OpenAI lance GPT-6 Cyber, un modèle d’IA dédié à la recherche de failles de sécurité

Avec GPT-6 Cyber, OpenAI décline son modèle GPT-6 Astra pour la recherche en sécurité informatique. Cette variante a reçu un entraînement complémentaire sur des tâches comme l’inspection de bases de code, la reproduction de plantages ou l’écriture de code d’attaque. Elle peut ainsi traiter des demandes de sécurité offensive que le modèle généraliste a tendance à refuser, à condition qu’elles émanent de chercheurs habilités. On fait le point.

Introducing GPT‑6 Cyber: a major advance in security research that pairs stronger capabilities with better model alignment.

The model powered the Linux kernel research we announced yesterday, and security teams at companies like Mozilla, Palo Alto Networks, Calif, and Cisco—alongside our own at OpenAI—are already putting it to work.

GPT-6 Cyber is available to select Daybreak Red customers and we are expanding access over time.

https://t.co/Nzab3Z1Td6

— OpenAI (@OpenAI) November 5, 2026

Des bugs inédits dans des codes déjà passés en revue par l’IA

Les chercheurs en sécurité d’OpenAI ont mobilisé GPT-6 Cyber lors de plusieurs campagnes de recherche de vulnérabilités. Sur Firefox, le modèle a documenté 81 failles inédites, classées en haute gravité par Mozilla, alors que ce code avait déjà été analysé à plusieurs reprises par des modèles d’IA de pointe. Il a aussi montré que 30 problèmes déjà signalés étaient plus graves qu’estimé. Selon OpenAI, Mozilla a commencé à publier des correctifs peu après avoir reçu ces signalements.

Sur le noyau Linux, GPT-6 Cyber a reproduit 1 724 vulnérabilités. Pour 948 d’entre elles, il a conçu une attaque fonctionnelle capable d’obtenir les droits d’administrateur sur la machine ciblée, soit plus de cinq fois le score de GPT-5.6 Sol (166) avec la même méthode de test. La firme américaine indique également avoir transmis 304 découvertes critiques aux développeurs chargés de maintenir le noyau, accompagnées de propositions de correction. Les équipes de sécurité de Cisco, de Calif et de CodeRabbit utilisent déjà le modèle pour détecter des failles et relire du code.

Un agent entraîné à ne pas sortir de sa cible

Les benchmarks publiés par OpenAI montrent une progression par rapport à GPT-5.6 Cyber, la précédente version spécialisée, et à GPT-6 Astra :

• Sur ExploitGym, qui mesure la capacité à exploiter une faille précise sur une cible distante, GPT-6 Cyber atteint 48,5 % de réussite, contre 32,1 % pour GPT-5.6 Cyber,
• Sur RemoteExploitBench, fondé sur des failles connues de GitLab, de PostgreSQL et de Jenkins, il mène à bien 95 % des tâches, que GPT-6 Astra a toutes refusées via Daybreak Blue,
• En pentest web, sans accès au code source, il détecte 40,3 % des vulnérabilités, contre 32 % pour GPT-6 Astra.

Au vu de ces résultats, OpenAI classe le modèle au niveau « critique » en cybersécurité dans son Preparedness Framework, contre « élevé » pour GPT-5.6 Cyber. Pour vérifier qu’il respecte le périmètre fixé par les chercheurs, l’entreprise a conçu ExploitGym Honeypot. Dans ce test, le modèle doit mener une attaque dans un environnement isolé, à proximité de services annexes volontairement vulnérables qu’il n’est pas autorisé à viser. Sans consigne de sécurité, GPT-6 Cyber les a laissés de côté dans 99,93 % des cas, contre 94,49 % pour GPT-5.6 Cyber, et dans 100 % des cas avec les consignes prévues pour son déploiement.

Google et OpenAI misent sur des modèles à accès restreint

Cette sortie intervient une semaine après le lancement de Gemini 4 Carbon, le modèle le plus puissant de Google, lui aussi réservé dans un premier temps à quelques acteurs de la cyberdéfense. De son côté, OpenAI dit vouloir ouvrir largement Daybreak aux organisations de toutes tailles, aux chercheurs indépendants et aux mainteneurs de projets open source. Le programme ne réunit pour l’instant que quelques milliers de professionnels de la cybersécurité, d’après les chiffres communiqués par l’entreprise à TechCrunch.