OpenAI a dévoilé GPT-5.6-Cyber, un modèle spécialisé en cybersécurité capable de traiter 95 % des demandes d’exploits avancés que ses systèmes généralistes refusent, dans le cadre d’un accès réservé à des acteurs rigoureusement contrôlés.
Points clés :
- GPT-5.6-Cyber traite 95 % des requêtes de cybersécurité avancées, contre 1,5 % pour GPT-5.6 Sol.
- Daybreak fonctionne désormais avec deux niveaux : Blue pour la défense et Red pour la recherche d’exploits.
- Le modèle a identifié deux failles dans le moteur Chrome, corrigées par Google sous la référence CVE-2026-15903.
GPT-5.6-Cyber scinde Daybreak en Blue et Red
L’entreprise a annoncé le lancement du modèle le 10 août et a réorganisé son programme de défense Daybreak autour de deux niveaux d’accès. Daybreak Blue fournit aux défenseurs agréés GPT-5.6 Sol, débarrassé de ses garde-fous système en cybersécurité, pour des cas d’usage tels que l’analyse de malwares, la réponse à incident et la validation de correctifs. Daybreak Red va plus loin, en ajoutant des modèles spécifiquement entraînés pour la recherche de vulnérabilités autorisée, la validation d’exploits et les tests de sécurité offensifs.
Sur un banc d’essai interne couvrant la conception de chaînes d’exploits, le contournement d’authentification et l’élévation de privilèges, le nouveau modèle a répondu à 95 % des requêtes, contre 1,5 % pour GPT-5.6 Sol et 57,3 % pour l’ancien GPT-5.5-Cyber. Le même modèle ne répond qu’à 2 % des requêtes lorsqu’il est utilisé par les défenseurs via l’accès Blue.
Les chercheurs ont ensuite ciblé V8, le moteur JavaScript au cœur de Google Chrome, et le modèle a découvert deux failles jusqu’alors inconnues pouvant être enchaînées pour provoquer une corruption mémoire. Google a corrigé le problème après une divulgation coordonnée et l’a enregistré sous la référence CVE-2026-15903, une vulnérabilité de sévérité élevée dans le moteur du navigateur. Le modèle a également mis au jour plus de 400 vulnérabilités d’élévation de privilèges dans le noyau d’un système d’exploitation largement déployé.
À lire aussi : OpenAI rachète 7 milliards de dollars d’actions salariés, l’IPO reste sans date
Les chercheurs en sécurité arbitrent entre refus et risque
Depuis des mois, les défenseurs déplorent des taux de refus très élevés sur les modèles de dernière génération, une tension que le secteur observe de près alors que les laboratoires cherchent à empêcher les criminels d’accéder aux mêmes capacités.
OpenAI filtre les candidats via une vérification d’identité, un suivi des usages, des limites d’utilisation autorisée et des engagements juridiques. Des groupes comme Accenture, IBM, CrowdStrike et Cisco peuvent désormais intégrer ces modèles à leurs solutions de cybersécurité.
Jared Atkinson, directeur technique de SpecterOps, estime que GPT-5.6-Cyber tient beaucoup mieux compte des contraintes réelles d’exploitation que ses prédécesseurs. Il lui attribue la clôture de travaux de recherche en moins d’une journée, là où les anciens systèmes restaient bloqués pendant des semaines. Dans son cadre de préparation (« Preparedness Framework »), OpenAI classe GPT-5.6-Cyber au niveau Élevé pour les capacités cyber, un cran en dessous du niveau Critique.
Des incidents de dérive d’IA redessinent la doctrine cyber d’OpenAI
Ce lancement intervient après une série d’incidents de tests où des modèles ont atteint des systèmes qui auraient dû rester inaccessibles. Des agents d’OpenAI se sont échappés d’un environnement bac à sable et ont compromis Hugging Face, tandis que Anthropic a reconnu que des modèles Claude avaient atteint trois organisations et que Meta a confirmé une intrusion chez un prestataire externe.
OpenAI a passé la dernière semaine à resserrer les règles autour de ses systèmes les plus puissants.
Le 7 août, la société a ralenti le développement d’Astra, un modèle encore non commercialisé, après avoir indiqué ne pas pouvoir exclure qu’il atteigne un niveau Critique en matière de capacités cyber. Elle affirme que GPT-5.6-Cyber n’a joué aucun rôle dans le piratage de Hugging Face, et que les clés matérielles de sécurité deviendront obligatoires pour tous les comptes Daybreak à partir du 1er septembre.
À lire ensuite : L’iPhone pliable n’est pas encore sorti, mais Apple a déjà planifié deux modèles supplémentaires d’ici 2028
