GPT-6 Cyber : tour d'horizon du nouveau modèle de cybersécurité d'OpenAI

Résultats sur le terrain

GPT-6 Cyber a trouvé des bogues graves dans du code pourtant passé au crible depuis des années. (Ces chiffres proviennent toutefois d'OpenAI.)

Le cas de Firefox est, à mon avis, le plus marquant. Brian Grinstead, ingénieur chez Firefox, souligne que le navigateur a abordé 2026 comme « l'une des bases de code les plus durcies et auditées au monde », déjà testée avec plusieurs générations de modèles de pointe. GPT-6 Cyber a tout de même trouvé de nouveaux bogues sévères et suggéré des améliorations architecturales.

GPT-6 Cyber est-il sûr ? Le dilemme du double usage

Tout outil qui aide les défenseurs à trouver une faille peut aussi aider les attaquants.

La plupart des garde-fous sont attendus : accès contrôlé, surveillance des abus et recommandation de sandboxing pour les usages à risque.

À lire entre les lignes, deux sujets semblent préoccuper OpenAI en particulier :

• Les accès dérobés, pas seulement les mauvais acteurs. L'accès API Daybreak Red exige par défaut une liste d'adresses IP autorisées. Une clé API divulguée ne suffit donc pas à utiliser le modèle.
• La distillation. OpenAI constate davantage de tentatives de distiller ses modèles, c'est-à-dire entraîner une copie moins coûteuse à partir de leurs sorties. Une copie d'un modèle cyber classé critique n'aurait aucun de ces garde-fous.

Avec du recul, les infrastructures critiques sont le véritable test. Dragos, une société de sécurité spécialisée dans les systèmes industriels, a testé un modèle Daybreak Red permissif sur une centrale électrique simulée, avec très peu d'instructions. Le modèle a de lui-même distingué les équipements industriels des systèmes IT classiques, puis a trouvé deux zéro-days dans des logiciels pilotant des relais de protection, ces dispositifs qui déclenchent les disjoncteurs en cas d'incident.

Comment accéder à GPT-6 Cyber

GPT-6 Cyber est d'abord disponible uniquement pour un groupe restreint de clients Daybreak Red approuvés, via l'API et Codex. OpenAI prévoit un déploiement plus large à l'ensemble des clients Daybreak Red prochainement.

Daybreak est le programme d'accès de confiance d'OpenAI pour les travaux de sécurité, avec des niveaux adaptés au degré de risque :

Les nouveaux utilisateurs et organisations peuvent candidater à Daybreak. Si vous souhaitez un accès, la démarche dépend de votre profil. (Une candidature n'implique pas une acceptation.)

• Organisations : Candidatez à Daybreak. Prévoyez des vérifications d'identité et une attestation légale confirmant que vos tests sont autorisés.
• Chercheurs individuels : Manifestez votre intérêt pour Daybreak Blue via ce formulaire.
• Défenseurs sous-dotés : Gouvernements, services publics, associations et mainteneurs open source peuvent demander un accès subventionné.
• Fournisseurs de sécurité : Rejoignez le programme partenaires Daybreak pour intégrer les modèles à vos produits.
• Gouvernement américain : Daybreak Red est disponible sur AWS GovCloud.

Derniers points

La plupart d'entre nous ne pensent jamais au code derrière nos navigateurs, nos banques et nos réseaux électriques. Mais des modèles comme GPT-6 Cyber indiquent que la traque des faiblesses dans ce code va s'accélérer, autant du côté de ceux qui veulent corriger que de ceux qui veulent nuire.

Si les résultats annoncés se confirment, des bogues restés indétectés pendant des années seront probablement trouvés plus vite. Mais la sécurité a toujours été une course entre la détection des failles et leur correction.