OpenAI 코드 구멍까지 잡는 GPT-5.5-Cyber

요즘은 코드를 한 줄씩 직접 쓰지 않아도 됩니다. Cursor나 Claude Code에게 시키면 하루 만에 작동하는 MVP가 나와요. 그런데 그렇게 빨리 만든 코드에 보안 구멍이 있으면, 그건 누가 찾아서 메울까요. 흥미롭게도 그 질문에 OpenAI가 직접 답을 들고 나왔어요. AI로 코드를 만드는 회사가, 이번엔 그 코드를 지키는 쪽으로 손을 뻗은 거예요.

OpenAI의 Daybreak는 보안 사업이다

Daybreak는 OpenAI가 AI로 소프트웨어 보안을 지키겠다고 시작한 사업이에요. 여기서 '취약점'은 해커가 파고들 수 있는 코드의 빈틈을 말해요. OpenAI는 Daybreak를 "보안 전용 AI 모델, 코드 점검 도구, 파트너 생태계를 하나로 묶은 것"이라고 설명했어요.

핵심은 모델 하나가 아니라 '발견부터 수정까지' 전 과정을 노린다는 점이에요. OpenAI는 "취약점 보고서만으로는 아무도 보호하지 못한다"고 말해요. 빈틈 목록만 던져주는 게 아니라, 진짜 위험한지 검증하고 고칠 코드까지 만들어 배포를 돕겠다는 거죠. 실제로 OpenAI는 빈틈 검증, 위험도 평가, 패치 개발, 관계자 통보, 배포 지원이라는 다섯 갈래에 투자하겠다고 밝혔어요. 고칠 코드를 '패치'라고 부르는데, 옷의 구멍에 천을 덧대듯 코드의 빈틈을 메우는 수정본이라고 보면 돼요.

그 중심에 두 가지가 있어요. 하나는 취약점을 찾고 패치를 만드는 전용 모델 GPT-5.5-Cyber고, 다른 하나는 코드 변경 이력을 자동으로 훑는 Codex Security예요. Codex Security는 이미 있는 코드의 빈틈을 빨리 찾아 고칠 뿐 아니라, 새 빈틈이 실제 서비스에 들어가기 전에 미리 걸러내는 역할도 해요. 이 둘이 어떤 발표로 세상에 나왔는지부터 보면 그림이 잡혀요.

5월에 열고 6월에 크게 키운 한 달

Daybreak는 2026년 5월 11일에 출범했고, 6월 22일에 한 번 더 크게 확장됐어요. 두 시점의 내용을 나눠 보면 이렇게 정리돼요.

6월 확장에서 눈에 띄는 건 '혼자 하지 않는다'는 방향이에요. IT Pro에 따르면, OpenAI는 Trail of Bits라는 보안 기업과 함께 'Patch the Planet'을 시작했어요. 널리 쓰이는 오픈소스가 '취약점 발견'에서 '실제 수정'까지 가도록 돕는 프로그램이에요. cURL, Go, Python 같은 30여 개 프로젝트가 참여했어요. 여기엔 보안의 뼈대가 되는 프로젝트도 있어요. 디지털 서명을 검증하는 Sigstore, 암호화 라이브러리 pyca/cryptography 같은 것들이요. 수많은 서비스가 이런 오픈소스 위에서 돌아가거든요. 그래서 여기 뚫린 구멍 하나가 수백 개 서비스로 번질 수 있어요. 오픈소스부터 고치는 데는 그런 이유가 있어요. 발견에서 끝나지도 않아요. 오픈소스를 관리하는 사람이 그 패치를 검토하고 받아들이는 단계까지 함께 챙겨요.

파트너 규모도 커요. Cisco, CrowdStrike, IBM, Cloudflare, Palo Alto Networks 등 보안업계 주요 기업 28곳이 합류했어요. 정부와도 손을 잡았어요. 한국과 일본을 포함한 일곱 나라, 그리고 EU와 보안 평가 기준을 같이 만들기로 했어요. 호주, 캐나다, 프랑스, 독일, 영국이 함께 들어가요. 발표 자체보다 더 중요한 건, 그래서 이 AI가 실제로 어디까지 해내느냐예요.

그래서 지금 어디까지 할 수 있나

GPT-5.5-Cyber는 취약점을 찾는 데서 멈추지 않고 고칠 코드까지 만들어요. The Hacker News에 따르면, 브라우저나 네트워크 장비, 운영체제(FreeBSD나 리눅스 커널 같은 컴퓨터의 바탕 프로그램)의 치명적 빈틈을 찾아내요. 그다음 통제된 환경에서 진짜 위험한지 확인하고, 패치를 만들어 테스트까지 해요.

성능을 보여주는 숫자도 있어요. GPT-5.5-Cyber의 전신인 Aardvark는 사람 보안 연구원처럼 코드를 읽고 직접 테스트를 돌려 빈틈을 찾는 AI였어요. 정해진 검사 목록을 기계적으로 훑는 방식이 아니에요. 코드가 어떻게 동작하는지 이해한 뒤, '이렇게 건드리면 뚫리지 않을까' 가설을 세워 직접 시험해 봐요. OpenAI에 따르면, Aardvark는 시험용 코드에서 약 92%의 취약점을 찾아냈고, 오픈소스에서 실제로 발견한 빈틈 중 10건이 CVE라는 공식 취약점 번호를 받았어요. 코드 점검 도구 Codex Security는 3만여 개 코드 저장소에서 3천만 건이 넘는 코드 변경 이력을 훑었어요. 그 과정에서 수십만 건의 의심스러운 부분을 자동으로 고치거나, 이미 고쳐졌는지 확인했고요.

다만 지금 다 쓸 수 있는 건 아니에요. GPT-5.5-Cyber는 아직 제한된 범위에만 공개돼 있고, 일반 가격도 나오지 않았어요. AI가 코드를 빨리 만들수록 검토가 병목이 된다는 이야기는 전에도 다룬 적 있는데(AI가 코드는 빨리 만들어주는데, 어디서 병목이 터질까?), 보안 점검도 그 병목 중 하나예요. 비슷한 결로, 혼자 짠 코드의 오류를 AI가 잡아주는 도구도 이미 나와 있어요(바이브코딩으로 혼자 짠 코드의 오류 잡는 Cursor Bugbot). Daybreak는 그 흐름을 '보안'이라는 더 무거운 영역으로 끌고 온 셈이에요.

보안이 AI 모델 경쟁의 새 전장이 된 이유

AI 회사들이 보안에 뛰어드는 건, 그게 모델 실력을 가장 잔인하게 증명하는 무대이기 때문이에요. 취약점을 찾으려면 코드를 깊이 이해해야 하고, 패치를 만들려면 그 코드를 안전하게 고칠 줄 알아야 해요. 둘 다 못 하면 보안에선 바로 들통나요. 그래서 보안은 '우리 모델이 진짜 코드를 안다'는 걸 보여주는 시험대가 됐어요.

문제는 같은 능력이 양날의 칼이라는 점이에요. 빈틈을 빨리 찾는 AI는 지키는 쪽도 쓰지만, 공격하는 쪽도 쓸 수 있어요. cybernews에 따르면, 일부 보안 전문가는 "AI가 방어자가 고칠 수 있는 속도보다 더 빨리 취약점을 찾아낼 수 있다"고 우려해요. 미국·영국·캐나다·호주·뉴질랜드의 정보동맹 'Five Eyes'도 AI를 쓴 사이버 공격이 머지않았다고 경고했고요.

그래서 OpenAI의 "찾기만 하지 않고 고치기까지"라는 방향은 단순한 욕심이 아니라 균형추예요. 빈틈을 여는 능력이 세상에 풀릴수록, 같은 속도로 메우는 능력도 함께 풀어야 공격과 방어가 균형을 잃지 않아요. 이 균형 싸움은 결국 시장 구조까지 흔들어요.

OpenAI가 모델부터 보안까지 한 줄로 묶는 그림

Daybreak에서 진짜 주목할 건, OpenAI가 'AI 모델 → 보안 점검 → 파트너 생태계'를 한 줄로 꿰고 있다는 점이에요. 코드를 만드는 모델도, 그 코드를 지키는 모델도, 그걸 기업에 전달하는 통로도 한 회사 안에 모이고 있어요. 예전에 OpenAI가 비개발자 업무를 에이전트로 묶기 시작했다는 이야기를 한 적 있는데(OpenAI가 비개발자 업무를 AI 에이전트로 묶기 시작했어요), 보안은 그 수직 통합의 가장 최근 조각이에요.

기존 보안업체 입장에선 이게 협력이자 경쟁이에요. Cisco나 CrowdStrike 같은 28개 파트너는 GPT-5.5-Cyber를 자기 제품에 끼워 쓰면서 협력해요. OpenAI는 이걸 'Trusted Access for Cyber'라는 검증된 통로로만 열어줘요. 아무나 강력한 보안 모델을 악용하지 못하게 막으려는 장치예요. 동시에 OpenAI가 보안 모델의 핵심을 쥐고 있으니, 시간이 지나면 누가 주도권을 갖느냐를 두고 긴장이 생길 수밖에 없어요.

그럼 혼자 만드는 빌더에겐 무슨 의미일까요. 당장은 GPT-5.5-Cyber를 직접 쓸 일이 없을 거예요. 제한 공개니까요. 하지만 방향은 분명해요. 내가 쓰는 코딩 도구나 클라우드 서비스 안에, 보안을 자동으로 점검해주는 AI가 기본으로 들어오는 흐름이에요. 바이브코딩으로 빠르게 만든 다음 '보안은 나중에'로 미루던 부분을, 도구가 알아서 챙겨주는 시대가 가까워지고 있다는 신호예요.

물론 그게 '내 코드를 아무도 안 봐도 된다'는 뜻은 아니에요. AI가 빈틈을 잡아주더라도, 무엇을 고쳤고 왜 고쳤는지 읽을 줄 아는 사람은 여전히 필요해요. 도구가 똑똑해질수록, 그 결과를 판단하는 안목이 빌더의 실력이 돼요.

이번 Daybreak는 'AI가 코드를 만드는 시대'가 'AI가 코드를 지키는 시대'로 넘어가는 길목을 보여줘요. 빠르게 만드는 일만큼 안전하게 지키는 일도 AI가 거드는 쪽으로 가고 있고, 그 사이에서 무엇을 맡기고 무엇을 직접 볼지 정하는 건 결국 만드는 사람의 몫이에요.

한 번 더, 빠르게 짚고 갈게요

Q. Daybreak랑 GPT-5.5-Cyber는 뭐가 다른가요? A. Daybreak는 OpenAI가 AI로 보안을 지키겠다고 시작한 사업 전체의 이름이에요. GPT-5.5-Cyber는 그 안에서 취약점을 찾고 패치를 만드는 전용 모델이고요. Daybreak가 큰 그릇, GPT-5.5-Cyber가 그 안의 핵심 도구예요.

Q. 지금 제가 직접 써볼 수 있나요? A. 아직은 어려워요. GPT-5.5-Cyber는 제한 공개 단계라 일반 가격이나 누구나 쓰는 방식은 공개되지 않았어요. 다만 Cisco·Cloudflare 같은 파트너 28개사 제품에 들어가는 식으로 점점 퍼질 가능성이 높아요.

Q. AI가 보안 빈틈을 찾으면 공격에도 쓰일 수 있는 거 아닌가요? A. 맞아요. 그게 전문가들이 가장 걱정하는 지점이에요. cybernews에 따르면 일부 전문가는 AI가 방어자가 고칠 속도보다 빨리 빈틈을 찾을 수 있다고 우려해요. OpenAI가 '찾기'만이 아니라 '고치기'까지 강조하는 이유도 그 균형을 맞추려는 거예요.

Q. 바이브코딩으로 만든 제 MVP 보안은 어떻게 챙기죠? A. 당장은 GPT-5.5-Cyber 같은 전용 모델보다, 쓰고 있는 코딩 도구에 붙은 코드 점검 기능부터 켜는 게 현실적이에요. AI가 잡아준 문제를 그냥 넘기지 말고, 무엇을 왜 고쳤는지 한 번씩 읽어보는 습관이 중요해요.