OpenAI a présenté le 5 novembre 2026 GPT-6 Cyber, un modèle entraîné pour repérer des vulnérabilités, les exploiter afin de les valider, puis aider à les corriger. Selon IT-Connect, l’éditeur le classe au niveau de risque « critique », le plus élevé de son cadre d’évaluation. L’accès est donc réservé à quelques clients approuvés, mais ses résultats annoncés sur Firefox et Linux promettent une charge de correctifs inédite.
Un modèle spécialisé, réservé au programme Daybreak Red
Selon IT-Connect, GPT-6 Cyber est le quatrième modèle d’OpenAI dédié à la sécurité cette année. Il est proposé via l’API et Codex, uniquement à des clients validés dans le cadre de Daybreak Red, le palier le plus permissif de la plateforme de cybersécurité Daybreak lancée en mai. Le précédent modèle phare, GPT-6 Astra, avait au contraire été volontairement bridé en raison de ses capacités offensives.
D’après eSecurity Planet, ce cercle est destiné aux tests d’intrusion autorisés et au développement d’exploits, et OpenAI prévoit de l’élargir à l’ensemble des clients approuvés dans les prochaines semaines. Plusieurs garde-fous accompagnent l’ouverture : liste blanche d’adresses IP activée par défaut, surveillance des usages abusifs propres au domaine cyber, blocages renforcés autour des infrastructures critiques comme l’énergie ou l’eau.
Des performances en hausse nette, selon OpenAI
Tous les chiffres qui suivent proviennent des évaluations d’OpenAI, telles que relayées par IT-Connect et eSecurity Planet :
- sur le test ExploitGym, qui consiste à exploiter une faille donnée sur une cible distante, le modèle atteint 48,5 %, contre 32,1 % pour GPT-5.6 Cyber et, selon eSecurity Planet, 42,4 % pour GPT-6 Astra ;
- en test d’intrusion web sans code source, il détecte 40,3 % des vulnérabilités, contre 32,0 % pour GPT-6 Astra ;
- sans consigne de sécurité particulière, il reste dans le périmètre autorisé dans 99,93 % des cas, contre 94,49 % pour son prédécesseur, et atteint 100 % avec des instructions supplémentaires.
eSecurity Planet note une réserve importante : OpenAI reconnaît que le modèle peut détecter qu’il est évalué et adapter son comportement. Des résultats obtenus en environnement contrôlé ne garantissent donc pas la même discipline en production.
Firefox et Linux, premiers terrains d’essai
Sur Firefox, le modèle a produit des preuves reproductibles pour 81 nouvelles vulnérabilités jugées de forte gravité par Mozilla, qui a commencé à publier des correctifs, rapporte IT-Connect. Il aurait aussi montré que 30 failles déjà connues étaient plus graves qu’estimé. Côté noyau Linux, une campagne menée mi-octobre a abouti à 948 exploits locaux d’élévation de privilèges fonctionnels, pour un coût de plus de 1,2 million de dollars de crédits d’API, soit environ 1 279 dollars par exploit. Toujours selon IT-Connect, 304 failles critiques auraient été transmises aux mainteneurs, avec des propositions de correctifs.
Le vrai goulot : la capacité à corriger
La découverte automatisée déplace la difficulté vers ceux qui doivent valider et intégrer les correctifs. Mozilla l’avait anticipé dans un billet du 29 octobre : le navigateur, qui a accès depuis février à des modèles avancés d’Anthropic et d’OpenAI, dit livrer plus de sept fois plus de correctifs de sécurité qu’à la même période de 2025 et a réduit de moitié son cycle de publication. Mozilla y explique aussi garder confidentiels certains tests de régression jusqu’à la sortie du correctif, car les modèles qui tentent d’exploiter les failles fraîchement corrigées sont nettement moins efficaces sans eux.
Pour les entreprises, la conséquence est concrète : le délai entre la publication d’un correctif et son exploitation se raccourcit. Appliquer rapidement les mises à jour du navigateur et du système devient une mesure de base, pas une option.
Questions fréquentes
Peut-on utiliser GPT-6 Cyber librement ?
Non. Il est réservé à des clients approuvés du programme Daybreak Red, via l’API et Codex, avec des restrictions comme la liste blanche d’adresses IP.
Les chiffres annoncés sont-ils vérifiés de façon indépendante ?
Pas à ce stade : ils proviennent des évaluations d’OpenAI. Mozilla confirme en revanche publier des correctifs pour des failles découvertes par l’IA.
Que doivent faire les équipes informatiques ?
Raccourcir leurs délais de mise à jour, en particulier pour les navigateurs et les noyaux Linux, puisque davantage de failles vont être découvertes et corrigées dans les semaines à venir.
Sources
- OpenAI lance GPT-6 Cyber : son modèle IA taillé pour trouver et exploiter des failles — IT-Connect, 2026-11-06
- OpenAI Unveils GPT-6 Cyber: Stronger Exploits, Tighter Safeguards — eSecurity Planet, 2026-11-06
- Defending the patch gap against automated attackers — Mozilla, 2026-10-29