버그 찾기는 공짜가 됐고 이제 고치는 게 병목이다
OpenAI Daybreak, 코드 3천만 커밋 스캔에 50만 건 자동 수정
OpenAI가 6월 22일 Daybreak를 확장했다. GPT-5.5-Cyber가 CyberGym 85.6%로 단일 모델 1위, Codex Security는 3천만 커밋을 훑어 자동으로 50만 건 수정 처리했다. 취약점 발견이 아니라 패치가 새 병목이라는 선언이다.
OpenAI가 6월 22일 보안 사업 Daybreak를 확장하면서 한 가지 명제를 못 박았다. AI가 버그 찾기를 쉽게 만들었으니, 이제 병목은 그걸 고치는 일이라는 것이다.
숫자가 이 명제를 떠받친다. 새 모델 GPT-5.5-Cyber는 보안 벤치마크 CyberGym에서 85.6%로 단일 모델 최고 점수를 냈다. 일반판 GPT-5.5가 81.8%, GPT-5.4가 79.0%, Claude Opus 4.7이 73.1%였다. 발견 능력은 이미 사람 손을 넘어선 영역에 들어섰다.
한눈에 보기
| 발표 | 2026-06-22 |
| GPT-5.5-Cyber CyberGym | 85.6% (단일 모델 1위) |
| 비교 | GPT-5.5 81.8% / Claude Opus 4.7 73.1% |
| Codex Security 스캔 | 3천만+ 커밋, 3만+ 코드베이스 |
| 사람 확인 수정 | 7만+ 건 |
| 자동 확인 수정 | 50만+ 건 |
| 추가 발표 | Patch the Planet(오픈소스), Cyber Partner Program |
발견은 이미 공짜에 가까워졌다
Codex Security는 3월 리서치 프리뷰 이후 3천만 건이 넘는 커밋을, 3만 곳 넘는 코드베이스에서 스캔했다. 사람이 직접 수정 완료로 표시한 게 7만 건 남짓, 시스템이 자동으로 고쳐졌다고 판정한 게 50만 건이 넘는다. 자동 판정이 사람 확인의 일곱 배다.
이 비율이 핵심이다. 취약점을 찾아내는 일은 이제 모델이 대량으로, 싸게 처리한다. 그래서 OpenAI는 이번에 발견보다 패치 자동화에 무게를 실었다. "Patch the Planet"이라는 오픈소스 보안 프로젝트를 Trail of Bits와 함께 띄웠고, Cisco와 CrowdStrike, Cloudflare, Okta 같은 보안 기업들을 파트너로 묶었다.
패치가 병목이라는 말의 진짜 뜻
버그를 찾는 것과 고치는 것은 성격이 다르다. 찾기는 패턴 매칭에 가깝다. 고치기는 "이 수정이 다른 걸 깨뜨리지 않는가"를 판단하는 일이고, 여기엔 그 코드가 무슨 일을 하는지, 누가 쓰는지, 깨지면 누가 책임지는지가 얽힌다. 발견이 자동화될수록 미처리 취약점 목록만 길어지고, 그 목록을 실제 배포 가능한 패치로 바꾸는 단계가 새 정체 구간이 된다.
50만 건 자동 수정이라는 숫자도 양면이다. 처리량은 압도적이지만, 그 자동 패치를 그대로 프로덕션에 밀어 넣을지는 또 다른 결정이다. 회귀 위험, 의존성 충돌, 규제 영향까지 누군가 책임지고 판단해야 한다.
파트너 명단이 말해 주는 것
OpenAI가 이번에 묶은 파트너는 Cisco, CrowdStrike, Palo Alto Networks, Cloudflare, Fortinet, IBM, Okta, SentinelOne, Wiz, Zscaler다. 보안 업계의 주요 이름이 거의 다 들어갔다. 모델 회사 하나가 보안 도구 전체를 대체하겠다는 게 아니라, 발견과 패치 자동화를 공통 인프라로 깔고 그 위에 각 보안 기업의 대응 체계를 얹는 그림이다.
여기서 읽을 신호는 분명하다. 보안의 무게중심이 "취약점을 찾아내는 똑똑한 도구"에서 "찾은 걸 빠르고 안전하게 닫는 운영"으로 옮겨가고 있다. Trail of Bits와 함께 띄운 오픈소스 프로젝트 "Patch the Planet"도 같은 방향이다. 발견은 공개하고 공유해도 되는 영역으로, 가치는 그다음 단계로 미뤄졌다.
anyAX 관점
1인 SaaS 개발자에게 이 변화는 양날이다. 그동안 보안 점검은 비싸서 미루는 항목이었다. 이제 커밋을 던지면 취약점 목록이 거의 공짜로 돌아온다. 좋은 소식이다. 동시에, 목록을 받는 순간 책임의 위치가 옮겨간다. "몰라서 못 고쳤다"는 더 이상 통하지 않는다. 50만 건을 자동 처리하는 시대에, 알고도 안 고친 것과 모르고 못 고친 것의 경계가 사라진다.
그래서 이 도구를 쥔 1인 개발자가 진짜로 해야 할 일은 스캔을 돌리는 게 아니라, 자동 패치 중 무엇을 지금 배포하고 무엇을 보류할지 정하는 일이다. CyberGym 85.6%짜리 모델이 찾아주고 고쳐주더라도, "이 수정을 내 사용자에게 내보내도 되는가"의 마지막 한 칸은 자동화되지 않는다. 발견의 단가가 0으로 수렴할수록, 판단과 책임을 설계해 둔 사람이 안전하게 빠르게 움직인다.
리스크는 나중에 막는 게 아니라 먼저 설계하는 것이다. 취약점이 공짜로 쏟아지는 환경에서는, 어떤 패치를 어떤 기준으로 자동 배포하고 어떤 건 사람이 본 뒤에야 나가는지, 그 규칙을 먼저 정해 둔 팀이 이긴다.
작은 팀일수록 이 규칙은 단순해도 된다. 인증·결제·개인정보를 건드리는 경로의 수정은 무조건 사람이 본다, 테스트가 통과한 의존성 업데이트는 자동으로 내보낸다, 외부에 노출된 엔드포인트의 변경은 배포 전 한 번 더 확인한다. 이 세 줄짜리 기준만 있어도, 자동화가 만들어 내는 50만 건의 처리량을 감당하면서 사고를 줄일 수 있다. 도구가 강해질수록 필요한 건 더 똑똑한 도구가 아니라, 그 도구를 어디까지 믿을지에 대한 자기만의 선이다.