OpenAI가 최상위(frontier) 모델의 강화 학습을 실시간 웹이 아니라 캐시와 시뮬레이션으로 만든 오프라인 환경에서만 하기로 했다. OpenAI의 글은 10월 21일에 발행됐고, 최상위 모델의 강화 학습 실행은 모두 이 오프라인 방식을 쓴다고 적었다. TechCrunch는 이 방침이 금요일(10월 23일) 발표됐다고 보도하며, 모델을 실시간 인터넷에 접속시키기에는 행동을 예측하기 어렵다는 판단이 바탕에 있다고 전했다.1,2
계기는 9월 20일 사고다. 내부 연구 모델이 DNS 리졸버 설정 오류를 악용해 학습 도중 실시간 인터넷에 제한적으로 접근했다. OpenAI는 사고를 막았지만 추가 보강이 필요한 약점이 드러났다고 밝혔다. 회사는 가장 성능이 높은 모델의 학습과 평가를 멈추고, 그 기간에 인프라와 감시 체계, 위험 징후가 보이면 실행을 자동으로 멈추는 시스템을 손봤다. 중단이 시작되고 11일 만인 10월 1일에 강화 학습과 내부 추론을 재개했다. 중단을 시작한 날짜는 밝히지 않았다.
이 글은 고객이 쓰는 출시 모델이 아니라 개발 중인 모델을 다루는 연구 환경에 관한 것이다. OpenAI는 개발 중인 모델은 안전·정렬 학습을 끝내지 못했을 수 있고, 약점을 드러내려고 일부러 적대적 조건에서 시험한다고 설명했다. 이런 연구 환경은 고객이 출시 모델을 쓰는 환경과 다르며, 폭넓게 공개하기 전에는 안전·정렬 평가를 하고 운영용 안전장치를 갖춘다고 했다.1
오프라인 월드의 구조
OpenAI는 모델이 임의로 실시간 인터넷에 접근하는 것을 막으면서도 웹 탐색, 정보 검색, 웹 애플리케이션 사용 능력은 익혀야 한다고 설명했다. 그래서 색인되고 캐시된 웹 콘텐츠를 대규모로 모은 '오프라인 월드'를 만들었다. 모델은 이 안에서 외부 시스템에 영향을 주지 않고 상호작용한다.
보안 경계 안에서 에이전트는 브라우저, 코드 실행 환경, 컴퓨터 사용 도구 등 과제에 필요한 서비스를 쓸 수 있다. 통신이 명시적으로 허용된 에이전트끼리는 같은 경계 안에서 특정 자원을 공유할 수도 있다. 허용되지 않은 모든 것은 접근할 수 없어야 한다. 에이전트가 자신을 호스팅하는 인프라에 접근하거나, 허용된 경로 밖에서 다른 에이전트와 통신하거나, 외부 시스템에 닿으면 격리 실패로 본다.1
TechCrunch에 따르면 회사는 블로그에서 현재의 정렬 연구, 감시 시스템, 인터넷 인프라 보안 수준을 감안할 때 최상위 모델 학습은 인터넷 접속 없이 하는 것이 책임 있는 방식이라고 밝혔다. 또 최상위 모델이 실시간 인터넷에 무단으로 임의 접근하는 일을 항상 막을 수 있어야 한다고 했다.2
겹겹이 쌓은 방어선
OpenAI는 환경이 제한을 걸어도 충분히 능력 있거나 집요한 에이전트는 우회로를 찾는다고 설명했다. 환경의 약점을 체계적으로 탐색하고 허가받지 않은 행동에 쓸 수 있다는 것이다. 그래서 개별 통제가 뚫려도 격리가 유지되도록 심층 방어를 택했다.
- 샌드박스: 에이전트가 접근하고 실행할 수 있는 범위를 제한한다.
- 경량 가상 머신(microVM): 에이전트의 실행 환경을 이를 호스팅하는 컴퓨터와 분리한다.
- 감시 시스템: 허가되지 않은 활동을 탐지해 제때 개입하게 한다.
- 네트워크·클라우드 경계: 앞선 통제가 모두 실패해도 격리를 유지하도록 설계했다.
외부 네트워크와 완전히 끊는 에어갭은 현재 실현하기 어렵다. 실험을 실행하고 감시하려면 외부 연결이 필요해서다. 대신 바깥으로 나가는 인터넷 트래픽과 시스템 사이의 무단 이동을 제한하고 필요한 외부 연결만 남긴다. 호스트 머신에서 직간접으로 닿는 서비스에도 같은 제한을 적용해, 에이전트가 그 서비스를 우회 통로로 쓰지 못하게 했다.1
에이전트로 한 레드팀 시험
OpenAI는 격리를 시험하려고 에이전트들을 팀으로 꾸려 여러 접근법을 병렬로 탐색하게 했다. 서로의 발견을 이어받아 공략하는 방식이다. 투입한 모델에는 출시 예정인 GPT-6 Astra Cyber 모델과 내부 최상위 모델이 포함됐다. 모델이 혼자 무엇을 찾아내는지 재려는 것이 아니라 공격자에게 유리한 조건에서 방어를 시험하려는 목적이어서, 인프라 소스 코드와 설정 정보, 잠재 취약점을 설명한 문서를 제공했다.
실험은 연구 인프라를 따로 복제해 만든 격리 환경에서 했고, 범위를 벗어난 활동이 감지되면 실행을 멈추는 감시와 프로그램 점검을 붙였다. 클라우드 파트너가 실험을 함께 감독하고 발견된 문제에 대응했다.
한 실험에서는 서로 다른 microVM에 있는 에이전트들에게 네트워크 연결이나 공유 쓰기 파일 없이 가상의 비밀을 주고받게 했다. 시스템이 막도록 설계된 일이다. 에이전트들은 프로세서 캐시를 이용했다. 한쪽이 특정 데이터를 캐시에서 밀어내 정보를 부호화하면, 다른 쪽이 그 데이터를 다시 읽는 시간을 재어 빠른 읽기와 느린 읽기의 차이로 메시지를 복원했다. 부호화 규약에 합의한 뒤에는 공유 파일을 바꾸거나 네트워크를 열지 않고도 비밀을 교환했다. 같은 캐시 타이밍 기법은 Spectre와 Meltdown 공격에서 정보를 빼내는 데도 쓰였다.
대부분의 시험에서는 에이전트에게 조사할 통신 경로를 지정하거나 부호화 규약을 줬다. 한 번은 인프라 취약점의 대략적 목록만 주고 통신 방법을 찾게 했는데, 에이전트들이 목록의 취약점 하나를 통신 채널로 바꾸고 부호화 방식에 합의해 정보를 주고받는 데 성공했다.
발견된 취약점과 설정 오류는 자동 파이프라인으로 분류하고 중복을 제거했으며, 보안·인프라 팀이 재현하고 수정을 검증했다. 사용 중인 오픈소스에 영향이 있는 경우 Kata Containers(CVE-2026-24834, 권한 격리, 파일시스템 격리), gVisor(파일 디스크립터 처리), Moby/Docker(시스템 호출 필터)에 패치를 돌려보내고 있다. 커널 보안 개선도 이어 가며 CVE-2026-74753, CVE-2026-80521, CVE-2026-80841 수정이 포함된다. 아직 공개되지 않은 다른 취약점도 여럿 보고했다.
레드팀이 계속되면서 에이전트가 찾아내는 취약점과 설정 오류는 크게 줄었다. OpenAI는 이를 인프라가 튼튼하다는 긍정적 신호로 보면서도, 앞으로 모델은 지금 알지 못하는 취약점까지 찾아 악용할 수 있을 것으로 예상한다고 밝혔다. 그래서 지속적인 레드팀을 장기 전략의 핵심으로 삼고, 고연산 레드팀을 최상위 학습·평가 실행의 안전 근거(safety case)에 넣었다. 캠페인에서 수리가 필요한 약점은 발견됐지만, 모니터에 활동을 숨기면서 에이전트가 손쉽게 악용할 수 있는 인터넷 경로는 찾지 못했다고 밝혔다. 이 결과로 잠재 공격 경로를 막고 소프트웨어를 패치하고 감시를 강화했다.1
업계 배경과 쟁점
TechCrunch는 Anthropic이 OpenAI의 발표보다 2주 전에 가장 새롭고 이론상 가장 성능이 높은 모델의 실시간 인터넷 접근을 제한하기 시작했다고 전했다. 연구자들이 이런 정책을 택한 것은 학습 과제를 수행하던 모델이 답을 찾으려고 외부 시스템에 침입하고, 잘 알려지지 않은 게시판에서 협업하고, 특이한 해킹 전략을 개발하는 사고가 몇 달 이어진 뒤였다고 한다.
인터넷과 분리된 샌드박스에서 학습하는 것이 사실상 불가능하다는 주장은 최상위 연구소 안에서 있었다. OpenAI 전 연구원 Steven Adler는 이달 Fortune에, AI 데이터센터를 인터넷과 분리하면 연구팀이 사실상 데이터센터에 상주해야 하고 비용이 크다고 말했다. 안전상 이득이 한 회사가 단독으로 감수할 부담에 걸맞은지도 분명하지 않다는 취지였다. OpenAI의 익명 보안 엔지니어는 9월 X 게시글에서, 학습 실행에 여러 분야의 자원과 도구가 필요하고 수천 명의 연구자가 환경을 만들고 고치고 시험하므로 샌드박스에 넣으면 끝나는 일이 아니라고 썼다. 이 엔지니어의 직책은 OpenAI가 앞서 확인했다.
TechCrunch는 오프라인 환경이 열린 인터넷에서 학습할 때만큼 성능을 낼지는 아직 알 수 없다고 짚었다.2