OpenAI présente GPT-6 Cyber, une version de son modèle GPT-6 Astra adaptée à la recherche en cybersécurité. Entraîné à examiner du code, reproduire des plantages et concevoir des attaques, il peut traiter des demandes offensives lorsque celles-ci proviennent de chercheurs autorisés. Cette spécialisation lui permet de repérer des vulnérabilités, mais aussi d’en démontrer concrètement l’impact — une capacité qui exige des règles d’accès strictes.
Les résultats communiqués par OpenAI donnent la mesure de cette évolution : le modèle a signalé 81 failles inédites de haute gravité dans Firefox et reproduit 1 724 vulnérabilités du noyau Linux. Pour 948 d’entre elles, il a élaboré une attaque fonctionnelle. Mozilla a déjà publié des correctifs pour de nombreuses failles signalées. OpenAI réserve pour l’instant GPT-6 Cyber à un groupe de clients approuvés, tandis que les équipes de sécurité évaluent son utilité et ses risques.
GPT-6 Cyber : les points clés à retenir
- Une IA spécialisée dans l’analyse de code, la reproduction de bugs et les tests de sécurité offensive autorisés.
- 81 failles inédites de haute gravité signalées dans Firefox, selon les évaluations relayées par OpenAI.
- 948 attaques fonctionnelles élaborées à partir de vulnérabilités reproduites dans le noyau Linux.
- Un accès limité aux clients approuvés de Daybreak Red, le programme d’OpenAI destiné aux tests de sécurité autorisés.
Une version de GPT-6 Astra conçue pour la cybersécurité
GPT-6 Cyber reprend les capacités de GPT-6 Astra avec un entraînement complémentaire consacré aux tâches de sécurité informatique. Il peut inspecter de vastes bases de code, reproduire un plantage et écrire du code d’attaque pour vérifier si une faiblesse est réellement exploitable.
La distinction est importante : constater un bug ne suffit pas toujours à mesurer le risque. Une équipe de sécurité doit aussi déterminer ce qu’un attaquant pourrait en faire, puis corriger la faille avant qu’elle soit utilisée. GPT-6 Cyber vise à accélérer ce travail, tout en étant autorisé à répondre à certaines demandes offensives que le modèle généraliste refuserait.
Pour illustrer l’enjeu, imaginons une petite équipe chargée d’un logiciel open source. Elle reçoit un signalement de plantage, mais manque de temps pour en établir la gravité. Un outil capable de reproduire le problème et de préciser son impact peut aider à prioriser le correctif — à condition que les tests restent confinés à la cible autorisée.
Firefox et Linux : les vulnérabilités signalées par OpenAI
Dans Firefox, les chercheurs d’OpenAI disent avoir documenté 81 failles inédites classées comme étant de haute gravité par Mozilla. Le code avait déjà été étudié à plusieurs reprises par des modèles d’IA avancés. L’entreprise indique également que 30 problèmes précédemment signalés se sont révélés plus sérieux que prévu.
Mozilla a commencé à publier des correctifs après réception des signalements. C’est le point qui transforme une démonstration technique en résultat utile : la découverte doit être transmise aux mainteneurs, vérifiée et corrigée. Dans le cas d’un navigateur utilisé à grande échelle, chaque correctif validé peut réduire l’exposition de nombreux utilisateurs.
Sur le noyau Linux, OpenAI rapporte que GPT-6 Cyber a reproduit 1 724 vulnérabilités et conçu une attaque fonctionnelle pour 948 d’entre elles. Selon la méthode de test de l’entreprise, ce dernier résultat dépasse de plus de cinq fois celui de GPT-5.6 Sol, qui en avait atteint 166. OpenAI affirme aussi avoir transmis 304 découvertes critiques aux responsables du noyau, avec des propositions de correction.
Des performances en hausse sur les tests publiés
Les chiffres ci-dessous proviennent des évaluations communiquées par OpenAI. Ils montrent des progrès sur plusieurs tâches, mais ne constituent pas à eux seuls une mesure universelle de la sécurité d’un produit ou d’un réseau.
| Évaluation | Résultat communiqué | Ce que le test mesure |
|---|---|---|
| ExploitGym | 48,5 %, contre 32,1 % pour GPT-5.6 Cyber | La réussite d’une exploitation visant une cible distante précise. |
| RemoteExploitBench | 95 % des tâches réalisées | Des exercices reposant sur des failles connues de GitLab, PostgreSQL et Jenkins. |
| Pentest web sans code source | 40,3 %, contre 32 % pour GPT-6 Astra | La détection de vulnérabilités sur une application web sans accès à son code. |
Les résultats de RemoteExploitBench illustrent particulièrement la différence entre un modèle généraliste et une variante conçue pour la sécurité offensive : GPT-6 Astra aurait refusé toutes les tâches de ce benchmark via Daybreak Blue. La capacité à mener un test n’est donc qu’une partie du sujet ; il faut également définir qui peut le lancer et sur quel environnement.
Un modèle classé « critique », avec un accès sous contrôle
OpenAI classe GPT-6 Cyber au niveau « critique » en cybersécurité dans son Preparedness Framework, contre « élevé » pour GPT-5.6 Cyber. Ce niveau reflète notamment sa capacité à produire des attaques fonctionnelles : la même aptitude qui aide les défenseurs à vérifier une faille pourrait être détournée si elle était utilisée sans autorisation.
Pour évaluer le respect du périmètre, OpenAI a conçu ExploitGym Honeypot. Le modèle doit y attaquer une cible donnée, tandis que des services voisins, volontairement vulnérables, ne doivent pas être touchés. Sans consigne de sécurité, GPT-6 Cyber les a évités dans 99,93 % des cas, contre 94,49 % pour son prédécesseur. Avec les consignes prévues pour son déploiement, le taux rapporté atteint 100 %.
Ces essais sont encourageants, mais ils ne remplacent pas les contrôles humains. Une organisation doit toujours vérifier les autorisations, isoler les environnements de test et documenter les actions menées. L’outil ne rend pas une attaque légitime : c’est le cadre d’intervention qui le détermine.
Qui peut utiliser GPT-6 Cyber ?
Au lancement, GPT-6 Cyber est accessible via l’API et Codex à un groupe restreint de clients approuvés de Daybreak Red, le volet du programme Daybreak réservé au développement d’exploits et aux tests autorisés. OpenAI prévoit d’élargir progressivement l’accès à l’ensemble des clients de ce programme, qui peuvent déjà utiliser GPT-5.6 Cyber.
OpenAI dit vouloir ouvrir Daybreak à terme à des organisations de tailles diverses, à des chercheurs indépendants et aux mainteneurs de projets open source. L’accès reste néanmoins limité à quelques milliers de professionnels selon les chiffres communiqués par l’entreprise à TechCrunch. Cette ouverture graduelle permet de tester les usages en contexte réel avant d’élargir la disponibilité d’un modèle aussi puissant.
Le lancement s’inscrit dans une tendance plus large : Google a également présenté Gemini 4 Carbon, d’abord réservé à certains acteurs de la cyberdéfense. Pour les entreprises, le sujet n’est donc pas seulement de savoir quelle IA détecte le plus de failles, mais comment intégrer ces outils sans élargir les risques.
Ce que GPT-6 Cyber change pour les équipes de sécurité
Pour une équipe informatique, l’intérêt concret tient à la capacité de passer plus vite du signalement à une reproduction vérifiable, puis à une correction. Les résultats sur Firefox et Linux suggèrent que des modèles spécialisés peuvent contribuer à examiner du code déjà largement étudié, sans pour autant remplacer l’expertise des développeurs et des chercheurs.
Avant de déployer un outil de ce type, une organisation peut vérifier quelques points pratiques :
- Définir les cibles autorisées et consigner clairement le périmètre des tests.
- Isoler l’environnement afin qu’une expérience ne touche pas des services voisins ou des données réelles.
- Faire valider les résultats par des spécialistes avant de déclencher une correction ou de communiquer une vulnérabilité.
- Suivre les correctifs jusqu’à leur publication, notamment lorsque le logiciel concerné est maintenu par une communauté open source.
Le bénéfice se mesure donc moins au nombre de failles affiché qu’à la qualité des signalements transmis et à la rapidité des corrections. Dans ce domaine, une découverte utile est une découverte vérifiée, partagée de façon responsable et suivie d’un correctif.
Qu’est-ce que GPT-6 Cyber ?
GPT-6 Cyber est une variante de GPT-6 Astra entraînée pour des tâches de cybersécurité, notamment l’analyse de code, la reproduction de plantages et les tests d’exploitation autorisés.
Quelles vulnérabilités GPT-6 Cyber a-t-il détectées ?
OpenAI rapporte 81 failles inédites de haute gravité signalées dans Firefox. Pour le noyau Linux, l’entreprise indique que le modèle a reproduit 1 724 vulnérabilités et élaboré 948 attaques fonctionnelles.
GPT-6 Cyber est-il accessible à tous ?
Non. Au lancement, l’accès via l’API et Codex est réservé à un groupe restreint de clients approuvés de Daybreak Red. OpenAI prévoit un élargissement progressif.
Pourquoi OpenAI classe-t-il le modèle au niveau critique ?
Ce classement tient notamment à sa capacité à concevoir des attaques fonctionnelles. Cette aptitude peut servir à vérifier les risques et à corriger des failles, mais impose des contrôles stricts et des usages autorisés.
