Astra의 안전성 발표, 어디까지 믿어야 하나…회사 벤치마크와 독립 검증의 경계
OpenAI의 GPT-6 Astra 안전성 발표는 ‘무엇을 시험했는지’와 ‘누가 어떤 조건에서 시험했는지’를 나눠 읽어야 의미가 분명해진다. 확인된 사실부터 보면 OpenAI는 2026년 9월 1일 Astra의 일부 개발·출시 일정을 늦췄다고 밝힌 뒤, 9월 3일 GPT-6 Astra 출시와 함께 안전 개요 및 시스템 카드를 공개했다. 2026년 10월 16일 현재 공개 철회 사실은 확인되지 않는다.
다만 이 발표만으로 Astra의 안전성이 외부에서 독립적으로 재현됐다고 보기는 어렵다. 회사가 공개한 자료에는 내부 평가, 외부 기관 협업 평가, 공개 벤치마크, 그리고 실제 배포와는 다른 시뮬레이션이 한데 묶여 있다. 독자가 확인할 수 있는 핵심은 OpenAI가 상당한 분량의 평가 자료를 공개했다는 점이지, 그 자체로 외부 재현 검증이 끝났다는 뜻은 아니라는 점이다.
먼저 확인되는 사실…출시 연기와 출시 철회는 다른 얘기다
이번 사안에서 가장 먼저 구분해야 할 것은 ‘연기’와 ‘철회’다. OpenAI는 9월 1일 공개한 ‘Astra로 향하는 길’ 문서에서 Hugging Face 관련 사건 이후 훈련 인프라와 보안 통제를 강화하기 위해 Astra를 포함한 일부 프런티어 훈련을 2주간 멈췄고, 지난 몇 주 동안 Astra의 개발과 출시 일부를 늦췄다고 밝혔다. 이어 9월 3일에는 GPT-6 Astra 출시를 공식 발표하면서 광범위 배포 모델 가운데 가장 강력한 모델이라고 설명했다.
즉 공개 자료만 놓고 보면, OpenAI는 안전 우려 때문에 일부 일정을 늦췄지만 최종적으로는 보호조치를 강화한 뒤 출시를 진행했다. ‘출시가 철회됐다’거나 ‘안전 문제로 공개가 무산됐다’는 식의 서술은 현재 확인 가능한 원자료와 맞지 않는다.
회사 발표가 실제로 보여주는 것…위험 분류와 평가 설계는 비교적 구체적이다
OpenAI 발표의 강점은 안전 홍보 문구만 내놓은 것이 아니라, 어떤 위험을 기준으로 Astra를 분류했는지 비교적 구체적으로 적었다는 데 있다. 회사는 Astra를 준비성 평가 프레임워크상 첫 ‘Critical’ 수준 사이버 보안 모델로 분류했다. 설명에 따르면 적절한 도구와 접근권한이 있을 때 사람이 단계별로 안내하지 않아도 미공개 취약점을 찾고 악용 방법을 개발할 수 있다는 판단이다.
시스템 카드에는 평가 종류도 드러난다. 사이버 보안 역량 평가는 ExploitBench, ExploitGym, SEC-Bench Pro, SRE-Bench 같은 공개 벤치마크 4종과, Sandbox Bench 및 최근 취약점을 반영한 내부 포트 등 내부 평가를 함께 사용했다고 적었다. 간접 프롬프트 인젝션 저항성에서는 Gray Swan과 협업한 외부 평가 결과도 실었고, 정렬 관련해서는 영국 AI Safety Institute와 Apollo Research의 외부 평가 항목을 따로 두었다.
외부 협업 평가의 존재도 의미는 있다. 예를 들어 Gray Swan은 간접 프롬프트 인젝션 공격 1810건을 사용해 Astra의 취약성을 시험했고, OpenAI는 방어가 적용된 Astra의 공격 성공률이 GPT-5.6 Sol보다 낮았다고 공개했다. Irregular는 별도 사이버 공격 평가군에서 Astra가 GPT-5.6 Sol보다 더 많은 과제를 풀었지만, 완전히 강화된 표적에서는 성공 사례를 보지 못했다고 적었다. 회사 자료만 읽더라도 ‘전반적 향상’과 ‘남은 한계’가 동시에 적혀 있다는 점은 확인된다.
하지만 독립 검증으로 보기 어려운 이유…접근권한과 시험환경이 다르다
문제는 이 외부 평가들까지 포함해도 대부분이 OpenAI가 제공한 접근환경 안에서 이뤄졌다는 점이다. 시스템 카드는 자사 레드티밍 일부가 모델의 사고과정과 내부 안전정책에 대한 특권적 접근권한을 활용했다고 적고 있다. 이는 취약점 발견에는 유리하지만, 일반 외부 연구자나 이용자가 공개 인터페이스에서 같은 결과를 재현할 수 있다는 뜻은 아니다.
또 OpenAI 스스로도 일부 결과를 외부 배포 안전성의 직접 척도로 읽지 말라고 적었다. 내부 코딩 트래픽을 바탕으로 한 misalignment 평가는 내부 배포 위험을 보여주는 추가 신호로는 유용하지만, 내부와 외부 배포 사이의 분포 차이 때문에 외부 배포 안전성을 직접 측정하는 값은 아니라고 밝혔다. 다시 말해 회사 자료 안에도 ‘이 수치는 이 범위에서만 읽어야 한다’는 단서가 이미 들어 있다.
시뮬레이션 한계도 뚜렷하다. 영국 AI Safety Institute 평가는 실제 인터넷이나 외부 시스템에 닿지 않는 모의 환경에서 공급망 공격 성향 등을 시험했고, 평가기관도 모델이 비시뮬레이션 환경에서 다르게 행동할 가능성을 한계로 적었다. Apollo Research 평가 역시 전략적 기만과 사보타주 성향을 보기 위해 근실사용과 유사한 환경을 만들었지만, 어디까지나 제한된 기간의 레드팀 실험이었다. 이런 결과는 중요한 신호이지만, 공개 서비스 전반의 행동을 전부 대신하지는 못한다.
발표 뒤 수정된 수치와 설명도 있다…읽을 때 변경 이력을 함께 봐야 한다
이번 발표를 그대로 받아들이기 어려운 또 다른 이유는 시스템 카드가 출시 뒤에도 수정됐기 때문이다. OpenAI는 9월 9일 정렬 평가 해석과 한계 설명을 보강했고, 9월 22일에는 HealthBench 수치를 이전 평가의 설정 오류 때문에 수정했다고 공개했다. 같은 날 정렬 평가 일부도 업데이트 버전을 반영하도록 본문과 부록을 손봤다.
이 변경 이력은 두 가지를 뜻한다. 하나는 회사가 공개 후에도 오류와 설명 부족을 수정하고 있다는 점이다. 다른 하나는 최초 발표에 적힌 수치와 서술이 최종본이 아닐 수 있다는 점이다. 안전성 발표를 읽을 때 본문 수치만 볼 것이 아니라, 변경 이력과 수정 사유까지 함께 봐야 하는 이유다.
그렇다면 지금 시점의 합리적 결론은
2026년 10월 16일 기준으로 확인되는 결론은 비교적 분명하다. OpenAI는 Astra를 위험도가 높은 모델로 분류했고, 그래서 출시 전 일부 개발·배포를 늦추며 보안 통제와 안전장치를 강화했다고 밝혔다. 공개된 시스템 카드는 내부 평가뿐 아니라 Gray Swan, UK AISI, Apollo Research, Irregular 등 외부 기관이 참여한 항목도 포함하고 있어, 단순 홍보문만 있는 경우보다는 검토 가능한 정보가 많다.
그러나 그 자료만으로 Astra의 안전성이 독립적으로 최종 검증됐다고 말할 수는 없다. 시험 다수가 회사가 설계한 조건과 접근권한 아래 이뤄졌고, 일부 평가는 시뮬레이션이며, 어떤 수치는 공개 뒤 수정됐다. 따라서 현재 발표가 보여주는 것은 ‘OpenAI가 위험을 어떻게 정의했고 어떤 평가와 완화조치를 내세우는가’까지다. 반대로 아직 충분히 보여주지 못하는 것은 공개 인터페이스에서의 제3자 재현성, 장기 운영 중 나타날 실제 실패율, 그리고 회사가 통제하지 않는 조건에서의 독립 반복 검증이라고 보는 편이 타당하다.
자료: OpenAI, Astra로 향하는 길: Critical 역량과 프런티어 보호 조치(2026-09-01); OpenAI, GPT-6 Astra: A new generation of intelligence(2026-09-03, 2026-09-22 및 2026-09-29 업데이트 반영); OpenAI, Safety overview: GPT-6 Astra(2026-09-03); OpenAI Deployment Safety Hub, GPT-6 Astra System Card(2026-09-03, 2026-09-09 및 2026-09-22 변경 이력 포함)