전체
1507개 취약점 중 1478개를 첫 시도에… OrcaRouter, 보안 특화 모델 ‘OrcaCyber Zero 1.0’ 공개
컨티뉴엄 AI(CONTINUUM AI)가 개발한 OpenAI 호환 LLM 게이트웨이인 OrcaRouter가 보안 특화 코딩 모델 ‘OrcaCyber Zero 1.0’과 이 모델을 구동하는 에이전트 시스템 ‘OrcaCyber Harness’의 기술 보고서를 공개했다. CyberGym 레벨 1 전체 1507개 과제에서 pass@1 98.07%(1478/1507)를 기록했다는 결과가 담겼다.
첫 제출 한 번으로 채점된다
CyberGym 레벨 1은 실제 오픈소스 프로젝트에서 수집한 취약점 재현 과제 1507개로 구성되며, 188개 프로젝트에 걸쳐 있다. 채점 규칙은 엄격하다. 과제마다 점수로 인정되는 제출은 단 한 번이고, 수정된 쪽에서 나오는 피드백은 주어지지 않는다.
OrcaCyber Harness는 이 1507개 과제에서 1478개를 첫 제출로 통과시켰다. 비율로는 98.07%다. 출처별로는 ARVO가 1368개 중 1350개(98.68%), OSS-Fuzz가 139개 중 128개(92.09%)를 통과했다.
다섯 겹 기억과 코치, 그리고 라우팅
시스템은 다섯 겹으로 나뉜 기억을 쓴다. 에피소드 기억, 의미 기억, 절차 기억, 유추 기억, 원리 기억이며 각각 다른 증거 기준을 갖는다. 기억에 쓰는 일은 하나의 검증기를 통과해야 하고, 이 검증기가 에이전트가 제안할 수 있는 것과 오래 남길 지식으로 승격될 수 있는 것을 분리한다.
작업자 모델 옆에는 코치 모델이 하나 더 붙는다. 코치는 작업자 자신의 궤적을 가린 형태로만 보며, 참조 크래시와 수정 내용, 수정 쪽 출력에는 접근하지 않는다. 그래서 정답을 흘리지 않고 기법만 방향을 잡아줄 수 있다. 코치는 정해진 주기마다 짧은 지시를 한 번씩 넣고, 작업자 루프 밖에서 돌아 작업을 막지 않는다.
라우팅은 OrcaRouter의 적응형 라우팅과 프런티어 승격에 맡긴다. 에이전트 세션 상태를 기준으로 한 규칙이 정체 신호가 임계값을 넘을 때까지 에피소드를 기본 작업자에 붙잡아 두고, 넘으면 세션 하나를 더 강한 모델로 옮긴다. 대화 이력은 교체를 거쳐도 유지되고, 세션당 승격은 한 번으로 제한된다.
제출 전 두 단계 관문
후보 PoC는 점수 제출로 넘어가기 전에 두 단계를 통과한다. 먼저 차등 사전 검증이 후보가 취약한 쪽에서는 새니타이저 판정을 일으키고 수정된 쪽에서는 깨끗하게 남는지를 반복 실행으로 확인한다. 그다음 결정론적 적대 검토자가 문서화된 크래시만 재현하고 대상 특정 경로를 보이지 않는 넓은 후보를 걸러낸다. 두 단계를 모두 통과한 것만이 에피소드의 제출 한 자리를 가져간다.
무엇을 보지 못하게 했는가
각 과제는 취약한 소스와 취약점 설명만 든 격리 컨테이너에서 돌았다. 참조 PoC, Git 이력, 수정된 소스 타르볼, 참조 크래시 추적, 수정 커밋은 실행 전에 제거됐고, CyberGym 레벨 1 FAQ가 지목한 ‘src.git’과 ‘tmp/poc’ 경로, 남아 있는 ‘*-fix.tar*’ 아카이브와 ‘*.patch’·‘*.diff’ 파일도 함께 지워졌다. 남아 있으면 에피소드를 중단시키는 점검이 매번 돌았다. 과제 간 기억은 꺼져 있었고, 과제당 벽시계 예산은 4시간이었다.
외부 연결도 막았다. 허용 목록에는 모델 API 엔드포인트, 이미지 빌드용 패키지 미러, CyberGym 제출 엔드포인트 세 갈래만 들어 있었고, 그 밖의 요청은 403을 돌려받았다. 모델이 네트워크 정책을 우회했는지도 따로 확인했다. 1507개 궤적 전체에서 이슈 트래커 조회, CVE 검색, GitHub 커밋·blame·tree URL, 변경 로그, 릴리스 노트, 알려진 패치 호스팅 도메인 호출 패턴을 훑었고, 그런 호출은 없었다. 관측된 외부 HTTP 트래픽은 허용된 엔드포인트로 가는 모델 API 호출뿐이었다.
결과
통과 1478건(98.07%) 외에, 양쪽 빌드가 모두 크래시한 경우가 5건(0.33%), 취약한 빌드에서 재현되지 않은 경우가 2건(0.13%), 후보 PoC를 아예 내지 못한 경우가 20건(1.33%), 4시간 제한에 걸린 경우가 2건(0.13%)이었다.
소요 시간은 통과한 과제 기준 중간값 28.1분, 전체 기준 중간값 28.5분, 평균 66.2분이었다. 실패한 29건은 4시간 제한에 몰려 있었다. 과제당 평균 비용은 3.32달러, 평균 사용량은 1945만 토큰, 평균 요청 수는 276회였다.
한 가지 구분이 있다. DeepSeek V4 Flash 작업자는 모든 에피소드에 투입됐고, OrcaCyber Zero 1.0은 적응형 라우팅이 세션을 프런티어 등급으로 승격한 656개 에피소드에서만 호출됐다. 보고서의 OrcaCyber Zero 1.0 비용·토큰 수치는 전체 1507개가 아니라 그 656개 기준이다.
Omarchy 후원
Omarchy 재단은 OrcaRouter를 Distinguished Corporate Patron으로 맞았다고 공개했다. OrcaRouter가 전략 토큰 준비금에 15만달러 상당의 토큰을 기부했고, Omarchy는 이 토큰을 주로 보안·커널 팀에서 OrcaRouter의 보안 특화 모델에 쓸 예정이라고 밝혔다. 첫 대상으로 지목된 것이 OrcaCyber Zero 1.0이다.
모델과 접근 조건
OrcaCyber Zero 1.0은 100만 토큰 컨텍스트 창과 12만8000토큰 최대 출력을 지원하며, 가격은 입력 100만 토큰당 3.00달러, 출력 100만 토큰당 5.00달러, 캐시 읽기 100만 토큰당 0.30달러다. 네이티브 함수 호출과 구조화된 출력을 지원하고, 추론 강도를 조절할 수 있다.
다만 이 모델은 현재 승인된 파트너를 대상으로 한 비공개 테스트 단계이며, 일반 공개 상태가 아니다. 보고서에 실린 CyberGym 수치는 OrcaRouter가 자체적으로 측정해 공개한 값으로, 시스템 전체를 제3자가 독립 검증한 결과는 아직 없다.
주요 모델
OrcaRouter는 단일 API 키와 엔드포인트로 다음을 포함한 200개 이상의 모델을 제공한다.
· OpenAI GPT-5.5
· Anthropic Claude Fable 5.1
· Google Gemini 3.8 Flash
· DeepSeek V4.1 Flash
· xAI Grok 4.6
· Qwen 3.7 Max
· Z.ai GLM-5.3
참고
· OrcaCyber Harness CyberGym 기술 보고서
· Orca: OrcaCyber Zero 1.0 모델 페이지
· Omarchy 후원 발표
OrcaRouter 소개
OrcaRouter는 OpenAI 호환 LLM 게이트웨이로, 200개가 넘는 모델에 걸쳐 라우팅하며 약 40%의 비용 절감, 1밀리초 미만의 라우팅 오버헤드, 0%의 토큰 마크업을 제공한다. 자체 호스팅 에디션인 OrcaRouter-Lite는 MIT 라이선스로 제공된다.
CONTINUUM AI PTE. LTD. 소개
Continuum AI Pte. Ltd.는 최첨단 AI를 개발자와 팀이 접근 가능하고 합리적인 비용으로 사용할 수 있도록 하기 위해 설립된 싱가포르 기반 기업이다. 단일 API 키와 엔드포인트를 통해 200개 이상의 선도적인 AI 모델에 대한 액세스를 제공하는 OpenAI 호환 AI Gateway인 OrcaRouter를 개발한 회사다. OrcaRouter는 약 40%의 비용 절감, 1ms 미만의 라우팅 오버헤드, 토큰 마크업 없음을 제공하며, MIT 라이선스로 출시된 자체 호스팅 버전(OrcaRouter-Lite)도 함께 제공한다.
OrcaCyber Zero 1.0 모델 페이지. 제공 주체는 Orca, 공개일은 2026-09-17, 컨텍스트 창은 1M 토큰, 최대 출력은 128K 토큰으로 적혀 있고, CyberGym Level 1 pass@1 98.07% 벤치마크 항목과 입력 100만 토큰당 3.00달러·출력 100만 토큰당 5.00달러 가격이 보인다
CyberGym 레벨 1은 실제 오픈소스 프로젝트에서 수집한 취약점 재현 과제 1507개로 구성되며, 188개 프로젝트에 걸쳐 있다. 채점 규칙은 엄격하다. 과제마다 점수로 인정되는 제출은 단 한 번이고, 수정된 쪽에서 나오는 피드백은 주어지지 않는다.
OrcaCyber Harness는 이 1507개 과제에서 1478개를 첫 제출로 통과시켰다. 비율로는 98.07%다. 출처별로는 ARVO가 1368개 중 1350개(98.68%), OSS-Fuzz가 139개 중 128개(92.09%)를 통과했다.
다섯 겹 기억과 코치, 그리고 라우팅
시스템은 다섯 겹으로 나뉜 기억을 쓴다. 에피소드 기억, 의미 기억, 절차 기억, 유추 기억, 원리 기억이며 각각 다른 증거 기준을 갖는다. 기억에 쓰는 일은 하나의 검증기를 통과해야 하고, 이 검증기가 에이전트가 제안할 수 있는 것과 오래 남길 지식으로 승격될 수 있는 것을 분리한다.
작업자 모델 옆에는 코치 모델이 하나 더 붙는다. 코치는 작업자 자신의 궤적을 가린 형태로만 보며, 참조 크래시와 수정 내용, 수정 쪽 출력에는 접근하지 않는다. 그래서 정답을 흘리지 않고 기법만 방향을 잡아줄 수 있다. 코치는 정해진 주기마다 짧은 지시를 한 번씩 넣고, 작업자 루프 밖에서 돌아 작업을 막지 않는다.
라우팅은 OrcaRouter의 적응형 라우팅과 프런티어 승격에 맡긴다. 에이전트 세션 상태를 기준으로 한 규칙이 정체 신호가 임계값을 넘을 때까지 에피소드를 기본 작업자에 붙잡아 두고, 넘으면 세션 하나를 더 강한 모델로 옮긴다. 대화 이력은 교체를 거쳐도 유지되고, 세션당 승격은 한 번으로 제한된다.
제출 전 두 단계 관문
후보 PoC는 점수 제출로 넘어가기 전에 두 단계를 통과한다. 먼저 차등 사전 검증이 후보가 취약한 쪽에서는 새니타이저 판정을 일으키고 수정된 쪽에서는 깨끗하게 남는지를 반복 실행으로 확인한다. 그다음 결정론적 적대 검토자가 문서화된 크래시만 재현하고 대상 특정 경로를 보이지 않는 넓은 후보를 걸러낸다. 두 단계를 모두 통과한 것만이 에피소드의 제출 한 자리를 가져간다.
무엇을 보지 못하게 했는가
각 과제는 취약한 소스와 취약점 설명만 든 격리 컨테이너에서 돌았다. 참조 PoC, Git 이력, 수정된 소스 타르볼, 참조 크래시 추적, 수정 커밋은 실행 전에 제거됐고, CyberGym 레벨 1 FAQ가 지목한 ‘src.git’과 ‘tmp/poc’ 경로, 남아 있는 ‘*-fix.tar*’ 아카이브와 ‘*.patch’·‘*.diff’ 파일도 함께 지워졌다. 남아 있으면 에피소드를 중단시키는 점검이 매번 돌았다. 과제 간 기억은 꺼져 있었고, 과제당 벽시계 예산은 4시간이었다.
외부 연결도 막았다. 허용 목록에는 모델 API 엔드포인트, 이미지 빌드용 패키지 미러, CyberGym 제출 엔드포인트 세 갈래만 들어 있었고, 그 밖의 요청은 403을 돌려받았다. 모델이 네트워크 정책을 우회했는지도 따로 확인했다. 1507개 궤적 전체에서 이슈 트래커 조회, CVE 검색, GitHub 커밋·blame·tree URL, 변경 로그, 릴리스 노트, 알려진 패치 호스팅 도메인 호출 패턴을 훑었고, 그런 호출은 없었다. 관측된 외부 HTTP 트래픽은 허용된 엔드포인트로 가는 모델 API 호출뿐이었다.
결과
통과 1478건(98.07%) 외에, 양쪽 빌드가 모두 크래시한 경우가 5건(0.33%), 취약한 빌드에서 재현되지 않은 경우가 2건(0.13%), 후보 PoC를 아예 내지 못한 경우가 20건(1.33%), 4시간 제한에 걸린 경우가 2건(0.13%)이었다.
소요 시간은 통과한 과제 기준 중간값 28.1분, 전체 기준 중간값 28.5분, 평균 66.2분이었다. 실패한 29건은 4시간 제한에 몰려 있었다. 과제당 평균 비용은 3.32달러, 평균 사용량은 1945만 토큰, 평균 요청 수는 276회였다.
한 가지 구분이 있다. DeepSeek V4 Flash 작업자는 모든 에피소드에 투입됐고, OrcaCyber Zero 1.0은 적응형 라우팅이 세션을 프런티어 등급으로 승격한 656개 에피소드에서만 호출됐다. 보고서의 OrcaCyber Zero 1.0 비용·토큰 수치는 전체 1507개가 아니라 그 656개 기준이다.
Omarchy 후원
Omarchy 재단은 OrcaRouter를 Distinguished Corporate Patron으로 맞았다고 공개했다. OrcaRouter가 전략 토큰 준비금에 15만달러 상당의 토큰을 기부했고, Omarchy는 이 토큰을 주로 보안·커널 팀에서 OrcaRouter의 보안 특화 모델에 쓸 예정이라고 밝혔다. 첫 대상으로 지목된 것이 OrcaCyber Zero 1.0이다.
모델과 접근 조건
OrcaCyber Zero 1.0은 100만 토큰 컨텍스트 창과 12만8000토큰 최대 출력을 지원하며, 가격은 입력 100만 토큰당 3.00달러, 출력 100만 토큰당 5.00달러, 캐시 읽기 100만 토큰당 0.30달러다. 네이티브 함수 호출과 구조화된 출력을 지원하고, 추론 강도를 조절할 수 있다.
다만 이 모델은 현재 승인된 파트너를 대상으로 한 비공개 테스트 단계이며, 일반 공개 상태가 아니다. 보고서에 실린 CyberGym 수치는 OrcaRouter가 자체적으로 측정해 공개한 값으로, 시스템 전체를 제3자가 독립 검증한 결과는 아직 없다.
주요 모델
OrcaRouter는 단일 API 키와 엔드포인트로 다음을 포함한 200개 이상의 모델을 제공한다.
· OpenAI GPT-5.5
· Anthropic Claude Fable 5.1
· Google Gemini 3.8 Flash
· DeepSeek V4.1 Flash
· xAI Grok 4.6
· Qwen 3.7 Max
· Z.ai GLM-5.3
참고
· OrcaCyber Harness CyberGym 기술 보고서
· Orca: OrcaCyber Zero 1.0 모델 페이지
· Omarchy 후원 발표
OrcaRouter 소개
OrcaRouter는 OpenAI 호환 LLM 게이트웨이로, 200개가 넘는 모델에 걸쳐 라우팅하며 약 40%의 비용 절감, 1밀리초 미만의 라우팅 오버헤드, 0%의 토큰 마크업을 제공한다. 자체 호스팅 에디션인 OrcaRouter-Lite는 MIT 라이선스로 제공된다.
CONTINUUM AI PTE. LTD. 소개
Continuum AI Pte. Ltd.는 최첨단 AI를 개발자와 팀이 접근 가능하고 합리적인 비용으로 사용할 수 있도록 하기 위해 설립된 싱가포르 기반 기업이다. 단일 API 키와 엔드포인트를 통해 200개 이상의 선도적인 AI 모델에 대한 액세스를 제공하는 OpenAI 호환 AI Gateway인 OrcaRouter를 개발한 회사다. OrcaRouter는 약 40%의 비용 절감, 1ms 미만의 라우팅 오버헤드, 토큰 마크업 없음을 제공하며, MIT 라이선스로 출시된 자체 호스팅 버전(OrcaRouter-Lite)도 함께 제공한다.
공유하기