OpenAI Daybreak 이해하기: Blue와 Red, 보안 점수 읽는 법

OpenAI Daybreak는 보안 담당자가 AI로 취약점을 찾고 검증하고 수정하도록 지원하는 프로그램입니다. 취약점은 프로그램이나 설정의 결함 때문에 의도하지 않은 접근이나 동작이 가능해지는 부분입니다. 일반 AI 대화 서비스와 달리 Daybreak는 신원과 업무 목적을 확인하는 접근 절차를 거쳐야 쓸 수 있습니다.

Daybreak 소식을 볼 때는 어떤 업무를 지원하는지, 점수가 무엇을 측정했는지, 내가 점검해도 되는 대상인지를 나눠 봅니다. 아래 내용은 2026년 8월 10일 확장 발표를 기준으로 하고, 신청 경로는 2026년 10월 4일 공식 페이지를 기준으로 합니다.

Blue와 Red는 접근 등급입니다

티어는 접근 등급을 뜻하고, Daybreak는 Blue와 Red 두 티어로 나뉩니다. 티어마다 쓸 수 있는 모델과 작업 범위가 다릅니다.

Daybreak Blue와 Red의 차이

항목	Daybreak Blue권장 시작점	Daybreak Red고급 보안 연구
역할	범용 모델로 방어 업무	승인된 고급 보안 연구
쓰는 모델	GPT-5.6 Sol 같은 범용 모델	GPT-5.6-Cyber
업무 예	코드 검토, 사고 분석, 수정 검증	허가받은 환경에서 취약점의 실제 영향 검증
외부 시스템 점검 허가 포함	제공하지 않음	제공하지 않음

GPT-5.6-Cyber는 GPT-5.6 Sol을 바탕으로 보안 작업을 강화한 모델이고, Red에서 제공된다고 발표됐습니다. 이 모델은 방어와 공격 양쪽에 쓰일 수 있는 이중용도 요청을 덜 거부하도록 훈련됐습니다.

95%는 요청에 응답한 비율입니다

차트의 Advanced Cybersecurity Completion Rate는 정해진 고급 보안 요청에 모델이 응답한 비율을 측정한 OpenAI의 내부 평가입니다. 이 지표로 보려는 것은 거부가 얼마나 줄었는지입니다. 일반 안전장치를 적용한 GPT-5.6 Sol은 1.5%, Blue의 GPT-5.6 Sol은 2.0%만 응답했고, Red의 GPT-5.5-Cyber는 57.3%, GPT-5.6-Cyber는 95.0%에 응답했습니다.

그래서 95%는 응답한 요청의 비율이고, 회사 취약점을 찾아낸 비율이나 수정안이 옳은 비율과는 다른 값입니다. 질문에 답하는지와 그 답이 실제 환경에서 정확히 작동하는지는 따로 검증합니다.

같은 발표의 다른 평가에서는 GPT-5.6 Sol이 더 나은 결과를 낸 경우도 있습니다. 이 막대 차트 하나는 응답률 비교이고, 보안 업무 전체의 성능 순위가 아닙니다.

AI가 찾은 취약점은 사람이 검증하고 수정합니다

OpenAI는 Chrome의 자바스크립트 실행 엔진인 V8에서 취약점 두 개를 찾아 연구자가 검증하고 Google에 보고했다고 밝혔습니다. 공개된 식별자 중 하나는 CVE-2026-15903입니다. CVE는 공개된 취약점마다 붙는 번호입니다. 이 사례에서도 모델이 의심 지점을 찾은 뒤 사람의 검증과 제공업체의 수정이 이어졌습니다.

현재 Daybreak 소개 페이지는 작업 흐름을 다섯 단계로 설명합니다.

Daybreak 소개 페이지의 작업 흐름

1. 11. 대상 파악점검할 코드와
   시스템 범위
2. 22. 발견AI가
   의심 지점을 찾음
3. 33. 검증실제 문제인지
   사람이 확인
4. 44. 담당자 배정수정을 맡을
   담당자 지정
5. 55. 수정 확인수정 뒤
   다시 테스트

AI 보고서에 "의심되는 부분을 찾았습니다. 아직 테스트하지 않았습니다."라고 적혀 있다면 2단계까지 끝난 상태입니다. 이 보고를 취약점 수정 완료나 실제 침해로 기록하지 않습니다. 기록은 관찰한 내용, 아직 모르는 내용, 다음 확인으로 나누고, 다음 확인에는 담당자 검토와 허가된 환경에서의 테스트를 적습니다.

신청 전에 점검 범위를 문서로 정합니다

Daybreak를 쓸 수 있는지 판단하는 기준은 Blue나 Red라는 이름이 아니라 실제로 승인받은 대상과 작업입니다. 그래서 신청서를 쓰기 전에 회사 안에서 점검 범위를 먼저 정해 두면 업무 목적을 설명하기 쉽습니다.

신청 전에 정리할 점검 범위

1. 11. 대상과 소유자점검할 시스템과
   허가 담당자
2. 22. 허용 작업할 작업과
   제외할 작업
3. 33. 데이터사용할 데이터와
   보관 위치
4. 44. 검토와 중단결과 검토자와
   이상 동작 시 중단 방법

예를 들어 허용 작업에 "제공된 코드와 오류 기록을 읽고 수정안을 문서로 제안"만 적었다면, 외부 쇼핑몰 주소를 넣어 점검하거나 수정안을 운영 서버에 자동 반영하는 일은 범위 밖입니다. 범위 밖의 작업은 허가 담당자가 범위를 넓혀 준 뒤에 진행합니다.

신청 경로는 두 가지입니다. Daybreak Access 신청 페이지는 신원과 전문적인 사용 목적을 묻고, 내용을 정확히 적고 추가 정보 요청에 응할 수 있어야 한다는 조건을 안내합니다. 자사 보안 제품이나 서비스에 Daybreak를 연동하려는 조직은 파트너 신청을 따로 씁니다.

Daybreak의 두 신청 경로

항목	Access 신청보안 업무에 직접 사용	파트너 신청자사 제품에 연동
요구하는 정보	신원과 전문적인 사용 목적	연동할 보안 제품이나 서비스
제출하면 접근 보장	제공하지 않음	제공하지 않음

제출하기 전에는 신청 폼이 요구하는 내용과 회사 내부의 승인 범위가 같은지 대조합니다.

보안 키는 계정을, 권한 설정은 실행을 지킵니다

8월 발표에 따르면 개별 Daybreak 계정은 2026년 9월 1일부터 하드웨어 보안 키를 써야 합니다. 하드웨어 보안 키는 로그인할 때 쓰는 물리적 인증 장치입니다. 등록 방법은 가입 안내에 있습니다.

보안 키는 계정 로그인을 보호하는 장치이고, AI가 어떤 파일을 읽고 어떤 명령을 실행할지는 제한하지 않습니다. 그래서 세 가지를 따로 갖춥니다.

장치마다 지키는 것

지키는 것	하드웨어 보안 키	실행 권한 설정	사람의 결과 검토
계정 로그인	제공	제공하지 않음	제공하지 않음
읽을 파일과 실행할 명령	제공하지 않음	제공	제공하지 않음
결과가 맞는지	제공하지 않음	제공하지 않음	제공

Sources

• 2026년 8월 Daybreak 확장 발표
• 현재 Daybreak 소개
• Daybreak Access 신청 안내
• 파트너 참여 안내