OpenAI a lancé GPT-6 Cyber, un modèle conçu pour détecter des failles de sécurité dans les logiciels, créer des exploits fonctionnels et proposer des correctifs. Il est accessible via l’API et Codex à un groupe restreint de clients Daybreak Red. L’accès devrait s’élargir progressivement à d’autres clients de ce programme.
Les capacités du modèle pourraient aider les équipes de sécurité à repérer et corriger des failles, mais elles rendent aussi indispensable le contrôle de ses actions. OpenAI affirme avoir entraîné GPT-6 Cyber à respecter les limites qui lui sont fixées, notamment au moyen d’un honeypot inspiré de l’incident Hugging Face. Selon l’entreprise, sans consignes de sécurité particulières, le modèle a évité de franchir ces limites dans 99.93 percent des tests, contre 94.49 percent pour son prédécesseur. Avec les consignes de sécurité activées, il a respecté les limites dans tous les tests.
Quels sont ses résultats ?
Selon OpenAI, GPT-6 Cyber a obtenu un score de 48.5 percent à ExploitGym, un test qui évalue la capacité d’un modèle à exploiter une vulnérabilité sur un système distant. GPT-5.6 Cyber a atteint 32.1 percent et GPT-6 Astra, le modèle standard, 42.4 percent. Lors d’un autre test visant à repérer des failles dans des applications web sans accès à leur code source, GPT-6 Cyber a détecté 40.3 percent des vulnérabilités, contre 32.0 percent pour GPT-6 Astra.
OpenAI affirme également que GPT-6 Cyber a découvert 81 vulnérabilités graves jusque-là inconnues dans Firefox. Mozilla a accepté les signalements et publié des correctifs. Dans le noyau Linux, le modèle a reproduit 1,724 vulnérabilités et créé des exploits fonctionnels pour 948 d’entre elles. OpenAI indique avoir transmis aux responsables du projet 304 découvertes critiques, accompagnées de correctifs proposés. Ces chiffres proviennent de l’entreprise ; aucun test indépendant de GPT-6 Cyber n’a été publié.
Un accès toujours limité
Pour son travail sur Linux, la campagne a fait appel à des agents automatisés de reconnaissance et d’analyse afin d’examiner environ 5,034 zones présentant un intérêt pour la sécurité, soit quelque sept percent du code du noyau. Le système a réduit cette liste à 2,308 pistes avant de confirmer les vulnérabilités dans des machines virtuelles isolées. D’après OpenAI, cette opération a coûté $1,213,430 en ressources informatiques, soit $1,279 par exploit fonctionnel. C’est moins que la fourchette de primes historiques de $20,000 à $70,000 citée par l’entreprise pour des découvertes comparables, même si les coûts de recherche et les primes ne sont pas des mesures équivalentes.
OpenAI recommande d’utiliser le modèle dans des environnements isolés, sous supervision humaine. L’entreprise indique que ses mesures de protection vérifient notamment si les actions respectent les autorisations de l’utilisateur et surveillent l’apparition de nouvelles vulnérabilités divulguées. Elle élargit également l’accès à GPT-5.6 Cyber et à GPT-6 Astra à davantage d’organisations et de chercheurs.
Pourquoi c'est important
Pour les responsables de logiciels et les équipes de sécurité, les découvertes signalées dans Firefox et Linux laissent penser que GPT-6 Cyber pourrait aider à repérer des failles et à proposer des correctifs. Mais l’accès reste limité, les chiffres de performance viennent d’OpenAI et aucun test indépendant n’a encore été publié.
