OpenAI lance GPT-5.6-Cyber, avec moins de refus et 95% de réussite sur des tâches de cybersécurité avancées
OpenAI a lancé aujourd'hui GPT-5.6-Cyber, un modèle spécialisé conçu pour la recherche avancée de vulnérabilités et le développement d'exploits, destiné aux équipes de défense agréées. Il s'agit d'une version affinée de GPT-5.6 Sol, le modèle généraliste le plus avancé d'OpenAI dévoilé en juin dernier, mais entraînée spécifiquement pour améliorer les performances sur des tâches de cybersécurité complexes comme la découverte de failles zero-day ou la construction de chaînes d'exploitation. Sur un benchmark interne baptisé Advanced Cybersecurity Completion Rate, qui évalue des scénarios impliquant contournement d'authentification et élévation de privilèges, GPT-5.6-Cyber atteint un taux de réussite de 95 %, contre seulement 57,3 % pour son prédécesseur GPT-5.5-Cyber et à peine 1,5 % pour le modèle standard GPT-5.6 Sol muni de ses garde-fous habituels. Le chercheur d'OpenAI Eric Wallace a décrit ce lancement comme la première tentative à grande échelle de l'entreprise d'améliorer directement les capacités offensives et défensives en cybersécurité. L'accès reste toutefois restreint au nouveau niveau Daybreak Red du programme Daybreak, également annoncé aujourd'hui, avec une tarification de 12,50 dollars par million de tokens en entrée et 75 dollars par million en sortie, plus cher que GPT-5.6 Sol facturé 5 et 30 dollars respectivement.
Résumé et traduction réalisés par Le Fil IA à partir de VentureBeat AI. Lire l'article original →
Cette réduction volontaire des refus sur des requêtes dites à double usage marque un tournant pour l'industrie de la cybersécurité. En allégeant les restrictions qui bloquaient auparavant certaines demandes jugées trop risquées, OpenAI donne aux équipes de sécurité autorisées, testeurs d'intrusion et équipes rouges, un outil capable d'accélérer la recherche de vulnérabilités et la validation d'exploits sur des systèmes qu'elles possèdent ou sont mandatées à tester. Pour les entreprises, cela signifie potentiellement une détection plus rapide des failles critiques avant qu'elles ne soient exploitées par des acteurs malveillants. Mais cette même puissance soulève des inquiétudes sur les risques de détournement si un tel modèle tombait entre de mauvaises mains, ce qui explique le contrôle d'accès strict mis en place.
Pour limiter ces risques, OpenAI a bâti tout un dispositif de vérification autour de Daybreak Red. Les organisations candidates doivent postuler via Daybreak Access en précisant leur identité, la nature de leurs travaux de sécurité, et confirmer que leurs activités sont légales, défensives et autorisées. OpenAI exige aussi des garanties concrètes de maturité en sécurité interne, authentification unique, authentification multifacteur, contrôle d'accès par rôle, journalisation des usages, gestion des clés API et processus documenté de réponse aux incidents, ainsi qu'une certification reconnue comme SOC 2 Type II ou ISO 27001. Un second niveau, Daybreak Blue, ouvre un accès plus large aux modèles généralistes comme GPT-5.6 Sol avec certaines protections assouplies pour des usages de cybersécurité moins sensibles. Cette architecture à deux vitesses illustre la tentative d'OpenAI de concilier avancée des capacités offensives et prévention des abus, dans un contexte où la course entre intelligence artificielle défensive et offensive s'intensifie.
Pas d'impact direct sur la France/UE
Le "moins de refus" est le vrai signal ici, pas le score de 95%. OpenAI admet en creux que ses garde-fous bloquaient aussi des usages légitimes de red team, et corrige le tir avec un système de vérification d'identité plutôt qu'avec de la censure du modèle. Reste que ça coûte 2,5x plus cher que Sol standard, donc pour l'instant c'est réservé aux boîtes qui ont déjà les moyens de se payer une vraie équipe sécurité, pas à celles qui en auraient le plus besoin.