OpenAI lance Daybreak pour détecter automatiquement les vulnérabilités dans le code

OpenAI a lancé Daybreak, une initiative visant à détecter et corriger automatiquement les vulnérabilités du code avant les attaques de pirates. C'est une réponse directe à Claude Mythos, d'Anthropic, qui a récemment présenté sa propre IA axée sur la sécurité.

Comment fonctionne Daybreak

Daybreak repose sur l'agent d'IA Codex Security, qu'OpenAI a lancé dès mars de cette année. L'agent analyse le code source de l'organisation et crée un modèle de menaces : une analyse détaillée des chemins d'attaque que des pirates pourraient emprunter pour s'infiltrer ou obtenir un accès non autorisé.

Le point clé du système est qu'il ne se contente pas d'identifier des bugs par balayage, comme le font les outils SAST, mais qu'il valide ensuite leur dangerosité réelle : il vérifie si la vulnérabilité détectée peut effectivement être exploitée dans les conditions réelles d'une application et d'une infrastructure données. Cela réduit fortement les faux positifs, qui pourrissent d'ordinaire la vie des ingénieurs.

Une fois la validation faite, Daybreak automatise la détection des classes de vulnérabilités les plus critiques et aide les ingénieurs à hiérarchiser les correctifs selon le niveau de risque et la probabilité d'exploitation.

Ce que comprend Daybreak

• Analyse complète du code source et de l'architecture de l'application
• Construction de modèles de menaces à partir des chemins d'exploitation typiques
• Validation des vulnérabilités détectées selon des critères d'exploitation réelle
• Détection automatique des problèmes de risque critique, élevé et moyen
• Intégration dans le pipeline CI/CD de développement

La concurrence entre OpenAI et Anthropic

Le lancement de Daybreak coïncide avec l'arrivée de Claude Mythos, d'Anthropic, un modèle d'IA axé sur la sécurité que ses créateurs jugent trop dangereux pour une publication et une démonstration publiques. Anthropic a préféré ne pas ouvrir le modèle au public ni via des API ouvertes, et ne l'a partagé qu'avec des partenaires choisis dans le cadre de sa propre initiative, Project Glasswing.

C'est un moment marquant dans l'histoire de la sécurité de l'IA. Les deux plus grandes entreprises d'IA se sont engagées presque simultanément dans des solutions et des frameworks orientés sécurité. Cela montre que la cybersécurité en entreprise devient un marché stratégique clé pour les acteurs de l'IA. Les deux comprennent la réalité : les entreprises ont un besoin urgent d'outils qui repèrent les vulnérabilités avant les pirates.

La différence de stratégie est nette : OpenAI mise sur un produit entièrement public, accessible à tous les abonnés Pro, tandis qu'Anthropic a choisi un modèle plus prudent, à accès limité, avec un partenariat approfondi réservé aux grands clients professionnels.

Ce que cela change

Pour les développeurs et les équipes informatiques des entreprises, c'est un changement radical dans le cycle de développement. Au lieu d'attendre une revue de code humaine ou de lancer de coûteux tests d'intrusion avant la mise en production, les ingénieurs pourront utiliser un agent d'IA pour repérer tôt les vulnérabilités critiques, pendant même qu'ils codent. Cela devrait réduire fortement la probabilité d'attaques réussies après la sortie et faire économiser sur la réponse aux incidents.

Pour OpenAI et Anthropic elles-mêmes, c'est une nouvelle étape dans la migration des modèles d'IA des laboratoires de recherche vers le business concret, où l'argent est réel et les enjeux élevés.