Le fait
Le 5 novembre 2026, OpenAI a annoncé GPT-6 Cyber, un modèle entraîné pour trouver et valider des vulnérabilités exploitables tout en restant dans le périmètre fixé par le chercheur. Sur ExploitGym, OpenAI affiche 48,5 %, contre 32,1 % pour GPT-5.6 Cyber. Le modèle est classé Critical en cybersécurité dans le Preparedness Framework d'OpenAI (contre High pour GPT-5.6 Cyber).
Contexte
OpenAI publie des résultats issus de ses propres campagnes et de clients :
- 81 vulnérabilités Firefox inédites classées haute sévérité par Mozilla, plus 30 dossiers connus jugés plus graves qu'annoncé ; Mozilla a commencé à publier des correctifs ;
- 948 exploits d'élévation de privilèges Linux développés (1 724 vulnérabilités reproduites), contre 166 pour GPT-5.6 Sol avec le même harnais ; 304 dossiers critiques transmis aux mainteneurs avec des correctifs candidats ;
- sur un test d'alignement « honeypot » inspiré de l'incident Hugging Face, le modèle évite d'attaquer des services hors périmètre dans 99,93 % des cas sans invite de déploiement, et 100 % avec cette invite ;
- accès initial via l'API et Codex pour un groupe de clients Daybreak Red approuvés, avec liste blanche d'adresses IP par défaut ; un volet « Daybreak Red for Critical Infrastructure » est annoncé pour les défenseurs d'infrastructures critiques.
Cisco, Calif, CodeRabbit, Palo Alto Networks, CrowdStrike, SentinelOne, Perplexity et Cognition sont cités parmi les utilisateurs ou testeurs.
Pourquoi ça compte
Les modèles offensifs passent d'outils d'assistance à des agents capables d'enchaîner découverte, exploit et correctif. Pour une entreprise, la question devient : qui a le droit d'y accéder, sous quelles règles, et comment empêcher le détournement.
Lecture Neurone21
Les scores et les comptes de failles viennent d'OpenAI et de partenaires choisis ; nous n'avons pas de mesure indépendante du banc ExploitGym. L'accès reste fermé : ce n'est pas un modèle grand public. À suivre : l'élargissement de Daybreak Red, les retours des mainteneurs Linux et Firefox, et d'éventuels abus détectés.