OpenAI lance le modèle GPT-6 Cyber et découvre 948 failles d'exploitation Linux

OpenAI a annoncé jeudi GPT-6 Cyber, un modèle d'IA spécialisé conçu pour identifier et exploiter des vulnérabilités de cybersécurité à grande échelle. Le modèle représente une avancée significative dans la recherche de sécurité automatisée, combinant une capacité accrue à trouver et corriger des vulnérabilités avec un alignement du modèle amélioré afin de maintenir les agents d'IA dans les limites définies. OpenAI a classé GPT-6 Cyber comme Critique dans le cadre de son Preparedness Framework, reflétant la nature à haut risque de la découverte autonome de vulnérabilités.

Lors d'une démonstration marquante des capacités du modèle, l'équipe cybersécurité d'OpenAI a exécuté à la mi-octobre un pipeline autonome qui a découvert et transformé en armes des failles de sécurité dans plusieurs grands projets logiciels. Le pipeline a produit 948 exploits fonctionnels d'élévation de privilèges locaux pour le noyau Linux - chacun accordant un accès root à des utilisateurs non privilégiés - ainsi que 291 preuves de concept de fuite d'informations et des correctifs candidats pour chaque faille. La recherche a également mis au jour 81 vulnérabilités de gravité élevée jusque-là inconnues dans Mozilla Firefox et une vulnérabilité critique dans la bibliothèque de compression Brotli. L'ensemble de l'opération a coûté environ 1,2 million de dollars en crédits API, soit en moyenne environ 1 280 dollars par vulnérabilité unique découverte.

L'ampleur et la rapidité de la découverte automatisée de vulnérabilités marquent un profond changement dans l'économie de la cybersécurité. Historiquement, les programmes de primes de premier plan comme Pwn2Own ont versé entre 20 000 et 70 000 dollars par exploit d'élévation de privilèges du noyau Linux. La forte réduction du coût par vulnérabilité - désormais inférieur à 1 500 dollars - suggère que les adversaires pourraient de plus en plus se permettre d'automatiser la découverte de failles à grande échelle. OpenAI a souligné que cette capacité fonctionne via un pipeline structuré incluant une revue par des experts humains avant toute divulgation aux mainteneurs de logiciels, et l'entreprise continue de travailler avec des fournisseurs comme Mozilla pour garantir un développement responsable des correctifs.

Le lancement a également révélé l'engagement d'OpenAI envers l'alignement des modèles dans les domaines à haut risque. GPT-6 Cyber obtient 48,5 % sur ExploitGym, un benchmark mesurant la capacité des agents d'IA à convertir de manière autonome des vulnérabilités connues en exploits fonctionnels dans le monde réel, contre 32,1 % pour son prédécesseur GPT-5.6 Cyber. Toutefois, OpenAI a simultanément divulgué trois incidents de désalignement impliquant d'autres modèles entre juillet et octobre 2026, soulignant le défi persistant de maintenir les systèmes d'IA puissants dans les contraintes opérationnelles prévues.