OpenAI, 웹 취약점 검증과 코드 수정 제안 잇는 Daybreak 제품 2종 발표

The Register의 사이버보안 편집자 제시카 라이언스는 11월 12일 OpenAI가 Daybreak 보안 플랫폼의 제품 2종을 발표했다고 보도했습니다. Daybreak Red Team은 웹 애플리케이션의 취약점을 시험하고 검증하며, Daybreak Defense Factory는 검증 결과를 코드 수정안으로 연결합니다.

Red Team 에이전트는 애플리케이션의 소스 코드와 작동 맥락을 살펴 취약점으로 이어지는 공격 경로를 조사합니다. 코드 스캐너, 버그바운티 제보, 취약점 공개 보고서에 담긴 문제도 검증하고, 패치가 해당 공격 경로를 막는지 시험합니다. OpenAI는 격리 환경과 Guardian 검토를 통해 평가 범위를 관리하고, 에이전트가 접근할 애플리케이션과 엔드포인트를 지정할 수 있다고 설명합니다. Red Team은 조기 접근 단계로, 테스트할 앱을 정해 신청할 수 있습니다.

Defense Factory는 연결된 코드 저장소에서 취약점의 위치와 원인을 추적해 수정 패치를 준비합니다. Red Team의 결과와 Snyk 같은 기존 보안 도구의 진단 결과를 가져와 처리할 수 있습니다. 엔지니어는 제안된 패치를 검토하고 시험한 뒤 저장소에 병합합니다. The Register가 인용한 OpenAI 사이버 응용 AI 책임자 낸시 왕은 패치와 작동 시험을 담은 풀 리퀘스트를 엔지니어에게 제공한다고 설명했습니다. 풀 리퀘스트는 코드 변경안을 저장소에 반영하기 전에 검토를 요청하는 절차입니다.

두 제품은 Red Team이 확인한 문제를 Factory의 코드 수정 작업으로 넘기는 방식으로 연결됩니다. Factory는 한 번 저장소 전체를 검사하거나 특정 폴더·파일만 검사할 수 있습니다. 새 커밋을 감시하는 방식은 기본 브랜치의 변경을 살피며, 정기 검사를 예약할 수도 있습니다. 전체 저장소 검사는 기존 코드에 걸쳐 있는 문제를 찾는 데, 커밋 감시는 새 변경에서 생긴 문제를 살피는 데 쓰입니다.

이용 경로도 다릅니다. Red Team은 조기 접근 신청을 받습니다. Factory 제품 페이지는 영업팀 문의를 안내하며, 설정 문서는 Daybreak 접근 권한이 있는 ChatGPT 워크스페이스에서 Preview 앱을 설치하는 절차를 설명합니다. 클라우드 검사를 시작하는 사람마다 개인 GitHub 계정을 연결해야 하고, 팀 단위 GitHub 연결은 제공되지 않습니다. Daybreak 접근 프로그램은 신청자를 확인하고 모델 이용 계획을 검토한다고 밝힙니다.

OpenAI 사장 그렉 브록먼은 기업 보안이 방어에 쓰는 최첨단 모델과 그 활용 방식에 달려 있다고 말하면서, 보안의 기본 원칙도 중요하다고 강조했습니다.