Temps de lecture : 3 min
Points clés à retenir
- Modèle spécialisé : GPT-6 Cyber est une déclinaison de GPT-6 Astra, réservée à un accès restreint en raison de son niveau de risque critique.
- Résultats concrets : 81 vulnérabilités inédites détectées dans Firefox et 948 exploits fonctionnels reproduits sur le noyau Linux.
- Accès contrôlé : Disponible via API et Codex pour un cercle fermé de clients approuvés, avec des mécanismes de vérification renforcés.
GPT-6 Cyber : une IA de sécurité offensive et défensive
OpenAI a présenté le 5 novembre 2026 GPT-6 Cyber, un modèle dérivé de GPT-6 Astra et spécifiquement conçu pour la cybersécurité. Contrairement aux assistants généralistes, cet outil analyse le code en profondeur, reproduit des dysfonctionnements et développe des preuves de concept pour vérifier l’exploitabilité d’une faille. Il peut aussi proposer des correctifs. L’objectif affiché : réduire le délai entre la découverte d’une vulnérabilité et sa correction par les éditeurs.
En pratique, ce positionnement change la donne pour les équipes de sécurité. Là où un analyste humain passe des heures à isoler un bug, GPT-6 Cyber automatise une partie du processus. Ce qui fait vraiment la différence, c’est la capacité du modèle à enchaîner détection, validation et proposition de patch, trois étapes souvent chronophages et source d’erreurs.
81 failles inédites dans Firefox : du concret
Les premiers résultats communiqués par OpenAI sont éloquents. Lors de travaux menés sur le navigateur Firefox, GPT-6 Cyber a identifié 81 vulnérabilités inédites, classées de haute gravité par Mozilla. Il a également mis au jour 30 problèmes déjà connus dont la gravité avait été sous-estimée. Ces découvertes ont été transmises à Mozilla avec des éléments de reproduction et des propositions de correctifs ; plusieurs corrections ont déjà été intégrées.
OpenAI cite aussi des travaux sur le noyau Linux : le modèle aurait reproduit 1 724 vulnérabilités et développé 948 exploits fonctionnels. Soyons clairs, ces chiffres impressionnent, mais ils demandent à être maniés avec prudence. Ils proviennent d’un environnement contrôlé et ne préjugent pas de la robustesse du modèle face à des systèmes réels, plus complexes et évolutifs.
Performances en hausse sur les benchmarks
Sur ExploitGym, qui évalue la capacité d’un modèle à exploiter une vulnérabilité connue dans un environnement isolé, GPT-6 Cyber obtient un score de 48,5 %, contre 32,1 % pour GPT-5.6 Cyber. Dans les tests d’intrusion sur applications web, sans accès au code source, son taux de détection atteint 40,3 %, contre 32 % pour GPT-6 Astra. Ces progressions confirment une tendance : l’IA devient un outil crédible pour automatiser certaines étapes de la recherche en sécurité.
Je reste toutefois mesuré. Les benchmarks sont utiles pour comparer, mais ils ne remplacent pas l’expérience terrain. La vraie question, c’est le ROI pour une équipe sécurité : combien de temps gagné, combien de faux positifs à traiter, et quelle confiance accorder aux correctifs générés ? Sur ce point, OpenAI ne communique pas encore de données détaillées.
Un accès verrouillé et une classification « critique »
OpenAI classe GPT-6 Cyber au niveau « critique » en matière de cybersécurité, une première pour ses modèles Cyber. Conséquence : pas d’accès libre. Le modèle est d’abord disponible via l’API et Codex auprès d’un groupe restreint de clients approuvés dans le programme Daybreak Red. OpenAI prévoit d’élargir progressivement cet accès aux organisations éligibles.
En parallèle, l’entreprise élargit Daybreak Blue, son offre destinée aux équipes de défense, qui peuvent utiliser des modèles avancés pour rechercher des vulnérabilités, valider des correctifs et renforcer leurs opérations. Pour encadrer ces usages, OpenAI a renforcé ses contrôles : vérification d’identité, authentification multifacteur, filtrage des adresses IP pour l’API, et mécanismes de surveillance pour détecter les utilisations hors cadre.
Ce verrouillage est logique vu le potentiel offensif de l’outil. Mais il pose une question de fond : qui aura réellement accès à ces capacités, et à quel prix ? Les PME et les équipes sécurité indépendantes risquent de rester spectatrices, du moins dans un premier temps. Ce qui fait vraiment la différence à long terme, ce sera la capacité d’OpenAI à proposer des offres accessibles sans compromettre la sécurité.
Ce qu’il faut retenir pour les professionnels IT
GPT-6 Cyber marque une étape dans l’automatisation de la recherche de vulnérabilités. Les résultats sur Firefox et Linux montrent un potentiel réel, mais les limites persistent : faux positifs, dépendance à des benchmarks contrôlés, accès restreint. En pratique, les équipes de sécurité doivent suivre ces évolutions de près, tout en gardant un œil critique sur les annonces marketing. L’IA ne remplace pas l’expertise humaine, elle l’augmente. Et comme toujours, le diable est dans l’exécution.