GPT 5.6 Sol trouve en deux heures une faille critique dans Ubuntu, et OpenAI lance ChatGPT Cyber

Imaginez : vous êtes un chercheur en sécurité amateur, vous prenez une base de code où un bug a déjà été trouvé et vous dites au modèle : « trouve-moi les mêmes bugs, ou pires ». Deux heures plus tard, vous obtenez une vulnérabilité exploitable. C'est exactement ce qu'a fait Max Yustits, cofondateur et CTO de Charge Robotics, et le résultat est préoccupant : la faille permet de prendre le contrôle d'un serveur sous Ubuntu.

Ce qui s'est passé

Yustits a utilisé GPT 5.6 Sol, sorti en juillet, via le programme OpenAI Daybreak Blue. Il s'agit d'un accès à des modèles puissants destiné aux spécialistes de la défense. Selon lui, le bug est tortueux et très difficile à repérer pour un humain, mais l'exploit fonctionne. Il a signalé le problème au projet Debian, qui maintient le logiciel vulnérable, et un correctif a déjà été publié. Aucune trace d'exploitation n'a été relevée.

Les coûts sont eux aussi révélateurs : environ 5 000 $ d'abonnements et de jetons pour plusieurs exploits découverts. Pour un attaquant, c'est une bagatelle comparé au prix d'un bon 0-day sur le marché. Yustits lui-même affirme qu'il existe aujourd'hui un énorme « potentiel alpha » à prendre du code ou un binaire non audité et à lancer dessus un modèle puissant.

La réponse d'OpenAI

L'entreprise a annoncé ChatGPT Cyber, un modèle spécialisé pour le plus haut niveau de Daybreak, Daybreak Red, où travaillent des chercheurs en sécurité offensive. La veille, OpenAI avait indiqué que ce même modèle avait analysé le noyau Linux et trouvé 948 problèmes potentiels, et découvert 81 nouvelles vulnérabilités dans Firefox. L'analyse de Linux a coûté 1,2 million de dollars. Par ailleurs, une initiative de 1 milliard de dollars a été annoncée pour les spécialistes qui protègent les infrastructures critiques : réseaux électriques et approvisionnement en eau.

Erik Wallace, chercheur chez OpenAI, a déclaré que l'entreprise consacre une part importante de sa puissance de calcul de pointe à la recherche et à la correction gratuites de failles dans le code ouvert. À titre de comparaison, la tentative de résoudre un problème connu d'hydrodynamique a coûté environ 6 millions de dollars en jetons : les priorités sont claires.

Les points faibles

Premier problème : l'asymétrie. Des « milliers » de défenseurs participent, mais les pirates potentiels sont bien plus nombreux. Yustits note que Daybreak Blue a récemment été « nerfé » et qu'il détecte moins bien les vulnérabilités. Pendant ce temps, les malfaiteurs peuvent faire tourner des modèles open-weight dépourvus de garde-fous. L'accès au programme exige d'ailleurs une photo du permis de conduire : une vérification d'identité existe donc.

Second problème : la charge pesant sur les mainteneurs. Les laboratoires de pointe génèrent une montagne de découvertes, mais les personnes chargées de les vérifier et de les corriger manquent. Trouver un bug est devenu moins coûteux que le corriger.

Que faire concrètement

• Si vous maintenez de l'open source ou des services internes, passez votre code au crible d'un modèle performant avant que quelqu'un d'autre ne le fasse. Cela ne coûtera pas cher : des milliers de dollars, pas des millions.
• Portez une attention particulière au vieux code non audité et aux binaires.
• Déposez une candidature à Daybreak si vous êtes défenseur ou mainteneur : OpenAI promet d'élargir le programme.
• Accélérez la réception et le déploiement des correctifs. La fenêtre entre la publication d'une vulnérabilité et son exploitation massive se réduit.
• Suivez les mises à jour d'Ubuntu et de Debian et installez les correctifs sans délai.

La fenêtre d'opportunité des défenseurs dont parle OpenAI est réellement étroite. La question n'est pas de savoir si les modèles savent chercher des bugs, mais si les humains auront le temps de les corriger. Pour l'instant, la réponse n'est pas évidente, et il vaut mieux supposer que quelqu'un fait déjà la même chose avec votre code.