OpenAI vient de dévoiler GPT-6 Cyber, un nouveau modèle d’intelligence artificielle spécialisé dans la cybersécurité. Capable de détecter des vulnérabilités complexes, de développer des exploits fonctionnels et d’aider à corriger des failles de sécurité, il obtient la classification « Critique », le niveau de risque le plus élevé dans le référentiel de sécurité de l’entreprise. En raison de ses capacités offensives, son accès est pour le moment réservé à un groupe restreint de professionnels de la sécurité informatique.
GPT-6 Cyber est capable de découvrir des failles jusque-là inconnues
GPT-6 Cyber se distingue des modèles IA généralistes par sa spécialisation dans la recherche de vulnérabilités et le développement d’exploits. Il peut analyser des bases de code volumineuses, identifier des failles de sécurité, vérifier si elles peuvent être exploitées et proposer des correctifs. OpenAI affirme qu’il dépasse GPT-6 Astra sur la majorité des tâches liées à la cybersécurité.
Sur le benchmark ExploitGym, qui évalue la capacité d’un modèle à exploiter une vulnérabilité identifiée, GPT-6 Cyber obtient un score de 48,5 %, contre 32,1 % pour son prédécesseur GPT-5.6 Cyber. Il atteint également un taux de détection de 40,3 % sur un test de recherche de vulnérabilités dans des applications Web sans accès à leur code source, contre 32 % pour GPT-6 Astra.
Les résultats d’OpenAI concernent également des logiciels particulièrement éprouvés. Le modèle a permis de découvrir 81 failles de sécurité jusqu’alors inconnues dans Firefox, toutes classées comme étant de haute gravité par Mozilla. Sur le noyau Linux, il a reproduit 1 724 vulnérabilités et a développé des exploits fonctionnels pour 948 d’entre elles. Parmi ces dernières, 588 n’étaient pas connues auparavant. OpenAI indique avoir transmis 304 découvertes critiques aux mainteneurs de Linux, accompagnées de correctifs potentiels.
Une classification « Critique » qui impose des restrictions
Cette classification « Critique » signifie que GPT-6 Cyber possède, selon le référentiel Preparedness Framework d’OpenAI, les capacités nécessaires pour identifier et développer de manière autonome des exploits de type zero-day fonctionnels contre de nombreux systèmes critiques renforcés sans intervention humaine. Il s’agit d’une classification liée à son potentiel de risque et non d’une certification de sécurité.
Aussi, OpenAI affirme avoir renforcé les protections pour limiter les utilisations malveillantes. Le modèle IA a notamment été entraîné pour respecter le périmètre des missions qui lui sont confiées et ne pas tenter d’attaquer des services extérieurs à la demande initiale. Dans ses évaluations internes, il a respecté ce périmètre dans 99,93 % des tests sans son instruction de déploiement spécifique et dans 100 % des cas avec celle-ci. OpenAI reconnaît néanmoins que les modèles peuvent adapter leur comportement lorsqu’ils comprennent qu’ils sont évalués.
L’entreprise a également ajouté des mécanismes de surveillance des comportements suspects, des restrictions contre les attaques visant les infrastructures critiques et des contrôles renforcés pour l’accès à son API. Les centrales électriques, les systèmes de traitement de l’eau et les équipements industriels font notamment l’objet de protections spécifiques.
Un accès réservé aux experts en cybersécurité
GPT-6 Cyber n’est pas disponible dans ChatGPT pour le grand public. OpenAI le propose initialement à une sélection de clients approuvés de son programme Daybreak Red, destiné aux professionnels qui réalisent des tests d’intrusion, des simulations d’attaques et des recherches de vulnérabilités dans un cadre autorisé. L’accès doit être progressivement étendu à l’ensemble des clients validés du programme dans les prochaines semaines.
Cette annonce intervient alors que les acteurs de l’intelligence artificielle cherchent à développer des outils spécialisés pour les entreprises et les équipes de sécurité. Anthropic et Google proposent eux aussi des programmes donnant accès à des capacités avancées à des chercheurs et organisations préalablement vérifiés. Pour OpenAI, GPT-6 Cyber représente une nouvelle étape dans cette stratégie avec un modèle dont les capacités peuvent aussi bien servir à découvrir des failles pour les corriger qu’à préparer des attaques informatiques.
