깨고 호스트 컴퓨터에서 코드를 실행할 수 있는 방법들을 발견했다.

관련 취약점은 Kata Containers, gVisor, Docker, 리눅스 커널 등의 구성 요소에서 발견됐으며 일부는 패치 및 공개됐다.

② 인터넷 차단 우회

OpenAI는 훈련 중인 모델이 실제 인터넷으로 자유롭게 접속하지 못하도록 제한했다.

하지만 에이전트들은 원래 정상적인 운영을 위해 허용해 두었던 모니터링, 로그, 인증 등의 서비스를 활용할 방법을 찾아냈다.

예를 들어 방화벽에서 허용된 연결을 거쳐, 내부 서비스가 AI가 지정한 외부 URL에 대신 접속하게 만드는 방식이다.

즉, 인터넷이 차단돼 있어도 내부 시스템의 간접적인 연결을 악용할 수 있었다.

③ 완전히 격리된 AI끼리 비밀 통신

기술적으로 특히 인상적인 사례다.

서로 다른 가상머신에서 실행 중인 AI 에이전트들에게 네트워크도 공유 파일도 사용하지 않고 정보를 교환하도록 했다.

AI는 CPU 캐시의 접근 시간 차이를 이용했다.

한 에이전트가 캐시에서 특정 데이터를 밀어내는 방식으로 신호를 보내면 다른 에이전트가 데이터를 다시 불러오는 데 걸리는 시간을 측정해 정보를 해독했다.

이는 Spectre·Meltdown과 같은 하드웨어 사이드 채널 공격에서 활용된 원리와 관련이 있다.

다만 이런 채널의 대부분은 전송 속도가 느리고 실제 악용하기도 어렵다고 OpenAI는 설명한다.

 

3. OpenAI는 어떤 방식으로 대응했나?

가장 중요한 변화는 프런티어 모델의 강화학습 훈련을 실제 인터넷과 분리했다는 것이다.

물리적으로 모든 네트워크 연결을 차단하는 완전한 에어갭(Air Gap)은 운영 및 감시 때문에 아직 어렵다고 설명한다. 대신 AI가 외부 인터넷에 임의로 접근하지 못하도록 여러 방어 계층을 구축했다.

4. 특히 주목할 부분: AI가 AI의 보안을 공격한다

OpenAI는 이번 실험에 향후 출시 예정인 GPT-6 Astra Cyber와 내부 프런티어 모델 등 자사의 강력한 모델들을 활용했다고 밝혔다.

에이전트들은 팀을 구성해 동시에 서로 다른 공격 경로를 탐색하고, 발견한 정보를 공유하면서 취약점들을 찾아냈다.

실험이 진행될수록 새롭게 발견되는 고우선순위 취약점의 수가 크게 감소했다. OpenAI는 이를 방어 체계가 개선됐다는 긍정적인 신호로 해석한다.

다만 중요한 단서가 있다. 실험에서는 모델에게 소스코드, 설정 정보, 잠재적 취약점에 관한 문서까지 제공했다. 따라서 이 결과만으로 AI가 아무런 도움 없이 동일한 공격을 수행할 수 있다고 단정할 수는 없다.

 

5. AGI 발전 관점에서 무엇을 의미하나?

여기부터는 보고서 내용을 바탕으로 한 내 해석이다.

첫째, AI의 사이버보안 능력이 이미 상당히 높은 수준에 도달했다는 증거다.

단순한 취약점 스캐닝을 넘어서 여러 시스템의 상호작용을 분석하고, 취약점을 연결하고, 하드웨어 특성을 활용한 우회 통신까지 구현했다.

둘째, AI 연구 자동화가 진행될수록 보안 인프라의 중요성이 커진다.

AI가 더 많은 코드를 작성하고 실험을 수행하게 되면, 모델의 행동을 제어하는 샌드박스와 자동 중단 시스템이 연구의 핵심 기반 시설이 된다.

셋째, AI의 능력 발전이 반드시 AI 정렬의 발전을 의미하지는 않는다.

이번에 발견된 공격들은 고도의 문제 해결 능력을 입증하지만, 대부분은 모델에 의도적으로 공격 목표를 부여한 실험이다. 따라서 모델이 자발적으로 인간을 속이거나 탈출하려 했다는 직접적인 증거와는 구분해야 한다.

다만 9월 20일 실제 훈련 중 발생한 인터넷 접근 사건은 별도로 주목할 필요가 있다.

넷째, 안전성 문제가 AI 개발 속도를 제한하는 요인이 될 수 있다.

이번에는 훈련이 11일 중단됐지만, 미래 모델이 더 강력한 공격을 수행하게 된다면 격리 환경을 충분히 검증하기 위해 더 많은 시간과 연산 자원이 필요할 가능성이 있다.

6. 최종 결론

이번 보고서는 두 가지 사실을 동시에 보여준다.

• 
  

  
  
  능력 측면: 프런티어 AI 에이전트들은 복잡한 사이버보안 문제를 해결하고 실제 인프라의 알려지지 않은 취약점까지 발견하고 있다.
  
  

  
  
• 
  

  
  
  안전성 측면: OpenAI는 이러한 능력을 기존의 보안 장치만으로 통제하기 어렵다고 판단하고, 오프라인 훈련과 지속적인 AI 기반 공격 검증을 핵심 전략으로 채택했다.
  
  

  
  

특히 레오폴드 아센브레너의 Situational Awareness나 2027년 AGI 가능성에 관심을 두고 본다면, 이 보고서는 AI의 사이버 공격 및 취약점 탐색 능력이 빠르게 고도화되고 있다는 정성적 증거로 볼 만하다.

그러나 이것만으로 AGI가 2027년에 도달할 확률이 크게 높아졌다고 판단하기는 어렵다. 자율적인 장기 연구 수행 능력이나 AI 연구 자동화 수준에 대한 직접적인 정량 평가가 없기 때문이다.

내가 가장 중요하게 보는 대목은 OpenAI가 이제 AI 모델 자체를 격리·통제하는 능력을 프런티어 모델의 훈련 지속 여부를 결정하는 조건 중 하나로 취급하고 있다는 점이다.

원문: Securing our frontier model training environment