오픈AI, 방어형 사이버보안 특화 ‘GPT-5.4-사이버’ 공개…검증된 사용자만 개방

오픈AI(OpenAI)가 방어 목적의 사이버보안 업무에 특화한 ‘GPT-5.4-사이버’를 출시했다. 일반 모델보다 보안 분석 작업 허용 범위를 넓힌 것이 핵심으로, 신원 검증을 거친 보안 전문가와 기업에 우선 개방한다.

오픈AI는 15일(현지시간) GPT-5.4 기반의 미세조정 모델 ‘GPT-5.4-사이버’를 발표하고, ‘트러스티드 액세스 포 사이버’ 프로그램 대상도 수천 명 규모의 검증된 보안 인력으로 확대한다고 밝혔다. 이 모델은 합법적인 방어형 사이버보안 업무에 맞춰 거부 기준을 낮춘 ‘사이버-퍼미시브’ 성격으로 설계됐다.

가장 눈에 띄는 기능은 ‘바이너리 리버스 엔지니어링’이다. 소스코드 없이도 컴파일된 소프트웨어를 분석해 악성코드, 취약점, 보안 약점을 찾아낼 수 있도록 지원한다. 보안 업계에서는 실제 현장에서 자주 필요한 기능이지만, 오남용 가능성도 큰 만큼 접근 통제가 중요하다는 평가를 받아왔다.

검증된 사용자만 접근… 수동 심사보다 ‘신원 기반 통제’ 강화

오픈AI는 이런 특성을 고려해 초기 접근 대상을 보안 벤더, 기관, 연구자 등 검증된 사용자로 제한했다. 접속은 지난 2월 시작한 ‘트러스티드 액세스 포 사이버’ 프로그램을 통해 이뤄지며, 이번에 등급별 인증 체계도 추가됐다. 최고 등급을 받은 이용자만 GPT-5.4-사이버를 사용할 수 있다.

개인 사용자는 별도 페이지에서 신원 인증을 진행할 수 있고, 기업은 오픈AI 담당자를 통해 접근을 요청하면 된다. 기존 프로그램 참여자도 상위 등급을 따로 신청해야 한다. 그동안 일괄적으로 기능을 막는 방식에서 벗어나, 사용자 신원과 용도를 기준으로 접근 권한을 나누는 방향으로 정책이 이동하고 있다는 점이 이번 발표의 중요한 배경이다.

오픈AI는 고도화된 모델이 올해 안에 더 등장할 것으로 보고, 이에 앞서 방어형 사이버보안 활용 사례에 맞춘 조정을 진행하고 있다고 설명했다. 회사는 향후 더 강력한 모델에도 현재의 안전장치를 기본적으로 적용할 수 있을 것으로 기대하면서도, 더 개방적인 보안 특화 모델에는 한층 엄격한 배포 통제가 필요하다고 덧붙였다.

앤스로픽 ‘미토스’와 맞불… 보안 AI 경쟁 본격화

이번 출시는 앤스로픽(Anthropic)이 약 40개 기관을 대상으로 사이버보안 성능이 강화된 AI 모델 ‘미토스’를 제한 공개한 지 1주일 만에 나왔다. 오픈AI는 수천 명의 개별 방어 인력과 수백 개 보안팀을 겨냥하고 있어 대상 범위가 더 넓다.

오픈AI는 자체 성능 지표도 공개했다. ‘캡처 더 플래그’ 벤치마크 기준으로 모델 성능은 2025년 8월 GPT-5의 27%에서, 2025년 11월 GPT-5.1-코덱스-맥스의 76%까지 상승했다고 밝혔다. 회사는 향후 모델도 자사 ‘준비 태세 프레임워크’에 따라 각각 ‘높음’ 수준의 사이버보안 역량에 도달할 수 있다는 가정 아래 평가하고 있다고 설명했다.

이는 AI 기업들이 사이버보안 위험을 다루는 방식이 바뀌고 있음을 보여준다. 과거처럼 기능 자체를 폭넓게 제한하는 대신, 인증된 사용자에게만 고급 기능을 열어주는 ‘식별 기반 접근 통제’가 새로운 표준으로 자리 잡는 흐름이다.

코덱스 시큐리티 성과도 부각… 오픈소스 지원 확대

오픈AI는 함께 보안 제품 ‘코덱스 시큐리티’의 성과도 제시했다. 이 서비스는 6개월 전 비공개 베타로 시작한 뒤 올해 초 리서치 프리뷰로 확대됐으며, 최근 더 넓은 범위로 출시된 이후 생태계 전반에서 3000건이 넘는 치명적·고위험 취약점 수정에 기여했다고 회사는 주장했다.

또 ‘트러스티드 액세스 포 사이버’ 프로그램은 단순한 모델 배포를 넘어 오픈소스 보안 생태계 투자와도 연결돼 있다. 오픈AI는 오픈소스 보안 프로젝트 지원, ‘코덱스 포 오픈소스’를 통한 무료 보안 스캐닝도 함께 제공하고 있으며, 현재까지 1000개가 넘는 프로젝트가 지원을 받았다고 밝혔다.

오픈AI의 이번 발표는 AI를 ‘막는 기술’이 아니라 ‘통제된 개방’ 아래 활용하는 방향으로 보안 전략이 이동하고 있음을 보여준다. 다만 고성능 보안 AI가 실제 현장에서 방어 효율을 높일지, 혹은 새로운 위험 관리 과제를 낳을지는 향후 배포 통제와 검증 체계의 완성도에 달려 있다는 분석이 나온다.