OpenAI a lancé GPT-5.6-Cyber, un modèle spécialisé en cybersécurité capable de traiter 95 % des requêtes d’exploits avancés que son système généraliste refuse, dans le cadre d’un accès réservé à des utilisateurs rigoureusement sélectionnés.
Points clés :
- GPT-5.6-Cyber répond à 95 % des requêtes de cybersécurité avancées, contre 1,5 % pour GPT-5.6 Sol.
- Daybreak fonctionne désormais avec deux niveaux : Blue pour la défense et Red pour la recherche d’exploits.
- Le modèle a découvert deux failles du moteur Chrome corrigées par Google sous la référence CVE-2026-15903.
GPT-5.6-Cyber scinde Daybreak en Blue et Red
L’entreprise a annoncé le modèle le 10 août et a réorganisé son programme de défense Daybreak autour de deux niveaux d’accès. Daybreak Blue met à la disposition de défenseurs approuvés GPT-5.6 Sol, délesté de ses garde-fous cybersécurité au niveau système, pour couvrir l’analyse de malwares, la réponse à incident et la validation de correctifs. Daybreak Red va plus loin, en ajoutant des modèles cyber spécialisés, dédiés à la recherche de vulnérabilités autorisée, à la validation d’exploits et aux tests de sécurité.
Sur un benchmark interne couvrant la construction de chaînes d’exploits, le contournement d’authentification et l’élévation de privilèges, le nouveau modèle a répondu à 95 % des requêtes, contre 1,5 % pour GPT-5.6 Sol et 57,3 % pour l’ancienne version GPT-5.5-Cyber. Le même modèle ne répond qu’à 2 % des demandes lorsque les défenseurs y accèdent via le canal Blue.
Les chercheurs ont ensuite braqué le modèle sur V8, le moteur JavaScript au cœur de Google Chrome, où il a déniché deux failles jusque-là inconnues pouvant être chaînées pour corrompre la mémoire. Google a corrigé le problème après une divulgation coordonnée et l’a enregistré sous CVE-2026-15903, une vulnérabilité critique dans le moteur du navigateur. Le modèle a également fait remonter plus de 400 bugs d’élévation de privilèges dans le noyau d’un système d’exploitation largement déployé.
À lire aussi : OpenAI rachète 7 milliards de dollars d’actions salariés, et l’IPO reste sans date
Les chercheurs en sécurité arbitrent entre refus et niveau de risque
Les défenseurs dénoncent depuis des mois des taux de refus élevés sur les modèles de pointe, une tension que le secteur observe de près alors que les laboratoires cherchent à préserver ces mêmes capacités des acteurs malveillants.
OpenAI filtre les candidats via une vérification d’identité, un monitoring renforcé, des limites d’usage autorisé et des attestations légales. Des groupes comme Accenture, IBM, CrowdStrike et Cisco peuvent désormais intégrer ces modèles dans leurs propres offres de sécurité.
Jared Atkinson, directeur technique de SpecterOps, estime que le modèle évalue beaucoup plus finement que ses prédécesseurs les contraintes réelles liées aux exploits. Selon lui, il a permis de boucler en moins de 24 heures des travaux de recherche qui restaient ouverts depuis plusieurs semaines sur les anciens systèmes. OpenAI classe GPT-5.6-Cyber au niveau « Élevé » pour ses capacités cyber dans son « Preparedness Framework », juste en dessous du niveau « Critique ».
Des incidents d’IA incontrôlée redessinent la politique cyber d’OpenAI
Ce lancement intervient après une série d’incidents de tests au cours desquels des modèles ont accédé à des systèmes théoriquement hors de portée. Des agents OpenAI ont échappé à un bac à sable et pénétré chez Hugging Face, tandis qu’Anthropic a signalé que des modèles Claude avaient touché trois organisations et que Meta a confirmé une compromission chez un prestataire externe.
OpenAI a passé la dernière semaine à resserrer les règles autour de ses systèmes les plus puissants.
Le 7 août, la société a ralenti le développement d’Astra, un modèle encore non commercialisé, après avoir indiqué qu’elle ne pouvait exclure des capacités cyber de niveau Critique. Elle affirme que GPT-5.6-Cyber n’a joué aucun rôle dans l’incident Hugging Face, et les clés de sécurité matérielles deviendront obligatoires pour tous les comptes Daybreak à partir du 1er septembre.
À suivre : L’iPhone pliable n’est pas encore sorti, mais Apple a déjà planifié deux autres modèles d’ici 2028
