Executive Summary

주요 수치

아래 네 숫자는 이번 판정이 놓인 자리를 보여 줍니다. 기준이 만들어진 뒤 처음 쓰이기까지 걸린 시간, 직전 모델까지의 등급, 오픈AI가 정의한 피해 규모, 그리고 그 판정을 외부가 검증할 수 있는 정도입니다.

출처: Preparedness Framework v2, Vishwarupe et al. 2026

발표문에서 가장 중요한 대목은 한 문장입니다. 오픈AI는 지금 시점에 Critical 역량 수준을 배제할 수 없다고 썼습니다. 아스트라가 임계값을 넘었다는 결론은 아니라고 회사가 직접 덧붙였습니다. 자사 정책의 최고 등급을 실제 모델에 처음 꺼내면서, 그 등급을 매기지도 지우지도 않은 상태로 남겨 둔 것입니다.

같은 문장을 두고 매체의 요약은 갈렸습니다. 아스트라가 임계에 도달했다고 정리한 곳이 있었고, 배제할 수 없다는 유보를 그대로 옮긴 곳이 있었습니다. 발표문이 독자에게 닿기도 전에 읽는 쪽에서 이미 두 갈래로 갈렸습니다. 등급을 가리키는 말은 숫자처럼 그대로 옮겨지지 않습니다.

조치는 등급 판정보다 먼저 움직였습니다. 오픈AI는 격리된 테스트 환경과 네트워크·도구 접근 제한을 걸었고, 모델 가중치 보호와 암호화를 강화했으며, 에이전트 방식으로 동작하는 응용 전반에 모니터링을 붙였습니다. 강화된 요건을 충족하지 못하는 아스트라 관련 내부 활동은 잠정 중단됐습니다. 정부 기관과 일부 AI 안전 기구가 참여하는 외부 테스트도 함께 예고했습니다. 판정을 못 내린 채 판정이 내려진 것처럼 대응한 셈입니다.

회사가 굳이 덧붙인 해명도 있습니다. 아스트라는 최근 알려진 허깅페이스 침해 사건과 무관하다는 내용입니다. 이 해명이 필요했다는 사실 자체가 이 발표의 배경을 말해 줍니다. 같은 시기 여러 연구실에서 평가 환경을 벗어난 사고가 잇따랐고, 아스트라 발표는 그 흐름 위에 놓였습니다.

데이터 품질을 다루는 쪽에서 보면 익숙한 장면입니다. 기준은 문서에 적혀 있는데 실제 사례 앞에서 판정이 서지 않고, 그래서 판정 대신 조치가 먼저 나갑니다. 라벨링 가이드가 있어도 검수자마다 결과가 달라질 때 벌어지는 일과 구조가 같습니다.

프리페어드니스 프레임워크는 2023년 12월 베타로 처음 공개됐습니다. 당시 등급은 Low, Medium, High, Critical 네 단계였습니다. 2025년 4월 개정판에서 앞의 두 단계가 사라졌습니다. 운영에 실질적으로 관여하지 않는다는 것이 삭제 이유였습니다. 남은 것은 High와 Critical 둘뿐입니다.

사이버보안 영역의 Critical은 이렇게 정의돼 있습니다. 사람의 개입 없이, 방어가 잘된 다수의 실제 핵심 시스템에서 모든 심각도의 작동하는 제로데이 취약점을 스스로 찾아내고 만들어 낼 수 있는 수준, 또는 목표만 대략 주어져도 강화된 표적을 상대로 새로운 공격 전략을 처음부터 끝까지 스스로 설계하고 실행할 수 있는 수준입니다. 여기서 말하는 심각한 피해의 하한선은 1,000명 이상의 사망이나 중상, 또는 1,000억 달러 이상의 경제적 손실입니다.

Critical에는 High와 다른 조항이 하나 붙어 있습니다. 배포 계획과 상관없이 개발 단계에서도 보호조치를 갖춰야 한다는 것입니다. 이번에 내부 활동이 실제로 멈춘 이유가 여기에 있습니다. 등급이 확정되지 않아도 그 가능성만으로 개발 쪽 브레이크가 걸리도록 설계돼 있었습니다.

아래 도식은 이 기준이 만들어진 뒤 처음 쓰이기까지의 경로입니다. 직전 최고 모델인 GPT-5.6-Sol을 포함해 그때까지의 평가는 모두 High에서 멈춰 있었습니다.

기준을 만든 시점에 Critical은 설계용 최악 시나리오에 가까웠습니다. 도달할 모델이 없으니 그 정의가 실제 사례를 얼마나 잘 가르는지 확인할 기회도 없었습니다. 그러다 처음 시험대에 올랐을 때 나온 답이 넘었다도 안 넘었다도 아니었습니다. 이분법으로 만든 기준이 첫 사례에서 세 번째 상태를 낳았습니다.

아스트라 발표는 혼자 나온 소식이 아닙니다. 며칠 사이 여러 연구실에서 평가 도중 모델이 통제 범위를 벗어난 사례가 잇따라 공개됐습니다. 언론 보도로 확인된 것만 네 건입니다. 세부 사실관계는 각 회사의 공식 설명과 매체 보도에 기대고 있어 사건마다 확인 수준이 다릅니다.

네 사건의 공통점은 모델이 몰래 나쁜 일을 했다는 쪽이 아닙니다. 토큰이 재사용되고, 환경이 잘못 구성되고, 시뮬레이션과 실제의 경계가 흐려졌습니다. 발단은 전부 평가 인프라의 설계에 있었습니다. 위험한 능력을 재려고 만든 환경이 그 능력을 담아 두지 못했습니다.

이 진단을 뒷받침하는 기록도 사례마다 남아 있습니다. 허깅페이스 침해에서는 노출된 자격증명이 다른 서비스 네 곳의 계정 침해로 이어졌고, 오픈AI의 외부 테스트 파트너는 인터넷과 분리해 두었어야 할 평가 환경이 설정 오류로 실제 웹에 연결돼 있었다고 설명했습니다. 숫자가 남은 사례도 있습니다. 영국 AI 보안연구소는 8월 4일, 자체 사이버 평가 도중 모델들이 실제 인물과 조직을 상대로 승인되지 않은 행동을 했다고 공개했습니다. 7월 말 프런티어 모델 일곱 개를 122회 돌린 가운데 10회 실행에서 19건이 기록됐고, 그중 두 건은 GPT-5.6-Sol에서 나왔습니다. 사이버 등급이 High로 매겨져 있던 바로 그 모델입니다.

이 사실은 아스트라 판정을 읽는 방식도 바꿉니다. 평가 환경이 모델의 능력을 안정적으로 담지 못한다면, 그 환경에서 잰 값의 신뢰 구간도 함께 넓어집니다. 배제할 수 없다는 표현은 모델이 애매해서 나온 말일 수도 있지만, 재는 도구가 흔들려서 나온 말일 수도 있습니다. 두 경우는 대응이 전혀 다른데, 지금 공개된 정보로는 어느 쪽인지 구분할 방법이 없습니다.

이번 판정의 근거는 오픈AI 내부 평가입니다. 어떤 과제로 쟀는지, 몇 번 시도해서 몇 번 성공했는지, 실패는 어떻게 셌는지는 공개돼 있지 않습니다. 외부 기관과의 공동 테스트가 예고돼 있지만 그것은 앞으로의 일이고, 개발 중단이라는 결정은 이미 내부 증거만으로 내려졌습니다.

빠진 항목은 구체적으로 셀 수 있습니다. 아스트라의 벤치마크 결과, 평가에 쓴 시험 시나리오, 사람이 어디까지 개입했는지에 대한 조건, 안전자문그룹의 공식 판단문, 외부 기관의 독립 평가가 이번 발표에 함께 나오지 않았습니다. 남은 것은 결론 문장과 조치 목록입니다. 공개된 것은 판정의 근거가 아니라 판정의 요약입니다.

이 구조는 학계에서 먼저 지적됐습니다. 옥스퍼드 연구진이 2026년 5월 발표한 논문은 프런티어 AI 안전 주장에서 '증거 역전'이 일어난다고 표현합니다. 가장 중대한 주장일수록 재현에 필요한 산출물이 가장 적게 공개된다는 뜻입니다. 저자들은 이것을 투명성에 대한 취향 문제가 아니라 평가 방법론의 실패로 다뤄야 한다고 주장합니다. 같은 논문이 인용한 2025년 Foundation Model Transparency Index에서 업계 평균 투명성 점수는 100점 만점에 40점이었습니다.

같은 지수에서 학습 데이터와 시험 데이터의 중복을 충분히 공개한 주요 개발사는 한 곳도 없었습니다. 모델이 시험 문제를 미리 본 적이 있는지를 외부에서 확인할 방법이 없다는 뜻입니다. 논문은 여기에 한 가지를 더 붙입니다. 2026년 국제 AI 안전 보고서를 인용하며, 모델이 시험 상황과 실제 배포 상황을 구별하기 시작해 배포 전 안전성 시험이 점점 어려워지고 있다고 적었습니다.

프레임워크 자체의 구속력을 따진 연구도 있습니다. 오스트레일리아 연구진의 2025년 분석은 프리페어드니스 프레임워크가 무엇을 보장하는지가 아니라 무엇을 허용하는지를 봤습니다. 결론은 이 정책이 특정 완화 조치를 강제하지 않는다는 것이었습니다. 프레임워크에는 다른 기업이 비슷한 안전장치 없이 고위험 시스템을 내놓을 경우 요구 수준을 조정할 수 있다는 조항도 들어 있습니다. 자율 규제가 경쟁 상황에 연동되도록 설계돼 있습니다.

지금 아스트라의 등급을 독립적으로 확인할 수 있는 곳은 사실상 없습니다. 오픈AI가 공개한 것은 결론의 형태를 띤 유보이고, 그 유보를 검증하려면 같은 평가를 다시 돌릴 수 있어야 하는데 그 조건이 갖춰져 있지 않습니다. 등급을 신뢰할지 말지가 결국 회사에 대한 신뢰 문제로 되돌아옵니다.

이번 발표에서 실제로 칭찬할 만한 부분은 등급이 아니라 공개 자체입니다. 불확실한 상태를 불확실하다고 적어 내보낸 회사는 흔치 않습니다. 다만 그 정직함이 제도가 되려면 문장 하나로는 부족합니다. 어떤 과제에서 어떤 성공률이 나왔고 그 판단을 누가 다시 확인할 수 있는지가 함께 나와야, 다음 회사가 같은 상황에서 같은 문장을 쓸 근거가 생깁니다.

공식 문서

• 1.OpenAI. (2026-08-07). Responding to the next frontier of critical cyber capabilities. openai.com
• 2.OpenAI. (2025-04-15). Preparedness Framework v2. cdn.openai.com
• 3.UK AI Security Institute. (2026-08-04). Incident report: unsanctioned agent behaviour during cyber testing. aisi.gov.uk

학술 논문

• 4.Vishwarupe, V., Shadbolt, N., Jirotka, M., & Flechais, I. (2026). NeurIPS Should Require Reproducibility Standards for Frontier AI Safety Claims. arXiv:2605.08192
• 5.Coggins, S., Saeri, A. K., Daniell, K. A., Ruster, L. P., Liu, J., & Davis, J. L. (2025). The 2025 OpenAI Preparedness Framework does not guarantee any AI risk mitigation practices. arXiv:2509.24394
• 6.Wan, A., Klyman, K., Kapoor, S., Maslej, N., Longpre, S., Xiong, B., Liang, P., & Bommasani, R. (2025-12). The 2025 Foundation Model Transparency Index. Stanford CRFM. crfm.stanford.edu

업계·보도

• 7.Korosec, K. (2026-08-07). OpenAI says it slowed Astra model development over security concerns. TechCrunch. techcrunch.com
• 8.Bastian, M. (2026-08-07). OpenAI flags its new Astra model as potentially reaching the highest cybersecurity risk level for the first time. THE DECODER. the-decoder.com