GPT‑6 Cyber : OpenAI accélère la chasse aux failles, sous accès contrôlé
OpenAI présente un modèle spécialisé dans la recherche de vulnérabilités informatiques. L’entreprise lui attribue la découverte de 81 failles inédites dans Firefox. Ses capacités avancées s’accompagnent d’un accès restreint et de nouvelles exigences de sécurité.
Prêt à lire l’article.
Dans cet article
Trouver une faiblesse dans un logiciel, vérifier qu’elle peut être exploitée, puis proposer une correction : c’est la mission de GPT‑6 Cyber, annoncé par OpenAI le 5 novembre. Le modèle vise les équipes de cybersécurité qui travaillent sur des systèmes qu’elles sont autorisées à tester. L’objectif est de leur donner davantage de moyens pour identifier les problèmes avant leur exploitation malveillante.
Firefox, premier exemple concret
Selon OpenAI, une campagne de recherche menée avec GPT‑6 Cyber a permis d’identifier 81 vulnérabilités jusque-là inconnues dans Firefox, classées de gravité élevée par Mozilla. L’entreprise indique avoir transmis des éléments de preuve, des tests reproductibles et des propositions de correctifs. Elle précise que Mozilla a déjà corrigé une partie des problèmes.
Un bulletin de sécurité de Mozilla, publié le 27 octobre pour Firefox 159, confirme effectivement la correction de plusieurs vulnérabilités signalées par des chercheurs d’OpenAI. Il décrit notamment des erreurs de gestion de la mémoire et des possibilités d’élévation de privilèges, c’est-à-dire d’obtenir des droits normalement interdits. Ce bulletin ne suffit toutefois pas à confirmer, à lui seul, le total de 81 découvertes attribué au modèle. Ce chiffre reste celui communiqué par OpenAI.
Un outil réservé à des utilisateurs approuvés
GPT‑6 Cyber est initialement accessible à certaines organisations du programme Daybreak Red, avec une approbation spécifique pour ce modèle. Être déjà admis à Daybreak Red ne garantit donc pas automatiquement son utilisation.
Ce programme encadre des travaux avancés : tests d’intrusion, recherche de vulnérabilités et démonstration de leur exploitation dans un environnement autorisé. L’accès ne donne aucun droit de tester un système tiers sans permission. OpenAI distingue aussi Daybreak Red de Daybreak Blue, davantage orienté vers l’analyse défensive et la validation de correctifs.
Des capacités classées « Critical »
OpenAI classe GPT‑6 Cyber au niveau « Critical » en cybersécurité dans son propre cadre d’évaluation. Cette qualification concerne les capacités du modèle et les risques associés. Elle ne constitue pas une certification indépendante de fiabilité.
Le défi tient au double usage de ces outils : les connaissances nécessaires pour démontrer une faille peuvent aussi servir à l’attaquer. OpenAI décrit donc des contrôles d’accès renforcés, une surveillance des usages et des protections visant notamment les systèmes critiques. L’entreprise recommande des environnements isolés, des limites explicites sur les cibles et une supervision humaine pour les opérations à haut risque.
Les essais publiés montrent des progrès dans le respect du périmètre autorisé, mais leurs résultats ne garantissent pas l’absence d’erreur en situation réelle.
Le vrai défi : transformer les découvertes en corrections
Les recherches sur Linux illustrent l’ampleur du travail. Dans une campagne distincte présentée par OpenAI, une chaîne automatisée a reproduit 1 724 vulnérabilités et produit des démonstrations d’exploitation pour 948 failles permettant une élévation locale de privilèges. Des correctifs candidats ont été préparés, puis soumis à une revue humaine avant signalement aux responsables du logiciel.
Ces nombres ne signifient pas que 948 correctifs ont déjà été intégrés et déployés. Une découverte doit encore être vérifiée, priorisée, corrigée et distribuée aux utilisateurs.
Pour les équipes de sécurité, l’enjeu dépasse donc le volume de failles détectées. La valeur de cette automatisation dépendra aussi de la capacité à traiter les signalements, à valider les corrections et à réduire le temps pendant lequel les logiciels restent vulnérables.
Sources
Bulletin de sécurité de Mozilla
Conditions du programme Daybreak