GPT-6 Cyber : OpenAI livre un modèle Critical qui a trouvé 81 failles Firefox

OpenAI a annoncé jeudi 5 novembre 2026 GPT-6 Cyber, un modèle spécialisé en cybersécurité conçu pour trouver et valider des vulnérabilités exploitables dans le périmètre fixé par les chercheurs. L’entreprise le classe Critical dans son Preparedness Framework, un cran au-dessus du niveau High de GPT-5.6 Cyber.

Dans son billet officiel, OpenAI présente GPT-6 Cyber comme un agent d’audit orienté défense et recherche autorisée. Il s’inscrit dans Daybreak Red, le volet qui autorise un accès plus profond (développement d’exploits et tests de sécurité dans un cadre validé). Daybreak Blue, de son côté, s’adresse aux défenseurs vérifiés avec moins de refus inutiles, tandis que le modèle grand public GPT-6 Astra reste positionné sur la revue de code, le triage et les correctifs. Nous avions déjà détaillé Sol et Luna côté offre générale ; Cyber reste un produit distinct, réservé pour l’instant à un cercle contrôlé.

48,5 % sur ExploitGym, 99,93 % dans le périmètre

Sur ExploitGym, qui mesure la capacité à exploiter une vulnérabilité désignée sur une cible distante, GPT-6 Cyber obtient 48,5 %, contre 32,1 % pour GPT-5.6 Cyber. OpenAI annonce un gain relatif de 51 %, soit environ 16 points. Sur un test de pentest web sans accès au code source, le recall atteint 40,3 %, contre 32,0 % pour GPT-6 Astra.

Sur RemoteExploitBench (vulnérabilités connues de GitLab, PostgreSQL et Jenkins en environnement contrôlé), Cyber complète 95 % des tâches. Astra sous Daybreak Blue refuse 100 % de ces demandes. L’alignement hors périmètre a aussi progressé : sur ExploitGym Honeypot, Cyber évite d’attaquer des services hors scope dans 99,93 % des cas sans prompt de déploiement, et 100 % avec ce prompt, contre 94,49 % pour GPT-5.6 Cyber.

81 failles Firefox, 948 exploits Linux

Les chiffres d’impact réel sont ceux qu’OpenAI met en avant. Ses chercheurs ont utilisé GPT-6 Cyber pour reproduire 1 724 vulnérabilités du noyau Linux et développer 948 exploits d’élévation de privilèges, contre 166 pour GPT-5.6 Sol avec le même harnais. 304 findings critiques ont été transmis aux mainteneurs avec des patches candidats.

Sur Firefox, le modèle a produit des preuves et des tests reproductibles pour 81 vulnérabilités inédites classées high severity par Mozilla, plus 30 mises à niveau de sévérité sur des bugs déjà connus. Des patches candidats ont été fournis ; Mozilla a commencé à intégrer des correctifs, selon OpenAI. Brian Grinstead, Distinguished Engineer côté Firefox, confirme dans le billet que le modèle a mis au jour des failles high severity après plusieurs générations de modèles frontière.

Parmi les clients cités pour de la recherche vulnérabilités ou de la revue de code : Cisco, Calif, CodeRabbit, Palo Alto Networks, CrowdStrike, SentinelOne, Perplexity et Cognition. OpenAI dit aussi s’en être servi pour durcir sa propre infrastructure d’entraînement.

Daybreak Red, pas encore grand public

GPT-6 Cyber est d’abord disponible via l’API et Codex pour un groupe sélectionné de clients Daybreak Red, avec élargissement progressif. GPT-5.6 Cyber est en parallèle ouvert à tous les Daybreak Red. L’accès API Daybreak Red impose par défaut un allowlisting d’adresses IP. OpenAI rappelle aussi son programme Daybreak for Frontline Defenders (1 milliard de dollars) et crée un sous-groupe Daybreak Red for Critical Infrastructure pour les défenseurs d’infrastructures critiques approuvés.

Aucun tarif token séparé pour Cyber n’est publié dans l’annonce. L’angle retenu par OpenAI reste celui de la recherche autorisée et de la défense : le billet insiste sur le monitoring des usages hors mandat, le Private Safety Processing et les garde-fous autour des systèmes industriels. Pas de procédure d’attaque ici, uniquement le cadre et les résultats chiffrés communiqués par l’éditeur.

Sources : OpenAI (5 novembre 2026), déclaration Brian Grinstead (Mozilla/Firefox) reprise dans le billet.

Ajouter Geek Actu à mes sources préférées sur Google