오픈AI가 7월 9일 공개한 챗GPT Work는 이후에도 빠르게 손을 대며 다듬어져 온 제품이다. 강력하지만 동시에 몹시 혼란스럽다는 평가가 따라붙는데, 그 혼란의 상당 부분은 같은 이름이 서로 다른 두 가지를 가리키기 때문이다. 하나는 클라우드에서 도는 버전으로 chatgpt.com이나 모바일 앱을 통해 쓸 수 있고, 다른 하나는 예전에 코덱스(Codex)라 불리던 데스크톱 앱을 설치하면 열리는 로컬 버전이다. 로컬 버전은 사용자의 컴퓨터에 있는 파일에 접근하고 프로그램을 직접 실행할 수 있는데, 개발자가 아닌 사람도 덜 부담스럽게 느끼도록 코덱스를 다시 포장한 인상에 가깝다. 이 글에서 다루는 것은 더 흥미로운 쪽인 클라우드 버전이다.
접근 조건부터 짚어둘 필요가 있다. 챗GPT Work는 두 형태 모두 월 20달러 이상 구독자에게만 열려 있고, 무료 사용자나 월 8달러 Go 요금제 사용자는 쓸 수 없다. 인터페이스에서는 기존 Chat의 대안처럼 탭으로 제시된다. 그렇다면 언제 Chat을 쓰고 언제 Work를 써야 하는가. 오픈AI의 공식 설명은 답이나 설명, 브레인스토밍, 짧은 초안이 필요하면 Chat을, 브리프·덱·분석·정기 업데이트·워크플로·검토 가능한 파일처럼 명확한 결과물을 끝까지 만들어야 할 때는 Work를 쓰라는 것이다. 하지만 이 구분은 그다지 실용적이지 않다. 그런 작업들은 오래전부터 일반 Chat으로도 해오던 것들이기 때문이다. 더 나은 질문은 'Work에는 있고 Chat에는 없는 기능이 무엇인가'이다.
모델 선택과 과금 구조의 차이
첫 번째 차이는 모델 선택지다. Work에서는 GPT-5.6의 Sol·Luna·Terra 계열을 고를 수 있고, 각각 Light·Medium·High·Extra High·Max·Ultra라는 추론 강도를 지정할 수 있다. GPT-5.5도 Light부터 Extra High까지 쓸 수 있다. 이들은 오픈AI API로 제공되는 모델과 같아 보인다. 반면 Chat은 5.6 Instant, Medium, High, Extra High, Pro를 제시하는데 Extra High와 Pro는 월 100달러 이상 구독자용이고 20달러 구독자는 High가 상한이다. 특히 5.6 Pro는 Chat 전용으로 Work에는 대응 모델이 없다. Ultra는 하위 에이전트에게 더 적극적으로 작업을 위임하는 특수 모드로 파악된다. 이런 차이는 과금 구조와도 연결되는 듯한데, Work 세션은 코덱스 할당량에서 차감되고 Chat 세션은 별도 할당량을 쓰는 것으로 보인다.
실무에서 진짜 쓸모 있는 것들
가장 눈에 띄는 기능은 코드 실행 환경이 외부 인터넷과 통신할 수 있다는 점이다. 2023년 오픈AI가 선보인 코드 인터프리터 계보를 잇는 기능인데, Chat에서는 컨테이너 프록시가 패키지 설치나 외부 API 접근을 막는다. 참고로 클로드의 컨테이너는 지난해 9월부터 PyPI·NPM 설치나 깃허브 저장소 복제 같은 제한적 인터넷 접근을 허용해 왔지만 허용 도메인 목록이 매우 짧다. 반면 Work는 훨씬 넓게 열려 있어 특정 도메인 목록으로 제한할 수도 있지만 기본값은 전면 개방으로 보인다. 덕분에 깃허브 저장소를 복제하고 의존성을 설치한 뒤 그것으로 웹의 다른 서비스와 상호작용하게 만드는 식의 활용이 가능해진다.
브라우저 도구도 강력하다. 완전한 크롬 인스턴스를 띄워 웹사이트를 열고 폼을 채우고 스크린샷을 찍을 수 있으며, 로그인이 필요한 사이트에서는 비밀번호나 2단계 인증 코드를 모델을 거치지 않고 사용자가 직접 입력하도록 넘겨준다. 로드된 페이지의 DOM에 자바스크립트를 실행하는 것도 가능해, 특정 사이트를 열고 제목을 자바스크립트로 추출하라는 지시에 실제로 브라우저를 띄워 코드를 돌렸다. 여기에 세션 간 지속되는 파일시스템이 더해진다. Chat은 세션마다 새 파일시스템을 받고 다른 세션에서 접근할 수 없지만, Work는 각 세션의 스크래치 폴더가 유지되어 이전 대화의 파일에 접근할 수 있다. 이 /workspace 볼륨은 실행 중인 모든 Work 세션에 마운트되어 한쪽의 파일 수정이 다른 쪽에 즉시 보이지만, 프로세스 공간은 공유하지 않아 한 세션의 로컬 서버를 다른 세션에서 접근하지는 못한다.
그 밖에도 클라우드플레어 워커스를 이용해 서버 기능과 D1·R2 기반 상태 저장까지 갖춘 웹사이트를 통째로 만들어 배포할 수 있고, 이렇게 만든 사이트는 기본적으로 비공개이지만 공개하거나 팀 플랜에서 특정 인원과 공유할 수도 있다. Chat이 못 하는 하위 에이전트 병렬 실행도 Work에서는 가능한데, 여러 에이전트가 협업해야 하는 복잡한 프로젝트를 위한 파워 유저용 기능이다. 정해진 주기로 프롬프트를 실행하는 예약 작업은 이제 Chat에서도 되지만, 예약 작업으로 Work가 만든 사이트를 매시간 갱신하는 식으로 Work 전용 기능과 엮을 때 의미가 커진다.
남는 의문: 안전성과 불투명한 문서
실무자가 반드시 함께 따져야 할 것은 안전성이다. 비공개 데이터 접근, 신뢰할 수 없는 콘텐츠 노출, 탈취한 정보를 공격자에게 되돌려 보낼 통로라는 세 요소가 결합한 에이전트 시스템은 이른바 '치명적 삼박자'의 위험을 안는다. 인터넷 접근과 브라우저 자동화가 이렇게 폭넓게 열려 있는 만큼, 오픈AI가 프롬프트 인젝션 공격에 대해 어떤 방어를 두는지는 아직 충분히 설명되지 않았다. 코덱스와 동일한 자동 검토 메커니즘일 것으로 추정될 뿐이다. 여기에 더해 이 제품을 이해하는 데 필요 이상의 노력이 드는 이유는 문서의 불투명함에 있다. 시스템 프롬프트와 도구 설명이 공개되어 있었다면 이런 정리 자체가 필요 없었을 것이라는 지적이 나온다. 실제로 한 세션에 자신의 도구 목록을 사이트로 만들라고 지시하자 223개의 등록 도구가 나왔는데, 그중 6개는 datasette-mcp로 제공된 개인 MCP였다. 강력함과 혼란이 공존하는 이 제품을 도입하려는 팀이라면, 기능의 매력만큼이나 이 불투명함과 보안 경계를 먼저 검증하고 넘어가는 편이 안전하다.