목차
GPT-6 Astra가 9월 3일 공개됐다. 모든 개발자가 바로 쓸 수 있는 모델은 아니다. OpenAI는 Astra를 ‘computer-use 플래그십’으로 포지셔닝하면서 폐쇄형 호스팅 모델로 출시했고, 가중치는 공개하지 않았다. 자체 호스팅이 막힌 데다 당일 접근권은 Trusted Access와 Daybreak 프로그램 소속 조직으로만 한정된다. 가격은 입력 1M 토큰당 10달러, 출력 1M 토큰당 50달러다.
GPT-6 Astra, 컴퓨터 사용 플래그십의 의미
Astra의 가장 큰 변화는 채팅 모델이 아니라는 점이다. 기존 GPT 시리즈가 텍스트 입출력에 머물렀다면, GPT-6 Astra는 컴퓨터를 조작하는 에이전트로 포지셔닝된다. 입력은 텍스트와 이미지를 받지만 출력은 텍스트만 지원한다. 지원 도구 목록만 봐도 방향이 분명하다.
computer use, hosted shell, apply patch, skills, MCP, tool search가 한꺼번에 제공된다. 운영체제 위에서 직접 명령을 내리고 파일을 고치는 작업이 1차 사용처로 설정된 모델이다.
필자 입장에서는 이 지점이 가장 의미 있다고 본다. 지금까지 ‘에이전트’라는 단어가 사실상 텍스트 도구 호출에 가까웠다면, Astra는 사람과 같은 화면·셸 환경을 전제로 설계된 첫 번째 플래그십이기 때문이다. 같은 시기에 등장한 Anthropic의 Apache 2.0 ‘commerce-agents’ 블루프린트가 쇼핑·머천트 에이전트를 오픈소스 레퍼런스로 풀어낸 것과 정반대 방향이다. 한쪽은 폐쇄·통제 노선을, 다른 한쪽은 오픈 블루프린트 노선을 택했다.
이 흐름은 Uber가 에이전트 기반으로 개발 파이프라인을 재설계한 사례와도 같은 결을 갖는다. GPT-6 Astra는 그 움직임을 ‘모델 한 개’가 OS 위에서 직접 수행하는 단계로 끌어올린 셈이다.
GPT-6 Astra의 컨텍스트 처리 방식
기존 Codex가 쓰이던 compaction 방식이 사라졌다. 대신 GPT-6 Astra는 컨텍스트 윈도우가 바뀌어도 노트를 유지하고, 이전 메시지나 도구 출력 안에서 검색해 다시 꺼내 쓴다. 결정과 무관한 작업은 계속 진행하면서 사용자에게 질문을 던질 수 있다. 에이전트가 단일 미결정으로 멈추는 실패 패턴을 줄이려는 설계다.
이런 검색형 컨텍스트는 에이전트 워크플로에서 로컬 검색이 갖는 의미와 맞닿아 있다. 메모리 전체를 매번 다시 읽는 대신 인덱스에서 다시 찾는 방식이 실용적인 단계로 넘어왔다는 신호다.
GPT-6 Astra의 핵심 사양
공개된 사양을 한 표로 정리했다.
| 항목 | 수치/지원 여부 | 비고 |
|---|---|---|
| 컨텍스트 윈도우 | 1,050,000 토큰 | 기존 대비 대폭 확대 |
| 최대 출력 | 128,000 토큰 | – |
| 지식 컷오프 | 2026-04-30 | – |
| 추론 레벨 | low / medium / high / xhigh / max | high 위에 xhigh, max 추가 |
| fine-tuning | 미지원 | 도메인 적응은 RAG·프롬프트 권장 |
| 지원 도구 | computer use, hosted shell, apply patch, skills, MCP, tool search | 6종 동시 제공 |
fine-tuning이 막혀 있다는 점은 실무자 입장에서 즉시 눈에 띈다. 도메인 적응을 모델 가중치로 풀 수 없으므로, 검색·프롬프트·도구 설계로 같은 효과를 내야 한다.
GPT-6 Astra의 벤치마크
| 모델 | OSWorld V2-Offline | 평균 작업 시간 | 비고 |
|---|---|---|---|
| GPT-6 Astra | 72.6% | 약 40분 | 1차 공개 기준 |
| GPT-5.6 Sol | 65.7% | 약 75분 | 동일 평가 환경 |
| Claude Fable 5.1 | 77.9% | 미공개 | OSWorld 릴리스 차이로 직접 비교 불가 |
OSWorld V2-Offline 72.6%는 단순 점수가 아니다. 실제 운영체제에서 자율적으로 작업을 끝낼 수 있는 능력이 일정 수준을 넘었다는 뜻이다. 75분짜리 작업을 40분으로 줄이는 속도도 같은 맥락에서 읽힌다. 사람이 하던 클릭·입력 루프를 모델이 그대로 소화할 수 있다는 의미다.
ARC-AGI-3에서 99.9%를 기록했다는 수치도 공개됐다. 다만 Responses API 하네스에서 retention이 적용된 상태의 결과로, 평가 조건 일부가 1차 보도 기준으로 확인되지 않았다. 이 점은 인용 시 병기할 필요가 있다.
‘Critical’ 사이버 등급이 의미하는 것
GPT-6 Astra는 OpenAI 모델 최초로 ‘Critical’ 사이버 역량 등급을 넘어 접근 권한이 통제되는 모델로 분류됐다. 입출력 1M 토큰당 $10/$50이라는 가격에 이 능력이 풀리면, 접근을 통제하지 않을 이유가 없다. OpenAI는 안전성 평가를 마친 조직부터 단계적으로 풀겠다는 입장을 명확히 했다.
같은 시기 Anthropic이 상업용 에이전트 설계도를 Apache 2.0로 공개한 것과 정반대다. GPT-6 Astra 1차 출시 보도에서 명시된 ‘Critical’ 등급 통제는 단순한 마케팅 문구가 아니라 OS 권한 수준의 자율 작업이 가져오는 새로운 위험 분류 체계의 시작점으로 봐야 한다. 다중 에이전트 환경의 안전성 사고가 새로운 국면에 진입한 사례와 같은 시기라는 점도 무시하기 어렵다.
실무자 체크리스트
- 사내에서 Trusted Access 또는 Daybreak 자격을 가진 조직과 제휴 가능한지 검토한다.
- Responses API 하네스에서 retention 정책이 어떻게 적용되는지 별도로 확인한다.
- OSWorld V2-Offline와 자체 평가 환경의 릴리스가 일치하는지 비교한다.
- fine-tuning이 막혀 있으므로 도메인 적응은 RAG·프롬프트·도구로 풀어야 한다는 전제로 PoC를 설계한다.
- Critical 등급 모델이 산출한 명령을 사람이 승인하는 단계를 워크플로에 명시적으로 남긴다.
지금 바로 해볼 것
- OpenAI 계정 콘솔에서 Trusted Access·Daybreak 자격 보유 여부를 확인한다.
- OSWorld V2-Offline를 로컬에 세팅해 기존 에이전트 대비 작업 시간을 측정하는 벤치를 설계한다.
- fine-tuning이 막혀 있다는 전제로 도메인 지식 주입 경로를 다시 그린다.
- Critical 등급 모델이 만든 shell 명령은 사람이 승인하는 단계를 CI에 명시적으로 남긴다.
- ARC-AGI-3 99.9% 수치를 인용할 때 Responses API 하네스 전제라는 점을 사내 문서에 병기한다.
자주 묻는 질문
GPT-6 Astra는 자체 호스팅이 가능한가?
불가능하다. Astra는 폐쇄형 호스팅 모델이며 가중치가 공개되지 않았다. OpenAI의 API와 신뢰된 클라우드 경로로만 접근할 수 있다.
GPT-6 Astra의 가격은 얼마인가?
입력 1M 토큰당 10달러, 출력 1M 토큰당 50달러 수준이다. fine-tuning은 지원되지 않으므로 도메인 적응은 별도 경로가 필요하다.
GPT-6 Astra의 OSWorld 점수는 직접 비교 가능한가?
OpenAI 보고 기준 72.6%는 GPT-5.6 Sol 65.7%와 같은 평가 환경이다. 다만 Claude Fable 5.1의 77.9%는 OSWorld 릴리스가 달라 Anthropic이 직접 비교를 보류하고 있다.
GPT-6 Astra에 왜 ‘Critical’ 등급이 붙었나?
운영체제 수준에서 자율적으로 작업을 수행할 수 있는 역량이 임계치를 넘었다고 OpenAI가 판단했기 때문이다. 동일 능력의 일반 공개는 통제 대상이 된다.
쟁점 정리
GPT-6 Astra의 통제된 공개는 단순한 버전업이 아니다. OpenAI는 폐쇄·통제로, Anthropic은 Apache 2.0 오픈 블루프린트로 나갔다. 독자는 ‘더 좋은 모델’을 단일 기준으로 보지 말고, 같은 능력 등급의 모델을 어떤 조건에서 누구에게 푸는지가 시장 지형을 만든다는 점을 기억할 필요가 있다. ‘Critical’ 등급의 시작은 이후 등장할 더 높은 등급 모델의 통제 기준선이 될 가능성이 높다.
참고 원문
이 기사는 다음 원문을 확인해 작성했습니다: MarkTechPost — OpenAI Releases GPT-6 Astra: A 1.05M-Context Computer-Use Model Gated Behind a ‘Critical’ Cyber Threshold
전문가 코멘트(AI)
ML시스템엔지니어
컴팩션을 버리고 검색형 메모리로 넘어간 컴퓨터 유즈 아키텍처는 타당하지만, 폐쇄 호스팅과 fine-tuning 차단이 실무 적용 경로를 크게 좁힌다
OS 위에서 직접 셸과 화면을 다루는 컴퓨터 유즈 플래그십으로의 전환은 텍스트 도구 호출이 한계에 도달한 에이전트 설계의 자연스러운 다음 단계다. compaction을 폐기하고 컨텍스트 윈도우가 바뀌어도 노트를 유지하며 도구 출력에서 재검색하는 방식은 에이전트가 단일 미결정으로 멈추는 고전적 실패 패턴을 줄이는 실용적 해법이고, 1.05M 토큰 윈도우와 128K 출력의 조합은 장시간 자율 작업 세션을 전제로 한 설계로 읽힌다. 다만 fine-tuning 부재는 도메인 적응을 RAG·프롬프트·도구 설계로 전부 떠안게 하는 구조적 제약이라 전문 분야가 깊은 조직일수록 적응 비용이 커진다. OSWorld 72.6%와 75분에서 40분으로 줄어든 작업 시간은 유의미한 신호지만 오프라인 벤치 환경과 실제 프로덕션(네트워크 지연, 인증, 권한 제약)의 격차를 자체 벤치로 좁혀보는 검증이 선행돼야 한다. MCP·tool search·hosted shell을 하나로 묶은 도구 스택은 생태계 정합성 면에서 강점이나 폐쇄 호스팅이라는 전제에서만 유효해 온프레미스 요구 조직은 사실상 배제되는 점은 아쉽다.
정보보안전문가
능력 기반 접근 통제라는 선례 자체는 의미 있지만, 등급 산정 기준 비공개와 조직 단위 신뢰 심사가 이 통제 체계의 최약점이다
OS 수준 권한으로 자율 작업을 수행하는 모델에 능력 기반 ‘Critical’ 등급을 매겨 접근을 통제하는 것은 모델 위험 분류를 실제 역량에 연동하려는 최초의 본격 시도라는 점에서 방향 자체는 옳다. 문제는 등급을 매기는 주체와 그 모델을 판매하는 주체가 동일하다는 것이고, 임계치 산정 근거·레드팀 결과·오용 시나리오가 외부 검증 가능한 형태로 공개되지 않으면 이는 안전 통제라기보다 자율 규제로 변질될 수 있다. Trusted Access·Daybreak 같은 조직 단위 자격은 기술적 통제가 아니라 신뢰 기반 통제이므로, 자격 조직 내부의 내부자 위협·계정 탈취·접근권 재위탁에 대한 통제 설계가 없으면 등급의 실효성이 크게 떨어진다. 컴퓨터 유즈와 hosted shell의 조합은 프롬프트 인젝션을 통한 명령 주입·권한 상승·횡적 이동의 공격 면을 극적으로 넓히므로, 모델이 산출한 명령에 대한 사람 승인 단계는 선택이 아니라 필수 운영 원칙이다. ARC-AGI-3 99.9% 같은 능력 주장이 하네스 조건이 불투명한 채로 공개되는 것은 통제 등급 모델에 요구되는 재현성·투명성 원칙과 정반대 방향이다.
비판적 분석가
‘Critical’ 등급은 안전장치인 동시에, 등급을 정의한 주체가 스스로 발급한 희소성 라이선스로 읽힌다
공식 내러티브는 ‘위험한 능력이니까 통제한다’는 안전 담론이지만, cui bono를 먼저 물으면 그림이 달라진다 — 등급을 매기는 주체, 통제 정책을 설계하는 주체, 그리고 1M 토큰당 $10/$50을 수령하는 주체가 모두 같다. 폐쇄 호스팅, 가중치 미공개, fine-tuning 차단이 기술적 필연인지 아닌지 검증되지도 않은 채 정확히 같은 시점에 묶여 나온 점은, 이 통제가 수요를 조절하는 가격·협상 레버로도 기능할 가능성을 시사한다. 같은 주에 Anthropic의 Apache 2.0 오픈 블루프린트가 공개되며 ‘통제 vs 개방’ 구도가 부각된 것도 우연이 아니라, 정작 중요한 ‘등급 산정의 객관성은 누가 확인하는가’라는 질문을 두 진영의 철학 대결 서사로 대체하게 만드는 프레임으로 읽힌다. ARC-AGI-3 99.9%가 평가 조건 확인이 덜 된 상태로 먼저 퍼지고 단서 달기는 뒤따르는 공개 순서는 화력 과시가 우선이라는 전형적 패턴과 일치한다. 우리가 진짜 주목해야 할 점은 모델 성능이 아니라 ‘Critical’의 정의권이다 — 그 정의를 특정 기업이 선점하는 순간, 이후 더 높은 등급의 통제 기준선도 시장 합의가 아닌 자체 평가로 고정될 것이다.
물밑 시나리오
- ‘OpenAI 모델 최초’라는 타이밍 강조와 함께 자체 안전 평가로 ‘Critical’ 등급을 부여한 것은, 향후 정부·규제기관이 AI 위험 등급 체계를 만들 때 자사 기준이 사실상 표준으로 채택되도록 선점하려는 움직임일 가능성이 있다.
- 폐쇄 호스팅·가중치 미공개·fine-tuning 차단이 한꺼번에 시행된 것은 기술적 한계라기보다 엔터프라이즈 계약 협상력과 프리미엄 가격($10/$50)을 정당화하는 희소성 설계일 가능성이 있으며, 접근권을 Trusted Access·Daybreak 소수 조직으로만 한정한 방식이 그 정황 증거다.
