OpenAI muscle GPT-6 Cyber pour la détection de failles

OpenAI a présenté le 5 novembre 2026 GPT-6 Cyber, un modèle spécialisé en cybersécurité dérivé de GPT-6 Astra et réservé à un cercle restreint de clients approuvés. L’outil vise à aider les chercheurs et les équipes de défense à détecter, reproduire et valider des vulnérabilités logicielles plus vite. Dans un secteur où le délai entre découverte et correctif compte autant que la faille elle-même, l’enjeu est direct : réduire le temps d’exposition. Et éviter que les bogues ne prennent la poudre d’escampette avant les équipes de sécurité.

Un modèle pensé pour les équipes de sécurité, pas pour le grand public

GPT-6 Cyber ne se présente pas comme un assistant généraliste de plus. OpenAI explique qu’il analyse du code en profondeur, reproduit des dysfonctionnements, développe des preuves de concept pour vérifier l’exploitabilité d’une faille et peut proposer des correctifs. Autrement dit, il s’inscrit dans la chaîne de travail des chercheurs en sécurité, pas dans celle d’un usage grand public. L’entreprise dit vouloir raccourcir la période entre la découverte d’une vulnérabilité et sa correction par l’éditeur concerné.

Le modèle est classé au niveau « critique » en matière de cybersécurité, une première pour les modèles Cyber d’OpenAI. Conséquence logique : il n’est pas accessible librement. L’accès passe d’abord par l’API et Codex, auprès d’un groupe limité de clients approuvés dans le programme Daybreak Red. OpenAI prévoit ensuite une ouverture progressive aux autres organisations éligibles. En parallèle, Daybreak Blue, l’offre destinée aux équipes de défense, gagne elle aussi en accès à des modèles avancés pour rechercher des failles, valider des correctifs et renforcer les opérations de sécurité.

81 failles inédites dans Firefox, et un score qui grimpe

Les premiers chiffres avancés par OpenAI donnent une idée du positionnement du modèle. Lors de tests menés sur Firefox, GPT-6 Cyber a permis d’identifier 81 vulnérabilités inédites, classées de haute gravité par Mozilla. Le modèle a aussi mis au jour 30 problèmes déjà connus dont la gravité avait été sous-estimée. Ces découvertes ont été transmises à Mozilla avec des éléments de reproduction et des propositions de correctifs, et l’éditeur a déjà intégré plusieurs corrections.

OpenAI cite aussi des travaux sur le noyau Linux. Le modèle aurait permis de reproduire 1 724 vulnérabilités et de développer 948 exploits fonctionnels. Ces résultats ne disent pas tout de la qualité réelle d’un outil de sécurité, mais ils montrent qu’une IA peut déjà automatiser une partie du travail d’identification et de validation des failles. C’est là que la machine cesse d’être un simple copilote et devient un collègue un peu trop rapide.

Ce que montrent les benchmarks

Sur ExploitGym, un benchmark qui évalue la capacité d’un modèle à exploiter une vulnérabilité connue dans un environnement contrôlé, GPT-6 Cyber atteint 48,5 %, contre 32,1 % pour GPT-5.6 Cyber. OpenAI indique aussi un taux de détection de 40,3 % lors d’évaluations sur des applications web sans accès au code source, contre 32 % pour GPT-6 Astra. Ces scores restent à interpréter avec prudence, car ils décrivent des conditions de test, pas un environnement de production réel.

Pour les acteurs de la cybersécurité, le sujet dépasse la seule performance brute. Si l’IA aide à trouver plus vite les failles exploitables, elle peut aussi accélérer les cycles de correction côté éditeurs et renforcer la défense. Reste la question de l’encadrement. OpenAI dit avoir renforcé les contrôles autour de l’API, avec vérification d’identité, authentification multifacteur, filtrage des adresses IP et mécanismes de surveillance des usages hors cadre. Dans ce domaine, la ligne de crête est étroite : ce qui aide à défendre peut aussi servir à attaquer.