OpenAI가 사이버 보안 전용 모델 GPT-5.6-Cyber를 출시하고 Daybreak 프로그램을 확대했다. 목표는 하나다. 공격자가 AI 기반 공격 도구를 대규모로 쓰기 전에 방어자가 먼저 취약점을 찾아내는 것.
Daybreak는 이제 두 개 티어로 나뉜다. Daybreak Blue는 취약점 탐지·악성코드 분석·침해 대응 등 인가된 방어 업무에 GPT-5.6 Sol을 제공한다. Daybreak Red는 취약점 연구·익스플로잇 검증·침투 테스트를 수행하는 보안 연구자를 대상으로 하며, GPT-5.6-Cyber 접근 권한이 여기에 포함된다.
두 티어 모두 신원 확인, 계정 보안 조치, 모니터링, 법적 선언이 필요하다. 2026년 9월 1일부터는 모든 Daybreak 계정에 하드웨어 보안 키가 의무화된다.
GPT-5.6-Cyber, 민감 쿼리 95% 응답
GPT-5.6-Cyber는 GPT-5.6 Sol을 기반으로 제로데이 취약점 탐지와 익스플로잇 체인 구성에 특화해 학습됐다. OpenAI 내부 벤치마크 'Advanced Cybersecurity Completion Rate' 기준으로 익스플로잇 체인 개발·인증 우회·권한 상승 등 시나리오에서 95%를 응답했다. 안전 조치가 켜진 표준 GPT-5.6 Sol은 1.5%, Daybreak Blue 조건에서는 2%, 이전 모델 GPT-5.5-Cyber는 57.3%였다.
내부 관리자 패널의 WebSocket 인증 우회 코드를 작성하는 테스트에서는 Daybreak Red의 GPT-5.6-Cyber만 동작하는 익스플로잇 코드를 냈다. 나머지 모든 변형은 응답을 거부했다. 알려진 취약점을 실제 익스플로잇으로 전환하는 벤치마크 ExploitGym에서도 GPT-5.6-Cyber는 GPT-5.6 Sol과 GPT-5.5-Cyber를 앞섰다.
Chrome V8에서 미공개 취약점 두 개 발견
OpenAI는 GPT-5.6-Cyber로 실제 취약점 연구도 수행했다. Chrome의 JavaScript 엔진 V8을 분석해 메모리 손상과 V8 힙 샌드박스 우회를 연쇄적으로 일으킬 수 있는 미공개 취약점 두 개를 찾았다. Google이 조율 공개 후 패치했으며 CVE-2026-15903으로 등록됐다.
특정 모바일 운영체제에서도 취약점 다섯 개 이상을 발견한 것으로 알려졌다. 그중 하나는 앱이 제한된 접근 권한에서 기기 전체 관리자 권한으로 상승할 수 있는 취약점 체인이다. OpenAI는 Daybreak 파트너 및 오픈소스 커뮤니티와 공개·수정 작업을 진행 중이다.
OpenAI의 Preparedness Framework 기준으로 GPT-5.6-Cyber는 사이버 보안 역량에서 'High' 등급을 받았다. 'Critical' 임계값에는 미치지 못했다. OpenAI는 최근 발표한 Astra 모델이 Critical 수준에 도달할 가능성이 있다고 밝혔다.
국내 보안 관제 센터나 AI 개발사가 취약점 진단 도구 도입을 검토할 경우, Daybreak 티어별 접근 조건과 모델 성능 차이가 기술 기준이 될 수 있다. 다만 한국 사용자 대상 접근 조건 세부 사항은 OpenAI가 별도로 공개하지 않았다.
