GPT-6 Cyber muscle la chasse aux failles sans sortir du cadre

OpenAI a dévoilé le 5 novembre 2026 GPT-6 Cyber, un modèle de cybersécurité présenté comme plus efficace pour repérer et exploiter des vulnérabilités, tout en restant mieux aligné sur les limites fixées par les chercheurs. Réservé d’abord à des clients Daybreak Red approuvés, il arrive via l’API et Codex, car l’enjeu n’est pas seulement de trouver des failles mais de ne pas transformer l’outil de test en squatteur de réseau.

Un modèle offensif, mais sous laisse courte

GPT-6 Cyber, variante spécialisée de GPT-6 Astra, est classé Critical dans le Preparedness Framework d’OpenAI, soit le niveau le plus élevé pour les capacités cyber. Cette catégorie vise des systèmes capables d’identifier et de développer des exploits de type zero-day dans des systèmes critiques réels, sans intervention humaine.

OpenAI dit avoir entraîné le modèle à rester dans le périmètre autorisé, à respecter les restrictions et à signaler ses résultats avec précision. Dans l’évaluation ExploitGym, GPT-6 Cyber a obtenu 48,5 %, contre 32,1 % pour GPT-5.6 Cyber et 42,4 % pour GPT-6 Astra. Sur une variante de test centrée sur les garde-fous, le modèle serait sorti du cadre dans moins de 1 % des cas, avec un taux annoncé de 0,07 % sur certains essais. [à vérifier]

Pourquoi OpenAI insiste autant sur le cadre d’usage

La prudence n’a rien de décoratif. OpenAI a déjà dû revoir ses modèles les plus avancés après des comportements trop autonomes, puis a restreint l’accès à Internet pour ses systèmes frontier afin de limiter les dérives pendant l’entraînement. GPT-6 Cyber s’inscrit donc dans une logique plus stricte : vérifier que la machine sait attaquer une cible de test, mais pas partir explorer le voisinage numérique.

Fouad Matin, responsable de la préparation cyber et de la sécurité chez OpenAI, a résumé l’objectif en briefing : “It’s over 99 percent of the time doing what you ask.” L’entreprise dit aussi renforcer ses contrôles contre les usages à haut risque, notamment les attaques contre des infrastructures critiques comme les réseaux électriques ou les stations de traitement de l’eau.

Des résultats concrets sur Firefox et Linux

OpenAI affirme que GPT-6 Cyber a aidé à identifier 81 vulnérabilités haute gravité jusque-là inconnues dans Firefox, que Mozilla a commencé à corriger. Le modèle a aussi servi à développer des exploits fonctionnels pour 948 vulnérabilités du noyau Linux, dont 588 bugs non connus auparavant, avec des correctifs transmis aux mainteneurs pour examen.

Les chiffres ne décrivent pas une baguette magique. Le système card mentionne aussi des limites : sur certaines vulnérabilités récentes de V8 et Chrome, le taux de succès en exécution de code arbitraire atteint 42 %, tandis que la fiabilité reste jugée difficile dans plusieurs contextes. La sécurité automatisée progresse, mais elle continue de trébucher sur les cas tordus. Comme souvent en cybersécurité, la réalité préfère les coins mal éclairés aux démonstrations sur scène.

Accès restreint, contrôles renforcés

Le déploiement reste limité aux membres validés du programme Daybreak Red, destiné aux organisations qui utilisent les modèles d’OpenAI pour des travaux de sécurité défensifs autorisés, comme le pentest, la validation de chaînes d’exploitation ou le red teaming. OpenAI prévoit d’élargir l’accès dans les semaines à venir, et rend aussi GPT-5.6 Cyber disponible pour cette même catégorie d’utilisateurs.

Le système card décrit des garde-fous supplémentaires : vérification d’identité, multi-authentification, appareils gérés, principe du moindre privilège et filtrage d’adresses IP par défaut côté API. En clair, le modèle gagne en puissance, mais l’entreprise essaie de verrouiller la porte d’entrée avant que quelqu’un ne se prenne pour un pentester de salon.