OpenAI a construit un modèle qui écrit des exploits et l'a transmis à une courte liste d'entreprises

Trois jours après avoir averti que son prochain modèle pourrait atteindre le niveau de cyber-risque le plus élevé qu’il a défini, OpenAI a quand même expédié un modèle de cybersécurité à une liste contrôlée de partenaires. GPT-5.6-Cyber ​​est disponible via un nouveau niveau appelé Daybreak Red, et il est conçu pour faire ce que tous les autres modèles refusent : trouver des vulnérabilités inconnues et les transformer en exploits fonctionnels.

Le programme d’accès comporte désormais deux niveaux. Daybreak Blue offre aux défenseurs agréés le modèle frontière normal, GPT-5.6 Sol, avec les filtres de sécurité habituels assouplis pour les travaux de sécurité légitimes tels que l’analyse des logiciels malveillants, la réponse aux incidents et la révision du code. Daybreak Red ajoute les modèles spécialement formés. La différence est flagrante dans les chiffres d’OpenAI : lors d’un test interne de requêtes avancées couvrant les chaînes d’exploitation, le contournement d’authentification et l’élévation de privilèges, GPT-5.6-Cyber ​​obtient un score de 95,0 %, contre 1,5 % pour le modèle standard et 2,0 % pour Daybreak Blue. Le modèle cyber précédent en gérait 57,3 pour cent.

Ce n’est pas théorique. OpenAI a utilisé le modèle sur V8, le moteur JavaScript de Chrome, et a trouvé deux failles jusqu’alors inconnues qui s’enchaînent pour corrompre la mémoire et sortir du sandbox du moteur. Les chercheurs les ont vérifiés, les ont signalés à Google et Google a envoyé un correctif sous le nom de CVE-2026-15903. La société répertorie également au moins cinq vulnérabilités dans un système d’exploitation mobile populaire, trois vulnérabilités critiques dans une base de données largement utilisée et plus de 400 bogues d’élévation de privilèges dans le noyau d’un système d’exploitation, tous encore divulgués. Dans le cadre du Preparedness Framework d’OpenAI, le modèle obtient une note élevée pour la cybercapacité, en dessous du seuil critique, bien qu’une carte système complète soit encore à venir.

La raison derrière cela est une course, et OpenAI le dit clairement : les attaquants utiliseront l’IA pour des attaques automatisées, les défenseurs ont donc besoin en premier de la même puissance de feu. Cet argument est véritablement contesté. Tout ce qui trouve une faille plus rapidement l’ouvre aussi plus rapidement, et les garanties ici sont procédurales plutôt que techniques : contrôles d’identité, surveillance, attestations légales, restrictions d’utilisation approuvées et clés de sécurité matérielles obligatoires pour les comptes individuels à partir du 1er septembre. OpenAI incite également les clients de Daybreak utilisant Codex à passer du mode d’accès complet à la révision automatique, qui vérifie les actions à risque avant leur exécution. Les premiers partenaires incluent SpecterOps, SentinelOne et Palo Alto Networks.

Ce que cela signifie pour vous: vous ne pouvez rien utiliser, et c’est délibéré. Vous ne pouvez pas obtenir ce modèle et aucun chatbot grand public ne vous aidera à écrire un exploit. Ce qui mérite d’être remarqué est de seconde main : si cela fonctionne comme annoncé, le logiciel que vous exécutez déjà est corrigé plus rapidement, car une machine lit désormais le code du noyau pour détecter les bogues à un rythme qu’aucune équipe humaine ne peut égaler. Le revers de la médaille est que la même capacité s’échappe au fil du temps, via des modèles open weight ou via un partenaire aux contrôles faibles. Si vous vous occupez des systèmes au travail, l’action pratique d’aujourd’hui est peu glamour et ancienne : appliquer des correctifs rapidement, car le délai entre la découverte d’un bug et son exploitation est de plus en plus court.

Sources

-OpenAI : étendre Daybreak à mesure que la fenêtre de cyberdéfense se rétrécit -OpenAI : Mettre les cybermodèles frontières entre des mains plus fiables

• Le Décodeur : OpenAI lance GPT-5.6-Cyber
• Infosecurity Magazine sur le programme à deux vitesses