OpenAI lance GPT-6 Cyber, son premier modèle jugé « critique »

Des centaines de failles dans Firefox et Linux

Ses chercheurs affirment avoir découvert 81 vulnérabilités inconnues dans Firefox, toutes jugées de gravité élevée par Mozilla. Le navigateur avait pourtant déjà été examiné par plusieurs générations d'IA spécialisées, dont Claude Mythos. « Firefox est entré en 2026 comme l'une des bases de code les plus renforcées et les plus scrutées au monde », souligne Brian Grinstead, ingénieur chez Mozilla, cité par OpenAI.

Sur Linux, l'entreprise a mis au point 948 tactiques d'exploitation permettant à un simple utilisateur de prendre le contrôle total d'un système, soit plus de cinq fois les 166 trouvées par GPT-5.6 lors du même test trois mois plus tôt. L'opération a coûté environ 1,2 million de dollars de calcul.

Avant l'annonce, le spécialiste de la sécurité industrielle Dragos a testé le modèle sur une fausse centrale électrique : presque sans instructions, il y a trouvé deux failles inconnues. Pour Rob T. Lee, directeur de l'IA chez Dragos, le niveau de compétence requis pour la reconnaissance et la recherche de vulnérabilités précédant une attaque diminue.

Plus docile, mais des doutes persistent

OpenAI assure que le modèle respecte mieux les règles. Lors d'un test dédié, GPT-6 Cyber s'est abstenu de s'attaquer à des services hors de sa mission dans 99,93 % des cas, contre 94,49 % pour son prédécesseur. L'entreprise garde en tête l'incident de cet été, qui a abouti au piratage de la plateforme Hugging Face. « Plus de 99 % du temps, il fait ce que vous lui demandez », résume Fouad Matin, responsable de la sécurité chez OpenAI.

Tous les experts ne sont pas rassurés : Chris Hughes, de Noma Security, rappelle qu'à cette échelle, même une petite fraction représente des actions contre des systèmes non autorisés.

Pour OpenAI, la sécurité est une course contre la montre : la société estime disposer d'une fenêtre limitée pour utiliser les modèles de pointe afin de sécuriser les logiciels avant que des acteurs malveillants n'exploitent la même technologie.