한 줄 요약

사이버 보안용 AI는 이제 ‘무엇을 할 수 있나’보다 ‘누가 쓸 수 있나’가 핵심이 되었고, OpenAI는 검증 기반 접근으로 모델을 열며 동시에 대형 제약사와의 현업 통합을 서두르고 있다.

Big Tech

OpenAI: GPT-5.4-Cyber 보안 특화 모델 제한 공개

ChatGPT 제작사 OpenAI가 소프트웨어 취약점을 찾고 분석하도록 미세 조정한 GPT-5.4-Cyber를 공개하며, 검증된 보안 공급사·조직·연구자에게만 먼저 제공한다. Anthropic가 Mythos를 제한 프로그램으로 공개한 지 일주일 만의 조치로, 사이버 역량을 지닌 모델의 접근이 허가 기반으로 이동하고 있음을 보여준다. ¹

OpenAI는 GPT-5.4-Cyber가 취약점 연구 등 합법적 보안 작업에서 거부 반응을 줄이도록 더 완화된 설계를 적용했다고 밝혔다. 접근은 2월 시작한 Trusted Access for Cyber 프로그램에 연동되며, 검증 단계를 올릴수록 더 강력한 기능이 열린다. 이번에 개인 수천 명과 수백 개 팀으로 프로그램을 확대한다. ²

블룸버그는 OpenAI가 선택된 집단에 새 모델을 제공하며 Anthropic과의 경쟁 구도를 이어간다고 전했다. CNET에 따르면 GPT-5.4-Cyber는 일반 ChatGPT에는 없고, 광범위 공개 전 탈옥 가능성·방어적 이점을 검증하기 위한 제한 시험 단계에 머문다. ^{3 4}

Industry & Biz

Novo Nordisk: OpenAI와 신약 후보 발굴·운영 효율화 협력

비만·당뇨 치료에 강점을 가진 글로벌 제약사 Novo Nordisk가 OpenAI와 협력해 복잡한 데이터셋 분석, 후보 물질 식별, 연구에서 환자 투약까지 시간을 줄이는 데 AI를 적용한다. 경영진은 AI가 이전에는 보기 어려웠던 패턴을 찾고 가설 검증 속도를 높인다고 밝혔다. ⁵

이번 협력은 연구개발을 넘어 제조, 상업, 공급망·유통에서도 파일럿을 추진하고, OpenAI가 전사 AI 리터러시 제고를 지원한다. 양사는 엄격한 데이터 보호, 인간 감독, 거버넌스를 내세우며 규제가 강한 분야에서도 윤리·컴플라이언스를 지키겠다고 강조했다. ⁶

이는 대형 기업이 실험 단계를 넘어 발견부터 운영까지 AI를 연결하려는 움직임으로, 비개발 직무에서도 AI 리터러시와 워크플로 통합이 기본 역량으로 자리 잡고 있음을 시사한다. ⁶

EU 규제당국: Anthropic Mythos 접근에서 사실상 배제

Anthropic의 Mythos는 소프트웨어 취약점 탐지·악용 능력으로 주목받지만, 초기 접근은 Project Glasswing을 통해 일부 미국 빅테크 중심으로 제한되고 EU 당국은 대체로 배제됐다는 지적이 나온다. 영국 AI Security Institute는 시험에 참여했으나, EU 내에서는 독일만 대화를 시작했을 뿐 접근은 못한 상태다. ⁷

전문가들은 강력한 취약점 탐지 AI의 접근 권한이 사실상 민간 기업에 의해 좌우되는 점을 문제로 본다. 독일 사이버 보안 책임자는 “그처럼 막강한 도구”의 개방 가능성이 시급한 질문이며, 이는 안보와 주권에 직결된다고 강조했다. ⁷

동시에 법률·보안 커뮤니티에서는 Mythos의 일부 시연 결과가 더 작은·저렴한 모델로도 재현됐다는 분석을 들어 과도한 공포 마케팅을 경계한다. 규제 접근권은 제한적이지만 생태계 전반의 취약점 탐지 비용은 이미 낮아졌다는 점에서, 기업 보안은 지금 당장 프로세스와 배포 속도로 승부를 봐야 한다. ^{8 9}

나에게 주는 의미

초점은 ‘모델 성능’에서 ‘접근 자격’으로 옮겨가고 있다. OpenAI의 검증 등급제와 Anthropic의 소수 파트너 공개는 민감한 기능이 신원 확인과 거버넌스로 통제되는 흐름을 보여주며, 조달·벤더 심사·내부 승인 절차에 직접적 변화를 준다. ^{2 1}

비개발 직무에도 파급된다. Novo Nordisk 사례처럼 조사·리포트·제조·마케팅 운영 등 일상 업무에 AI가 스며들 것이며, AI 리터러시와 데이터 처리 원칙이 개인 업무의 기본 요건이 된다. ⁶

보안 측면에서는 공격자와 방어자 모두가 모델을 쓰는 전장을 상정해야 한다. 최상위 미공개 모델이 없어도 더 작은 모델로 의미 있는 취약점을 찾을 수 있다는 점에서, 승부는 승인된 도구, 표준화된 절차, 패치 배포 속도에 달려 있다. ^{8 9}

지역별 규제 비대칭도 변수다. EU 사업을 하는 조직은 공적 감독과 민간 접근 간 간극을 예상하고, 타임라인·리스크 대응 근거로 이 상황을 이사회·감사 보고에 반영할 필요가 있다. ⁷

지금 할 일

1. OpenAI Trusted Access for Cyber 신청: 보안 조직이라면 검증 절차를 진행해 비프로덕션 코드에서 취약점 분석·트리아지 프롬프트를 시험하세요.
2. ‘이중용도’ 프롬프트 점검: 현재 쓰는 AI로 보안·IT 유지관리 관련 10개 프롬프트를 테스트해 거부·성공 사례를 기록하고, 검증형 모델로 해소 가능한 마찰을 파악하세요.
3. AI 문헌 스캔 미니 프로젝트: 최근 논문·시장 보고서 20건을 요약·출처 포함 2쪽 브리프로 정리해 R&D·마케팅용 내부 인사이트를 만들어 보세요.
4. AI 데이터 처리 규정 업데이트: 접근 등급, 신원 확인, 로그 규칙을 명문화해 벤더의 검증형 프로그램 온보딩 속도를 높이세요.