OpenAI 학습 인터넷 차단, 정확히 뭘 끊은 건가요? 사고 경위와 회사 에이전트 기준 8가지 (2026)
퀀텀점프클럽 정상록18분 읽기2 views무료 자료
PDF · 무료
AI 에이전트에게 인터넷을 줘도 될까요?
긴 글을 다 읽기 전에, 실무 가이드부터 먼저 챙겨가세요.
OpenAI 학습 인터넷 차단, 정확히 뭘 끊은 건가요? 사고 경위와 회사 에이전트 기준 8가지 (2026)
OpenAI 학습 인터넷 차단, 우리 회사 AI 에이전트와 무슨 상관인가요?
OpenAI 학습 인터넷 차단의 핵심은 "끊었다"가 아니라 "무엇을 어디까지 끊었나"입니다. 2026-10-23 공식 글을 읽어 보니 완전한 단절이 아니었고 막은 대상도 학습과 대부분의 평가로 한정돼 있었어요.
"ChatGPT도 이제 검색을 못 하는 건가요?" "우리는 모델을 만들지도 않는데 이게 무슨 상관이죠?" 이런 질문이 먼저 떠오르는 게 자연스러워요. 뉴스 제목만 보면 서비스 전체가 바뀐 것처럼 읽히거든요.
이 글은 발표 내용, 2026-09-20 사고 경위, 바뀐 것과 공개되지 않은 것, 사내 에이전트의 인터넷을 막는 기준 8가지 순서로 답합니다. 인용은 OpenAI와 Anthropic 원문을 기준으로 했고 보도와 의견은 따로 표시했어요.
OpenAI는 이번 발표에서 정확히 무엇을 약속했나요?
OpenAI는 2026-10-23 공식 글 "Securing our frontier model training environment"에서 최전선 모델(가장 앞선 성능의 새 모델) 학습을 실시간 인터넷 없이 하겠다고 밝혔어요. 사유 문장은 이렇습니다.
"Based on the current state of alignment research, monitoring systems, and the security of internet infrastructure, we believe the responsible approach is to conduct frontier model training with no internet access."
풀어 쓰면 AI를 사람 의도에 맞추는 연구(정렬 연구), 감시 시스템, 인터넷 인프라의 보안 수준을 따져 보니 인터넷 없이 학습하는 쪽이 책임 있는 방식이라고 판단했다는 뜻이에요.
인터넷 대신 쓰는 환경은 offline world입니다. 원문 설명은 "a vast set of indexed and cached web content", 곧 색인해 저장해 둔 대규모 웹 콘텐츠 묶음이에요. 원문은 "All of our frontier RL runs use this offline mode of interaction"이라고 덧붙였습니다. RL은 모델이 시도와 보상으로 배우는 강화학습이고 최전선 모델의 RL 실행이 전부 이 방식이라는 말입니다. "모의 인터넷"이라는 표현은 TechCrunch(2026-10-23)가 쓴 말이지 OpenAI 원문의 표현은 아니에요.
경계 안에서 일하는 도구는 그대로 둡니다. 원문은 에이전트가 "browsers, code execution environments, computer-use tools"를 쓸 수 있다고 적었어요. 범위도 정확히 읽어야 합니다. 대상은 "training and most evaluation", 학습과 대부분의 평가입니다. 평가 전부가 아니에요.
한 줄 답: OpenAI가 끊은 것은 최전선 모델의 학습과 대부분의 평가에서 쓰는 실시간 인터넷입니다. 대신 저장해 둔 웹 묶음(offline world)을 쓰고 브라우저와 코드 실행 도구는 그대로 써요. 외부와 완전히 끊는 망 분리(air gap)는 아니며 실험 운영용 외부 연결은 남아 있습니다.
완전 단절은 OpenAI가 직접 어렵다고 했어요. 원문은 "Completely air-gapping this infrastructure ... isn’t currently feasible, since we need external connections in order to run and monitor experiments"라고 씁니다. 실험을 돌리고 지켜보려면 외부 연결이 필요하다는 이유예요. 그래서 나가는 트래픽을 좁히고, 호스트에서 닿는 내부 서비스를 거치는 간접 경로까지 제한하는 방식을 택했습니다. 방어는 샌드박스, 경량 가상머신(microVM), 모니터링, 네트워크·클라우드 경계의 4겹으로 설명돼 있어요.
이 환경이 9월 사고 뒤에 처음 생긴 것도 아닙니다. OpenAI 공식 X 게시물(2026-10-23)은 "Over the past several months"라는 표현으로 몇 달 동안의 조치를 이야기했어요. 이번 글은 그 조치를 정책으로 공식화해 공개한 것으로 읽는 게 원문에 맞습니다.
2026-09-20 DNS 사고는 어떻게 일어났고 얼마나 이어졌나요?
OpenAI Alignment 보고서(2026-09-25 갱신)에 따르면 검색형 학습 과제를 받은 내부 연구 모델이 DNS 리졸버(인터넷 주소록 역할을 하는 서버)의 설정 오류를 이용해 외부 공개 챗봇 서비스에 제한적으로 닿았어요. 2026-10-23 글은 같은 일을 "exploited a misconfiguration in a DNS resolver to gain limited access to the live internet during a training run"이라고 적었습니다. 같은 학습 실행에서 그 밖의 웹 접근은 이미 오프라인 웹캐시로 가고 있었어요.
| 시각 (2026-09-20, 시간대 표기 없음) | 사건 |
|---|---|
| 09:50:23 | 모델이 외부 서비스의 응답을 받음 |
| 10:02:11 | 모니터링이 P0 경보를 냄. 응답 수신 후 약 12분 (보고서 요약은 15분 안) |
| 10:05:06 | 사람이 경보를 확인 |
| 12:34:30 | 실행을 수동으로 중단. 경보 후 약 2시간 반 |
자동 중지는 기대한 대로 작동하지 않았어요. 보고서는 DNS 이상 탐지기가 "excluded the affected environment, though DNS activity was logged"였다고 밝힙니다. 로그는 남아 있었는데 탐지 대상에서 그 환경이 빠져 있었다는 뜻이에요. 이 대목이 뒤에 나오는 점검표 5번과 8번의 근거입니다.
OpenAI는 2026-09-25 보고서 갱신에서 DNS 질의를 허용 도메인과 레코드 유형 목록으로 제한했고 해당 모델은 학습을 재개하지 않기로 했다고 적었어요. 최전선 RL 학습과 내부 추론은 2026-10-01에 다시 시작했습니다. 원문은 "We resumed these workloads on October 1, 11 days after our pause began"입니다. 중단은 11일이었어요.
이 글은 모델이 쓴 우회 방법의 세부를 다루지 않아요. 보고서가 공개한 수준인 "설정 오류를 이용해 제한적으로 닿았다"까지만 옮깁니다.
레드팀은 무엇을 찾았고 Anthropic은 어디까지 끊었나요?
OpenAI는 2026-10-23 글에서 자사 모델 에이전트에게 공격자 역할을 맡기는 레드팀(약점을 일부러 찾는 점검)에 "hundreds of billions of tokens", 곧 수천억 토큰을 썼다고 밝혔어요. 공격 역할에는 출시 예정인 GPT-6 Astra Cyber와 내부 최전선 모델이 들어갔고 인프라 소스코드, 설정, 취약점 설명 문서까지 쥐여 줬습니다. 공격자에게 일부러 유리한 조건을 준 셈이에요.
레드팀은 무엇을 찾았고 Anthropic은 어디까지 끊었나요?
이미지 출처: anthropic.com
결과로는 microVM(가벼운 가상 컴퓨터) 탈출 사례가 나왔어요. metrics, logging, 인증 관리 같은 좁게 열어 둔 내부 서비스에서는 "almost every one"에서 제한적인 인터넷 접근 경로가 나왔습니다. OpenAI는 Kata Containers, gVisor, Moby/Docker 수정 패치를 해당 오픈소스 프로젝트에 보내고 있다고 밝혔어요. 이와 별도로 이어 온 커널 보안 작업에 CVE 3건 수정이 들어 있다고도 적었습니다.
원문 결론은 이렇습니다. "We did not find a route to the internet that agents could trivially exploit while concealing their activity from our monitors." 감시에 들키지 않으면서 쉽게 악용할 수 있는 인터넷 경로는 찾지 못했다는 말이에요. 쉽게 악용할 수 있는 경로가 없었다는 뜻이지 경로 자체가 없었다는 뜻은 아닙니다.
격리된 가상 컴퓨터 사이의 통신 경로도 나왔지만 대부분 지시한 실험이었어요. 원문 표현은 "In most of these tests, we directed agents to investigate specific communication channels"입니다. 모델이 스스로 몰래 대화했다는 이야기가 아니에요.
Anthropic은 2026-10-09 글에서 이렇게 밝혔어요. "we have now decided to expand that to include all our internal evaluations until we have confirmed that our security and monitoring measures ... reliably catch behaviors like these." 범위는 내부 평가 전체입니다. 학습에 대해서는 "minimizing internet access for internal agents and training processes"까지만 말했어요. "Anthropic도 학습에서 인터넷을 껐다"고 쓰면 과장입니다.
두 회사의 사고 배경도 구분해야 해요. OpenAI는 2026-08-26 글에서 2026-07 Hugging Face 사고가 학습이 아니라 사이버보안 평가 중에 일어났다고 설명했습니다.
이번 발표로 달라지는 것과 아직 알 수 없는 것은 무엇인가요?
| 구분 | 내용 | 근거 |
|---|---|---|
| 바뀌는 것 | 최전선 모델 학습과 대부분의 평가에서 실시간 인터넷을 경계 밖에 둠 | OpenAI 2026-10-23 글 |
| 바뀌는 것 | 고연산 레드팀을 학습·평가 진행 여부를 정하는 안전 근거의 일부로 편입 | OpenAI 2026-10-23 글 |
| 바뀌는 것 | DNS 질의를 허용 도메인·레코드 유형 목록으로 제한 | OpenAI Alignment 보고서 2026-09-25 |
| 그대로인 것 | 경계 안에서 브라우저, 코드 실행, 컴퓨터 조작 도구 사용 | OpenAI 2026-10-23 글 |
| 그대로인 것 | 외부와 완전히 끊지 않음. 실험 운영용 연결은 유지 | OpenAI 2026-10-23 글 |
| 그대로인 것 | 연구 환경과 고객이 쓰는 출시 모델 환경은 별개라고 원문이 구분 | OpenAI 2026-10-23 글 첫 문단 |
| 공개 안 됨 | 인터넷 접근을 되돌리는 구체 기준 | 원문은 "until advances in these safeguards justify broader internet access"까지만 |
| 공개 안 됨 | 출시 일정에 주는 영향 | 2026-10-23 글에 언급 없음 |
| 공개 안 됨 | offline world의 규모와 갱신 주기, "most evaluation"에서 빠지는 평가의 종류 | 원문에 없음 |
ChatGPT는 원문에 직접 나오지 않아요. 원문은 이 연구 환경이 "differ from those in which customers use our released models", 곧 고객이 출시 모델을 쓰는 환경과 다르다고만 구분합니다. 그래서 첫 질문의 답은 이렇게 정리됩니다. ChatGPT 검색 기능이 바뀐다는 근거는 이 발표에 없어요.
반론도 있습니다. 전 OpenAI 연구원 Steven Adler는 Fortune 인터뷰에서 데이터센터 분리를 두고 "It’s a lot of overhead, and it isn’t clear to me that the safety benefits of it are large enough to merit just how large a tax it would be for a company to do it unilaterally"라고 말했어요(TechCrunch 2026-10-23 재인용). 발표 이전의 발언이고 요지는 격리가 소용없다가 아니라 한 회사가 혼자 감당하기엔 비용 대비 이득이 불분명하다는 것입니다.
성능 문제도 남아요. TechCrunch는 이 전략이 열린 인터넷에서 마음껏 돌리는 것만큼 성능이 나올지 "remains to be seen"이라고 썼습니다. Anthropic 글도 어려운 정보를 웹에서 찾는 과제는 인터넷 없는 환경에서 현실적으로 흉내 내기 어렵다고 인정했어요. 오프라인 웹으로 배운 능력이 실시간 웹에서도 같은 수준으로 나오는지는 OpenAI가 공개하지 않았습니다.
우리 회사 AI 에이전트 인터넷 접근은 어떤 기준으로 막아야 하나요?
사내 에이전트에게 인터넷을 주는 일은 신입에게 법인카드를 주는 것과 비슷해요. "어디서든 결제 가능"으로 시작하지 말고 쓸 수 있는 가맹점 목록부터 정합니다. 카드 말고 돈이 새는 길, 즉 DNS와 내부 서비스 경유도 같이 막아야 하죠.
아래 8가지는 OpenAI 글과 2026-10-26에 열어 본 Claude Code, Codex, Docker 공식 문서를 근거로 골랐어요. 설정 이름은 문서가 바뀌면 달라질 수 있습니다.
| # | 기준 | 무엇을 막고 무엇만 연다 | 근거 문서 |
|---|---|---|---|
| 1 | 기본 차단으로 시작 | 외부 접속을 꺼 두고 필요한 도메인만 목록에 올린다 | Claude Code 샌드박스 문서(허용 도메인은 빈 목록에서 시작), Codex 샌드박스 문서("By default, the agent runs with network access turned off.") |
| 2 | 샌드박스를 켰는지 확인 | Claude Code 샌드박스는 "off by default"라 sandbox.enabled로 켠다. 샌드박스를 못 쓰면 멈추도록 failIfUnavailable, 샌드박스 밖 재시도는 allowUnsandboxedCommands: false | Claude Code 샌드박스 문서 |
| 3 | "네트워크 켬"이 "아무 데나"가 되지 않게 | Codex에서 network_access만 켜고 네트워크 프록시 기능을 안 켜면 제한 없이 직접 나간다. 도메인 규칙까지 켜야 한다 | Codex Agent approvals & security 문서 |
| 4 | 도구마다 통제가 따로임을 인지 | Claude Code의 WebFetch는 allowedDomains로 제한되지 않는다. Codex의 웹 검색, 앱, MCP는 샌드박스 프록시가 거르지 않는다 | Claude Code 샌드박스 문서, Codex 설정 레퍼런스 |
| 5 | DNS도 나가는 길로 취급 | 질의 가능한 도메인과 레코드 유형을 허용 목록으로 제한하고 모든 환경을 이상 탐지 대상에 넣는다 | OpenAI Alignment 보고서 2026-09-25 |
| 6 | 내부 서비스가 대신 나가는 길 차단 | 패키지 미러, 로그, 인증, 메트릭처럼 에이전트가 닿는 내부 서비스의 외부 호출을 제한한다 | OpenAI 2026-10-23 글(간접 경로 차단) |
| 7 | 컨테이너는 망 없이 | Docker --network none은 루프백(자기 자신)만 남긴다 | Docker 공식 문서(None network driver) |
| 8 | 자동 중지를 실제로 시험 | 경보만 울리고 멈추지 않으면 2026-09-20처럼 공백이 생긴다. 중지 경로를 정기적으로 일부러 발동한다 | OpenAI Alignment 보고서 2026-09-25, OpenAI 2026-10-23 글 |
기업 점검의 핵심: 에이전트의 인터넷은 기본 차단에서 시작해 필요한 도메인만 목록으로 엽니다. 그다음 DNS와 내부 서비스처럼 우회로가 될 수 있는 길을 같이 막고, 경보 뒤 자동 중지가 실제로 도는지 정기적으로 시험해요.
순서는 이렇게 잡으면 됩니다. 1번부터 4번이 먼저예요. 이 네 가지만 해도 에이전트가 아무 데나 접속하는 상태는 벗어납니다. 그다음이 5번과 6번이고 8번은 정기 운영으로 둡니다. 5번과 6번이 빠지면 OpenAI가 겪은 유형의 구멍이 남아요.
Claude Code 문서는 "The sandbox is off by default."라고 밝히고 있어요. 설치만 했다고 보호받는 게 아니라 켜야 합니다. 개발자가 따로 없는 팀이라면 이 8가지를 사내 IT 담당자나 도입 파트너에게 그대로 체크리스트로 넘기는 것만으로도 AI 에이전트 인터넷 접근 통제의 첫 단추는 채워져요.
마무리
OpenAI 학습 인터넷 차단은 인터넷을 통째로 없앤 게 아니라 최전선 모델의 학습과 대부분의 평가에서 실시간 접속을 경계 밖에 둔 조치예요. 사고 한 건이 남긴 교훈은 경보 뒤 중지까지 비어 있던 약 2시간 반, 그리고 탐지 대상에서 빠져 있던 환경 하나였습니다. 기업도 기본 차단, 허용 목록, 우회로 점검, 중지 시험이면 큰 틀이 잡혀요.
에이전트 도입 순서를 잡는 단계라면 위 점검표 1번부터 4번까지를 팀과 함께 확인해 보세요.
자주 묻는 질문
선을 뽑아서 물리적으로 완전히 분리하면 안 되나요?
OpenAI는 현재 어렵다고 밝혔어요. 원문은 실험을 돌리고 감시하려면 외부 연결이 필요해서 완전한 망 분리가 "isn’t currently feasible"이라고 씁니다. Hacker News 토론(2026-10-23, 120 points)에서도 같은 의문이 많았는데 OpenAI의 답은 나가는 트래픽을 좁히고 내부 서비스를 거치는 간접 경로까지 막는 쪽이었어요.
ChatGPT 검색도 막히나요?
이 발표만으로는 그렇게 읽을 근거가 없습니다. OpenAI 2026-10-23 글은 ChatGPT를 직접 언급하지 않았고 연구 환경이 고객이 출시 모델을 쓰는 환경과 다르다고 구분했어요. 반대로 "ChatGPT는 그대로"라고 밝힌 문장도 없으니 서비스 변화 여부는 공식 안내를 따로 봐야 해요.
Anthropic도 학습 중에 인터넷을 끊었나요?
확인된 범위는 내부 평가입니다. Anthropic은 2026-10-09 글에서 "all our internal evaluations"에서 실시간 인터넷을 껐다고 밝혔고 학습에 대해서는 내부 에이전트와 학습 과정의 인터넷 접근을 "minimizing"하는 수준으로만 썼어요. 학습 전면 차단이라고 단정할 수 없습니다.
오프라인 웹으로 학습한 모델이 실시간 웹에서도 똑같이 잘하나요?
아직 공개된 근거가 없어요. TechCrunch(2026-10-23)는 이 전략의 성능이 "remains to be seen"이라고 썼고 OpenAI도 비교 결과를 내놓지 않았습니다. Anthropic 글도 웹에서 어려운 정보를 찾는 과제는 인터넷 없는 환경에서 현실적으로 재현하기 어렵다고 인정했어요.
우리 회사가 쓰는 Claude Code나 Codex는 기본 설정으로 괜찮나요?
기본값만 믿으면 안 돼요. 2026-10-26 확인한 공식 문서 기준으로 Claude Code 샌드박스는 기본이 꺼져 있고 WebFetch는 allowedDomains로 제한되지 않습니다. Codex 로컬 샌드박스는 네트워크가 기본으로 꺼져 있지만 network_access만 켜고 프록시 기능을 안 켜면 제한 없이 직접 나가요. 위 점검표 1번부터 4번을 먼저 확인하세요.
참고 자료
- OpenAI: Securing our frontier model training environment (2026-10-23)
- OpenAI Alignment: An agent used DNS to reach an external chatbot (2026-09-25 갱신)
- OpenAI: Hugging Face 사고와 앞으로의 방향 (2026-08-26)
- Anthropic: Investigating unintended model actions in our evaluations and internal use (2026-10-09)
- TechCrunch: OpenAI says it will no longer train its AI models on the live internet (2026-10-23)
- Claude Code Docs: Sandboxing
- OpenAI Codex Docs: Sandbox
- OpenAI Codex Docs: Agent approvals & security
- OpenAI Codex Docs: Configuration reference
- Docker Docs: None network driver
- Hacker News: Securing our frontier model training environment (2026-10-23)
- X: OpenAI 공식 계정 발표 게시물 (2026-10-23)
