오픈AI, 웹앱 해킹·패치 AI 에이전트 공개

오픈AI가 12일(현지시간) AI 에이전트 여러 개가 팀을 이뤄 기업 웹 애플리케이션을 공격자 관점에서 점검하고, 찾아낸 취약점의 수정안까지 만드는 보안 제품 두 가지를 내놨다. 침투 테스트를 맡는 '데이브레이크 레드팀(Daybreak Red Team)'과 패치를 작성하는 '데이브레이크 디펜스 팩토리(Daybreak Defense Factory)'다. 영국 IT 매체 더레지스터와 미국 더딥뷰에 따르면 오픈AI는 이날 '사이버 앳 더 프런티어(Cyber at the Frontier)' 기조연설에서 두 제품을 공개했다.

핵심 정리

• 레드팀은 에이전트 여러 개가 웹 앱 취약점을 찾고 수정 뒤 다시 공격해 본다. 일부 고객 대상 조기 이용 단계이며 대기자 명단을 받는다.
• 디펜스 팩토리는 코드를 점검해 패치와 테스트가 담긴 풀 리퀘스트를 엔지니어에게 넘긴다. 코덱스(Codex)의 데이브레이크 플러그인으로 제공된다.
• 가격은 공개되지 않았고, 확인한 발표 자료에 정확도·오탐률 수치는 없었다.

AI 침투 테스트, 어떻게 돌아가나

더딥뷰가 전한 오픈AI 기자 브리핑에 따르면 레드팀에서는 에이전트 하나가 점검 전체를 지휘하고, 다른 에이전트들이 소스 코드와 앱 정보를 조사하며, 검토 에이전트가 결과를 확인한다.

코드 스캐너, 버그 바운티, 외부 제보로 들어온 취약점이 실제로 악용 가능한지 확인하고, 패치 뒤 공격이 막히는지 다시 시험하는 기능도 있다. 오픈AI에서 사이버 응용 AI를 이끄는 낸시 왕은 이 제품을 "자동화된 상시 스캔 규모의 초인적 침투 테스트"라고 표현했다고 더레지스터는 전했다.

요하네스 란트그라프 오픈AI 사이버 총괄은 레드팀이 "최첨단 사이버 모델에 대한 접근을 시간을 두고 크게 넓힐 길을 연다"고 말했다.

디펜스 팩토리는 '수정'까지 맡는다

디펜스 팩토리는 취약점을 찾은 다음 단계를 맡는다. 에이전트가 코드를 따라가며 원인을 추적하고 수정안을 만들면, 엔지니어가 검토·승인한 뒤에야 실제 서비스에 반영된다. 왕은 "엔지니어는 패치와 함께 그것이 작동함을 보여 주는 테스트가 든, 바로 병합할 수 있는 풀 리퀘스트를 받는다"고 설명했다.

이 제품은 오픈AI의 기존 코드 보안 도구 '코덱스 시큐리티'를 바탕으로 한다. 코드가 바뀔 때마다 점검하고 풀 리퀘스트를 검토하며 다른 보안 도구의 경보를 조사한 뒤, 담당 엔지니어에게 알리고 코덱스에서 패치를 제안한다. 더레지스터는 현재 이 에이전트들이 오픈AI의 보안 특화 모델 'GPT-6 사이버'로 돌아간다고 보도했다.

왜 지금 AI 보안 에이전트인가

그레그 브록먼 오픈AI 사장은 기조연설에서 "이제 기업은 방어에 쓰는 최첨단 모델과 그것을 얼마나 잘 활용하느냐만큼만 안전한 시점에 와 있다"고 말했다. 다만 보안의 기본기도 여전히 중요하다고 덧붙였다.

오픈AI 사이버보안 연구를 이끄는 클린트 기블러는 두 제품이 사람 레드팀을 대체하려는 것이 아니라, AI가 쏟아내는 코드의 양을 방어자가 따라잡도록 돕기 위한 것이라고 밝혔다.

맥락

두 제품은 검증된 방어 조직에 사이버 모델을 열어 주는 오픈AI의 '데이브레이크' 프로그램을 확장한 것이다. 오픈AI는 일주일 전인 5일 승인된 데이브레이크 레드 고객 일부에게 GPT-6 사이버를 공개했다.

같은 날 퍼블릭 시티즌 등 미국 비영리단체 4곳은 오픈AI·앤트로픽·구글·메타와 스페이스X의 AI 사업부를 샌프란시스코 고등법원에 제소했다. 각 사의 현존 최고 모델보다 뛰어난 AI의 개발을 멈춰 달라는 내용이라고 더레지스터는 전했다.

전망

관건은 레드팀 이용 범위가 첫 고객을 넘어 얼마나 빨리 넓어질지, 가격이 얼마로 정해질지, 그리고 에이전트가 찾은 취약점과 만든 패치가 실제 코드에서 얼마나 믿을 만한지다.

자주 묻는 질문

아무 기업이나 레드팀을 쓸 수 있나?

아직은 아니다. 일부 고객 대상 조기 이용 단계이며, 나머지는 대기자 명단에 등록할 수 있다.

디펜스 팩토리가 코드를 스스로 고치나?

아니다. 에이전트는 패치를 제안할 뿐이고, 엔지니어가 검토·승인해야 실제 서비스에 반영된다.

참고 자료

• OpenAI launches security products, tells orgs they're doomed if they don't use them — The Register(2026년 11월 12일)
• OpenAI sees a new enterprise frontier in cyber — The Deep View(2026년 11월 12일)