GPT-6 Cyber a découvert 81 nouvelles vulnérabilités dans Firefox et écrit 948 exploits pour Linux

Autrefois, la recherche de vulnérabilités relevait de l'artisanat : un chercheur expérimenté passait des semaines à examiner du code et à repérer des passages étranges, puis autant de temps à écrire un exploit pour prouver que la faille était bien réelle. OpenAI affirme que son nouveau modèle GPT-6 Cyber sait accomplir les deux volets de ce travail. Si ces chiffres sont confirmés par des évaluations indépendantes, l'économie de la cybersécurité changera sensiblement.

Ce qu'OpenAI a précisément montré

GPT-6 Cyber est une version du modèle optimisée pour la recherche de vulnérabilités et la protection des systèmes informatiques. L'entreprise met en avant deux résultats principaux.

Premier résultat : le modèle a aidé à découvrir 81 vulnérabilités jusque-là inconnues dans le navigateur Firefox. Le terme « inconnues » est essentiel ici. Il ne s'agit pas d'une reformulation d'anciennes CVE présentes dans les données d'entraînement, mais de nouvelles découvertes dans un projet de grande envergure, examiné depuis longtemps. Firefox est soumis depuis des années à des tests par fuzzing et à l'analyse de chercheurs ; y trouver quelque chose de nouveau n'est donc pas simple.

Second résultat : le modèle a développé 948 exploits fonctionnels pour le noyau Linux. C'est un tout autre niveau. Un analyseur statique peut lui aussi repérer un segment de code suspect. Le transformer en exploit fonctionnel reproduisant réellement le problème est nettement plus difficile. Un exploit opérationnel tranche la principale question qui divise toute équipe : « Est-ce réellement exploitable ? »

Pourquoi le chiffre de 0,07 % est important

OpenAI indique séparément que le modèle respecte mieux les restrictions qui lui sont imposées. Lors des tests, le taux d'infractions est passé de 5,51 % à 0,07 %.

Pour un modèle cyber, ce n'est pas une amélioration cosmétique. Un tel outil est, par définition, à double usage : la compétence qui permet de corriger une faille permet aussi de l'exploiter. La question ne porte donc pas seulement sur l'intelligence du modèle, mais aussi sur sa capacité à rester de manière fiable dans les limites fixées : ne pas aider à attaquer les systèmes d'autrui et ne pas dépasser le périmètre de la tâche autorisée.

La baisse de 5,51 % à 0,07 % signifie qu'une infraction survenait auparavant dans environ un cas sur 18, contre environ un cas sur 1 400 désormais. Mais 0,07 % n'est pas zéro. À grande échelle, même cette proportion représente des centaines de cas pour plusieurs centaines de milliers de requêtes. En outre, ce chiffre provient des propres tests d'OpenAI et non du monde réel, où les utilisateurs cherchent activement des moyens de contourner les protections.

Ce que cela signifie en pratique

Pour les développeurs et les équipes de sécurité, la conclusion est claire : l'audit de code assisté par l'IA devient un outil opérationnel, et non plus une simple démonstration. Si vous maintenez une bibliothèque open source, un composant de navigateur ou du code de bas niveau, il faut partir du principe que des modèles similaires analyseront votre dépôt — et que vous ne serez pas les seuls à le faire.

Ce qu'il faut entreprendre dès maintenant :

• Accélérer le cycle de correction. Si les découvertes arrivent plus vite, la lenteur du processus de publication des correctifs devient le principal goulet d'étranglement.
• Automatiser la reproduction. Un exploit fonctionnel n'est pas seulement utile aux attaquants : il permet de confirmer et de hiérarchiser rapidement un bug.
• Réévaluer le modèle de menace. Les failles présentes dans du code ancien et depuis longtemps considéré comme « vérifié » pourraient être moins inoffensives qu'on ne le pensait.
• Définir une politique de divulgation. Le flux de découvertes produites par l'IA nécessitera des canaux de signalement clairs et des délais de correction définis.

Les produits et les fondateurs qui développent des outils de sécurité doivent y regarder de plus près encore. La simple capacité à découvrir un bug se banalise. La valeur se déplace vers tout ce qui l'entoure : triage, intégration à la CI, corrections automatiques et preuve que le correctif résout effectivement le problème.

Limites et questions sans réponse

Pour l'instant, nous nous appuyons sur les déclarations d'OpenAI. On ignore combien des 81 vulnérabilités découvertes sont critiques et combien présentent un risque faible. On ignore également à quoi ressemblaient les 948 exploits Linux : leur degré de fiabilité, leur dépendance à des configurations précises et la quantité d'intervention humaine nécessaire. Aucune donnée n'est non plus fournie sur le taux de faux positifs, alors que c'est précisément ce taux qui détermine si l'outil fera gagner du temps ou submergera l'équipe de bruit.

La conclusion est simple : GPT-6 Cyber constitue un signal fort indiquant que l'IA est passée de la suggestion de code au travail autonome d'un chercheur en sécurité. Les défenseurs ont intérêt à l'adopter avant que les attaquants ne le fassent.