오픈 웨이트 AI 모델, 저렴한 비용으로 폐쇄형 프런티어 시스템과의 사이버 역량 격차 좁혀

리서치 기업 Vals AI의 새로운 벤치마크 데이터에 따르면, 자율 사이버 보안 작업에서 오픈 웨이트 모델과 독점적인 폐쇄형 AI 모델 간의 역량 격차가 급격히 줄어들고 있다.

Vals CyberOffense 벤치마크에서 실시된 테스트 결과, 자유롭게 사용할 수 있는 오픈 웨이트 모델들이 운영 비용의 극히 일부만으로 다단계 네트워크 공격을 수행하며 최상위 폐쇄형 시스템의 성능에 근접한 것으로 나타났다.

자율적 기업 네트워크 침투

Vals CyberOffense 평가는 실제 기업 네트워크를 모방한 격리된 공격 환경에서 AI 에이전트를 테스트한다. 각 모델은 인간의 도움 없이 격리된 Kali Linux 머신에서 단독으로 작동하며, 공개된 웹 주소 하나만으로 시작한다. 성공을 위해 AI 에이전트는 커맨드 라인 명령을 내리고, 웹 애플리케이션을 침투하며, Windows 서버를 탐색하고, 전체 관리자 권한을 획득하기 위해 권한을 상승시켜야 한다. 모든 명령과 행동은 외부 로그에 기록되며, Nova(21개 목표)와 Lighthouse(31개 목표)라는 두 가지 주요 시나리오 세트에 걸쳐 자동으로 점수가 매겨진다.

벤치마크 테스트에서 OpenAI의 제한된 Daybreak 사이버 프로그램 하에 개발된 모델인 GPT-6 Sol Daybreak는 전체 최고 점수를 기록하며 공격 목표의 80.8%를 달성했다. 다국적 기업 대상의 Lighthouse 테스트에서 Daybreak는 첫 번째 기업의 관리자 권한을 성공적으로 탈취하고, 비밀번호를 수집한 뒤 두 번째 기업의 네트워크로 침투하여 3시간 이내에 31개 목표 중 27개를 완료했다.

하지만 오픈 웨이트 모델인 Deepseek V4.1 Flash 1017이 그 뒤를 바짝 쫓으며 72.8%의 전체 목표 달성률을 기록했다. Nova 테스트에서 Deepseek은 평균 16.3개의 목표를 완료(범위 15~18개)하여, 15.7개(범위 12~19개)를 기록한 Daybreak를 실제로 앞질렀다.

결정적으로, Deepseek은 실행당 약 3달러의 비용으로 작업을 수행한 반면, GPT-6 Sol Daybreak는 실행당 약 22달러가 소요되었다.

Meta의 오픈 모델인 Meta Wonder는 더 복잡한 시나리오에서 특히 강력한 성능을 보였으며, Nova 점수는 7점으로 낮았음에도 불구하고 Lighthouse 테스트에서는 31개 목표 중 28개를 완료했다.

확장된 토큰 실행 시간이 드러낸 진정한 역량

이번 연구의 핵심 발견 중 하나는 컴퓨팅 지속 시간이 오픈 모델 성능에 미치는 영향이다. 짧은 벤치마크 평가는 오픈 모델의 공격 진행에 더 긴 컨텍스트 처리가 필요하기 때문에 이들의 성능을 과소평가하는 경우가 많다.

테스트 중 Deepseek V4.1 Flash는 처리 초기 2,500만 토큰까지는 목표 달성 수 0을 기록했다. 이 모델은 1억 토큰 지점을 넘어서야 비로소 유의미한 돌파구를 마련하기 시작했다. 연구진은 테스트된 대부분의 중국 오픈 모델들이 1억 토큰 임계값을 넘기 전까지는 의미 있는 진전을 보이지 않았다고 언급하며, 단기 안전 벤치마크가 이러한 시스템의 운영 잠재력을 놓치고 있음을 강조했다.

좁혀지는 타임라인과 비용 비대칭성

Vals AI의 조사 결과는 공공 안전 기관들이 확인한 광범위한 추세를 반영한다. 영국 AI 안전 연구소(AISI)가 7월에 발표한 분석에 따르면, 사이버 영역에서 오픈 웨이트 모델과 폐쇄형 프런티어 모델 간의 역량 격차는 2025년 대부분의 기간 동안 6~10개월이었으나 현재 4~7개월로 좁혀졌다.

오픈형과 폐쇄형 제품 간의 비용 격차는 여전히 극명하다. AISI 평가 데이터에 따르면, 사이버 레인지(cyber-range) 테스트를 실행하는 데 Anthropic의 Opus 4.5는 85달러가 드는 반면, Deepseek V4-Pro는 1.19달러가 소요된다. 또한, 오픈 웨이트 모델에 내장된 안전 가드레일은 가중치(weights)에 접근이 가능해지면 거의 효과가 없는 것으로 입증되었다. 사용자가 명령 실행에 있어 중앙 제공자의 제한을 받지 않기 때문이다.

Anthropic의 보완적인 연구 결과에 따르면, 자유롭게 접근 가능한 GLM-5-3 모델은 Anthropic의 내부 프런티어 모델인 Mythos와 거의 맞먹는 수준의 보안 익스플로잇(exploit) 구축 역량을 갖춘 것으로 나타났다.

방어적 시사점

Vals AI 연구진은 모델의 가중치가 공개되면 제공자가 위험한 역량에 대한 접근을 제어하거나 취소할 수 있는 기술적 능력을 상실하게 된다고 강조했다. 결과적으로 자동화된 AI 에이전트를 사용한 실제 네트워크 공격이 향후 몇 달 내에 증가할 것으로 예상된다.

하지만 연구진은 이러한 추세가 사이버 보안 팀에게 필수적인 기회를 제공한다고 지적했다. 기업 네트워크를 조사할 수 있는 동일한 오픈 웨이트 모델을 보안 방어자가 로컬에 배포하여 시스템을 감사하고, 제로데이 취약점을 발견하며, 악의적인 행위자가 이를 악용하기 전에 보안 결함을 패치하는 데 사용할 수 있기 때문이다.