948 vulnérabilités d'escalade de privilèges dans Linux. 81 failles critiques inconnues dans Firefox. Ce n'est pas le bilan d'une équipe de hackers chevronnés, mais celui d'un modèle d'IA lancé il y a quelques jours à peine. OpenAI a officiellement présenté GPT-6 Cyber, son nouveau modèle dédié à la cybersécurité, dans un billet de blog publié jeudi. Et les chiffres avancés donnent le vertige.
Un bond de 51 % sur le benchmark de référence
Par rapport à son prédécesseur direct, GPT-5.6 Cyber, le nouveau modèle affiche une amélioration de 51 % sur l'ExploitGym, le benchmark de référence dans le domaine de la sécurité offensive. Ce n'est pas un chiffre anodin : ExploitGym simule des scénarios d'exploitation réels, ce qui rend la progression d'autant plus parlante.
Ce qui frappe surtout, c'est la nature des cibles. Linux et Firefox ne sont pas des projets marginaux : ils alimentent des serveurs, des terminaux industriels, des systèmes embarqués. Les 81 failles de haute sévérité détectées dans Firefox sont d'autant plus troublantes qu'elles ont survécu à des tests préalables avec d'autres modèles de pointe (ce qui dit beaucoup sur l'état réel de la sécurité logicielle, au passage).
À lire aussi : Airbnb développe un agent IA qui conçoit sa propre interface
D'ailleurs, le fait qu'OpenAI insiste sur la validation de ces exploits, et pas seulement leur détection, change tout. Trouver une faille potentielle, c'est une chose. La valider comme exploitable, c'est passer du rapport d'audit à l'arme fonctionnelle. De quoi faire réfléchir sur ce que signifie mettre un tel outil entre les mains du grand public.
Daybreak : l'accès sous contrôle (pour l'instant)
OpenAI n'est pas sans conscience du problème. GPT-6 Cyber n'est pas disponible sur ChatGPT ou via l'API classique : il est intégré au programme Daybreak, réservé à des individus et organisations vérifiés. Ce programme se divise en deux niveaux.
- Daybreak Blue : orienté défense, pour les équipes qui veulent auditer leurs propres systèmes.
- Daybreak Red : pour la recherche en sécurité avancée et les tests de pénétration, là où GPT-6 Cyber opère.
Initialement, seul un « groupe sélectionné » de clients Daybreak Red approuvés y a accès. OpenAI promet d'élargir progressivement cet accès, avec l'ambition affichée d'atteindre « les organisations de toute taille, les chercheurs indépendants et les mainteneurs open source ». En somme, une démocratisation annoncée, mais prudemment différée.
À lire aussi : Cadeaux tech à moins de 30 € qui ne font vraiment pas cheap
Attention cela dit : élargir l'accès à un outil capable de générer des exploits fonctionnels dans des logiciels utilisés par des centaines de millions de personnes n'est pas une décision anodine, quelle que soit la bonne volonté affichée. La vérification des utilisateurs sera la clé, et on sait à quel point ce genre de processus peut se révéler poreux une fois mis à l'échelle.
Reste à voir si OpenAI parviendra à tenir sa promesse de rendre GPT-6 Cyber accessible aux chercheurs indépendants sans ouvrir une boîte de Pandore dont les conséquences dépasseraient largement les gains en sécurité défensive.
Soyez le premier à réagir.