GPT-6 Cyber d’OpenAI repère des failles et propose des correctifs

OpenAI a dévoilé GPT-6 Cyber, un modèle d’IA spécialisé dans la recherche de failles de sécurité, la production d’exploits fonctionnels et la proposition de correctifs. Présenté le 5 novembre 2026, il vise surtout les équipes de sécurité et les chercheurs autorisés, avec un accès limité pour l’instant. L’annonce compte pour le marché de la cybersécurité car elle montre jusqu’où les modèles peuvent aller, y compris sur des cibles très sensibles comme Firefox et le noyau Linux.

Un modèle pensé pour attaquer, puis défendre

OpenAI présente GPT-6 Cyber comme un système entraîné à trouver des vulnérabilités dans des logiciels, puis à en tirer des exploitations concrètes et des patchs. L’entreprise affirme aussi avoir renforcé ses garde-fous, avec des contrôles de permissions, un filtrage ciblé des failles récemment dévoilées, des vérifications automatiques via Private Safety Processing et des restrictions d’accès par adresse IP pour Daybreak Red.

Dans les tests internes cités par OpenAI, le modèle évite les dépassements de périmètre dans 99,93 % des cas sans instruction de sécurité spécifique, contre 94,49 % pour son prédécesseur. Avec des consignes de sécurité activées, le taux grimpe à 100 %. Sur le papier, le modèle obtient aussi 48,5 % sur ExploitGym, un banc d’essai qui mesure la capacité à exploiter une vulnérabilité à distance, contre 32,1 % pour GPT-5.6 Cyber. Sur un test de recherche de failles dans des applications web sans accès au code source, OpenAI dit mesurer 40,3 % de réussite.

Firefox, Linux et la question qui fâche : aide ou arme ?

Le point le plus sensible de l’annonce tient à ses résultats sur des systèmes réels. OpenAI dit que GPT-6 Cyber a trouvé 81 vulnérabilités critiques inédites dans Firefox, déjà corrigées par Mozilla. Le modèle aurait aussi montré que 30 problèmes déjà connus étaient plus graves qu’estimé. Sur le noyau Linux, l’entreprise affirme avoir reproduit 1 724 vulnérabilités et obtenu des exploits fonctionnels pour 948 d’entre elles. Ces chiffres restent à prendre avec prudence, car ils proviennent tous d’OpenAI et aucune évaluation indépendante n’a encore été publiée.

Le coût et l’ampleur du dispositif donnent la mesure du sujet. Pour la campagne sur Linux, OpenAI dit avoir scanné environ 5 034 emplacements sensibles, soit 7 % du codebase, avant de réduire le champ à 2 308 candidats, puis de confirmer 1 724 vulnérabilités dans des machines virtuelles isolées. La série complète a coûté 1 213 430 dollars de calcul, soit environ 1 279 dollars par exploit. De quoi rappeler que l’automatisation de la sécurité n’est pas gratuite, même quand elle arrive en costume de super-assistant.

Ce que l’accès limité change pour les défenseurs

GPT-6 Cyber n’est disponible pour l’instant que via l’API et Codex, et seulement pour un groupe restreint de clients Daybreak Red. OpenAI prévoit d’élargir l’accès progressivement à tous les clients Daybreak Red, tout en ouvrant davantage GPT-5.6 Cyber et GPT-6 Astra à d’autres chercheurs et organisations.

La stratégie vise en priorité les défenseurs, y compris les opérateurs d’infrastructures critiques comme les centrales électriques ou les stations de traitement de l’eau. OpenAI met en avant son programme de financement d’un milliard de dollars Daybreak for Frontline Defenders et un sous-groupe baptisé Daybreak Red for Critical Infrastructure, destiné aux tests autorisés. Reste une limite très concrète : plus ces modèles deviennent capables de trouver des failles, plus leur mésusage devient plausible, ce que l’entreprise reconnaît elle-même.