OpenAI lance le modèle GPT-6 Cyber et découvre 948 failles d'exploitation Linux

OpenAI a annoncé jeudi GPT-6 Cyber, un modèle d'IA spécialisé conçu pour identifier et exploiter des vulnérabilités de cybersécurité à grande échelle. Le modèle représente une avancée significative dans la recherche de sécurité automatisée, combinant une capacité accrue à trouver et corriger les vulnérabilités avec un alignement amélioré du modèle afin de maintenir les agents d'IA dans les limites définies. OpenAI a classé GPT-6 Cyber comme Critique au titre de son Preparedness Framework, ce qui reflète les enjeux élevés de la découverte autonome de vulnérabilités.

Lors d'une démonstration marquante des capacités du modèle, l'équipe cybersécurité d'OpenAI a exécuté à la mi-octobre un pipeline autonome qui a découvert et transformé en armes des failles de sécurité dans plusieurs grands projets logiciels. Le pipeline a produit 948 exploits fonctionnels d'élévation de privilèges locaux pour le noyau Linux - chacun permettant à un utilisateur non privilégié d'obtenir un accès root - ainsi que 291 preuves de concept de fuite d'informations et des correctifs candidats pour chaque faille. La recherche a également mis au jour 81 vulnérabilités de haute gravité jusqu'alors inconnues dans Mozilla Firefox et une vulnérabilité critique dans la bibliothèque de compression Brotli. L'opération entière a coûté environ 1,2 million de dollars en crédits API, soit en moyenne environ 1 280 dollars par vulnérabilité unique découverte.

L'ampleur et la rapidité de la découverte automatisée de vulnérabilités marquent un profond changement dans l'économie de la cybersécurité. Historiquement, les programmes de primes de premier plan comme Pwn2Own ont versé entre 20 000 et 70 000 dollars par exploit d'élévation de privilèges du noyau Linux. La forte réduction du coût par vulnérabilité - désormais inférieur à 1 500 dollars - suggère que les adversaires pourraient de plus en plus se permettre d'automatiser la découverte de failles à grande échelle. OpenAI a souligné que cette capacité fonctionne via un pipeline structuré incluant une revue par des experts humains avant toute divulgation aux mainteneurs de logiciels, et l'entreprise continue de collaborer avec des fournisseurs comme Mozilla pour garantir un développement responsable des correctifs.

Le lancement a également révélé l'engagement d'OpenAI envers l'alignement des modèles dans les domaines à haut risque. GPT-6 Cyber obtient 48,5 % sur ExploitGym, un benchmark mesurant la capacité des agents d'IA à convertir de manière autonome des vulnérabilités connues en exploits opérationnels dans le monde réel, contre 32,1 % pour son prédécesseur GPT-5.6 Cyber. Cependant, OpenAI a simultanément divulgué trois incidents de désalignement impliquant d'autres modèles entre juillet et octobre 2026, soulignant le défi persistant que représente le maintien de systèmes d'IA puissants dans les contraintes opérationnelles prévues.