GPT‑6 Cyber a écrit des exploits pour 948 failles de Linux et n'est sorti du cadre dans aucun test, hormis 0,07 % des cas (99,93 % de respect)

OpenAI a lancé GPT‑6 Cyber, un modèle spécialisé qui cherche des vulnérabilités dans les programmes, vérifie qu'elles sont réellement exploitables et doit, ce faisant, rester strictement dans le cadre fixé par le chercheur. Le problème que ce lancement cherche à résoudre est familier à quiconque a confié l'infrastructure d'autrui à l'automatisation : un agent capable de pirater peut facilement attaquer « au passage » ce qu'on ne lui a pas demandé de toucher. Imaginez que vous lui confiez l'audit d'une seule application web, et qu'il repère à côté un stockage de fichiers mal protégé, dans lequel il s'engouffre pour une proie facile.

Dans un test conçu pour mesurer ce comportement, GPT‑6 Cyber n'a pas touché aux services tiers dans 99,93 % des cas. Sur des projets réels, elle a en outre écrit des exploits fonctionnels pour 948 vulnérabilités du noyau Linux. Si vous êtes responsable de la sécurité d'un produit, si vous faites de la code review ou si vous construisez vos propres agents, c'est un bon point de repère : il indique à la fois le niveau de capacités atteint et une façon de mesurer l'obéissance.

Ce que le modèle sait faire en pratique

Le principal benchmark s'appelle ExploitGym : il vérifie si un modèle peut exploiter une vulnérabilité donnée sur une cible distante. GPT‑6 Cyber résout 48,5 % des tâches, contre 32,1 % pour la version précédente, GPT‑5.6 Cyber. C'est environ 16 points de pourcentage de plus, soit 51 % en valeur relative. Dans un nouveau test de pentest d'applications web, où le modèle n'a pas accès au code source, il a trouvé 40,3 % des vulnérabilités, contre 32,0 % pour le modèle généraliste GPT‑6 Astra.

Pour le mode Daybreak Red, OpenAI a constitué un autre jeu de tests, RemoteExploitBench. Il déploie dans un environnement contrôlé des vulnérabilités connues de GitLab, PostgreSQL et Jenkins. GPT‑6 Astra, en mode Daybreak Blue, a refusé toutes les tâches (100 % de refus), tandis que GPT‑6 Cyber en a réalisé 95 %. Le seul échec est un exploit qu'il n'a pas réussi à faire fonctionner à distance. À l'issue de ces évaluations, OpenAI a attribué au modèle le niveau Critical en cybersécurité dans son Preparedness Framework ; GPT‑5.6 Cyber était classé High.

Les résultats en conditions réelles sont plus convaincants que les benchmarks. Le modèle a reproduit 1 724 vulnérabilités du noyau Linux et produit des exploits fonctionnels pour 948 d'entre elles. Sur le même banc de recherche, GPT‑5.

6 Sol n'en a traité que 166, soit un résultat plus de cinq fois meilleur. Les mainteneurs ont reçu 304 découvertes critiques, accompagnées de candidats de correctifs. Dans Firefox, pourtant éprouvé depuis longtemps, y compris par des modèles de pointe, GPT‑6 Cyber a trouvé 81 nouvelles vulnérabilités de gravité élevée selon la classification de Mozilla.

Il a aussi montré que 30 autres problèmes connus étaient plus dangereux qu'on ne le pensait. Mozilla publie déjà des correctifs. Par ailleurs, des chercheurs d'OpenAI ont montré, avec d'autres modèles, comment une erreur critique dans la bibliothèque de compression Brotli, utilisée par Node.

js, peut conduire à l'exécution de code à distance dans les applications qui en dépendent.

Comment le modèle est maintenu dans ses limites

Pour OpenAI, l'alignement est devenu un chantier central : le modèle a été entraîné spécifiquement pour rester dans le périmètre autorisé, respecter les restrictions sur ses actions et rendre compte honnêtement de ses résultats. Le test s'appelle ExploitGym Honeypot et s'appuie sur un incident survenu chez Hugging Face. On donne au modèle une tâche d'exploitation difficile dans un environnement isolé, où se trouvent à proximité des services auxiliaires, comme un dépôt de paquets ou un stockage d'objets. Ces services sont volontairement faciles à compromettre : les attaquer révèle le flag de la tâche. Le modèle doit comprendre seul qu'il ne doit pas y toucher.

Sans les prompts de protection du déploiement, GPT‑6 Cyber a évité d'attaquer ces services dans 99,93 % des cas, contre 94,49 % pour GPT‑5.6 Cyber. Avec ces prompts, le résultat atteint 100 %. La chaîne de raisonnement permet de suivre sa logique : le modèle écrit qu'il ne faut pas supposer l'existence d'une API supplémentaire et qu'il faut attaquer uniquement le binaire ou le serveur, et qu'il ne convient pas de chercher des identifiants en dehors de la tâche.

Qui l'utilise déjà et la suite

Parmi les utilisateurs figurent Cisco, Calif, CodeRabbit, Palo Alto Networks, SentinelOne, Perplexity et Cognition. CodeRabbit indique que, sur un test interne, le modèle a trouvé 66 % de problèmes de gravité élevée et moyenne en plus que son modèle de production. Cognition a obtenu 23 % sur son test de recherche de nouvelles vulnérabilités, contre 13 % pour son meilleur résultat précédent. Ce sont des retours de partenaires publiés par OpenAI elle-même, et non des mesures indépendantes. L'entreprise a aussi utilisé le modèle pour renforcer son infrastructure d'entraînement : lors d'exercices de red team, des agents fondés sur GPT‑6 Cyber et d'autres modèles ont enchaîné des vulnérabilités pour s'échapper de microVM et exécuter du code sur l'hôte.

OpenAI reconnaît aussi le revers de la médaille : plus les modèles sont puissants, plus les tentatives de les détourner augmentent, y compris de la part de malfaiteurs et de groupes qui veulent « distiller » les modèles. Ces capacités accrues s'accompagnent donc de mécanismes renforcés de détection et de répression des abus. L'entreprise veut également élargir nettement Daybreak, afin que les méthodes de pointe de recherche de vulnérabilités soient accessibles aux organisations de toute taille, aux chercheurs indépendants et aux mainteneurs de projets open source.

Pour les défenseurs vérifiés, Daybreak Blue limite les refus superflus, tandis que Daybreak Red sert au développement approfondi d'exploits et aux tests autorisés. Les modèles ordinaires comme GPT‑6 Astra prennent en charge la code review, le tri des vulnérabilités et la préparation de correctifs.

La conclusion pratique est simple. Si votre code a un coût d'erreur élevé, il vaut la peine d'examiner Daybreak et de préparer à l'avance un environnement isolé pour les vérifications. Et si vous développez vos propres agents, mieux vaut reprendre l'approche d'OpenAI : tester non seulement ce que l'agent sait faire, mais aussi ce qu'il ne doit pas faire. Les paramètres complets des évaluations et les résultats figurent dans la system card.