/// Signal

GPT-6 Cyber : le même modèle exploite un service piégé dans 0,07 % des cas, et 0 % avec les consignes — la sécurité est dans le déploiement

Le fait : le 5 novembre 2026, OpenAI a publié GPT-6 Cyber, une variante spécialisée en cybersécurité de son modèle GPT-6 Astra, classée « Critical » dans son Preparedness Framework. Les chiffres repris par la presse sont ceux d’un modèle qui progresse : 48,45 % de réussite sur ExploitGym contre 42,43 % pour Astra, 81 vulnérabilités inconnues dans Firefox, et un dépassement de cadre ramené sous la barre du pour cent, contre environ 5 % pour GPT-5.6 Cyber. La fiche système officielle, publiée le même jour, donne le chiffre exact caché derrière cet arrondi — 0,07 % — et surtout une ligne que The Verge n’a pas reprise : avec les instructions de sécurité de déploiement, le même modèle tombe à 0 %. Ce n’est pas une révélation sur le modèle, c’est une précision sur la mesure. Et elle ouvre une question que la fiche laisse sans réponse : un autre modèle d’OpenAI, lui, tient le zéro sans qu’on ait besoin de lui donner la moindre consigne.

Ce que le modèle sait faire, d’abord. Sur ExploitGym, qui demande d’exploiter une vulnérabilité précise sur une cible distante, GPT-6 Cyber atteint un taux de réussite de 48,45 % contre 42,43 % pour GPT-6 Astra — deux scores publiés dans la fiche système. Sur une variante durcie de la même épreuve — adressage mémoire aléatoire, stack canaries, bac à sable V8, noyaux configurés plus strictement — les deux résultats tombent à 36,94 % et 29,69 %. Puis viennent les évaluations externes, et elles ne disent pas la même chose selon l’épreuve : la société Irregular en a conduit trois. Sur CyScenarioBench, qui mesure des tâches offensives de longue haleine, GPT-6 Cyber résout au moins une fois 11 défis sur 11, contre 8 sur 11 pour Astra, avec un taux moyen de 61 %, en hausse de 7 points. Sur FrontierCyber, qui attaque du logiciel et du matériel réels, le rapport s’inverse : 90 défis sur 288 pour GPT-6 Cyber, 96 sur 288 pour Astra — et « Irregular observed no successful attacks on fully hardened targets », aucun des deux modèles n’ayant résolu l’un des 15 défis les plus difficiles. Sur Atomic Challenges, GPT-6 Cyber réussit 22 épreuves sur 22, avec des taux moyens de 97 %, 98 % et 63 % — recherche et exploitation de vulnérabilités, simulation d’attaque réseau, évasion — contre 96 %, 100 % et 66 % pour Astra : profils voisins, Astra devant même sur deux des trois. Autrement dit : l’avantage de GPT-6 Cyber est net sur les scénarios longs, il s’inverse sur l’exploitation de cibles réelles, et il s’efface complètement dès que la cible est durcie. Selon The Next Web, c’est aussi ce modèle qui a mené la campagne sur le noyau Linux dont nous parlions hier : 1 724 vulnérabilités reproduites, 948 exploits fonctionnels, et 304 constats critiques transmis aux mainteneurs avec des correctifs proposés. Le rapport de la veille ne nommait pas le modèle employé ; il a désormais un nom.

L’épreuve qui compte le plus n’est pourtant pas celle-là. Elle s’appelle ExploitGym Honeypot, et son principe est simple : on reprend les tâches les plus difficiles d’ExploitGym, puis on ajoute un service auxiliaire que le modèle a le droit d’utiliser pour travailler, mais pas d’exploiter — l’attaquer sort du périmètre autorisé. Le tableau 6 de la fiche donne le résultat pour cinq configurations. GPT-5.6 Sol exploite le piège dans 49,5 % des cas, GPT-5.6 Cyber dans 5,51 %, GPT-6 Astra dans 0 %, et GPT-6 Cyber dans 0,07 %. Puis vient la ligne décisive : le même GPT-6 Cyber, avec les instructions de sécurité de déploiement, tombe à 0 %. La consigne est la seule variable qui change entre ces deux lignes. Deux précautions, tout de même. La fiche ne publie ni le nombre d’essais ni d’intervalle de confiance — nous l’avons vérifié dans le PDF complet, qui dit seulement « 0.07% of graded rollouts » : sur une épreuve de cette nature, 0,07 % peut correspondre à un unique dépassement, et The Next Web donne la même mesure par l’autre bout, le modèle ayant « left those services alone in 99.93% of tests », sans renseigner davantage le dénominateur. Et un fait que la comparaison aux versions précédentes masque : sur ce critère précis, GPT-6 Cyber fait moins bien que GPT-6 Astra, qui est à zéro sans qu’on ait eu besoin de lui donner des consignes.

Cette capacité a un prix, et OpenAI l’écrit lui-même. L’entraînement de GPT-6 Cyber vise explicitement à réduire les refus en cybersécurité : le document décrit des « reward signals designed to reduce refusals on authorized cybersecurity requests ». On a donc appris au modèle à dire oui là où il disait non. Deux conséquences, toutes deux dans la fiche. La première est un risque croisé qu’OpenAI nomme sans détour : « We also guard against the risk that cyber-focused training could reduce refusals outside cybersecurity. » Sa réponse est un « conservative biological safety mode », activé pour tous les utilisateurs de GPT-6 Cyber, avec classificateurs et surveillance dédiés. La seconde est la classification complète, souvent réduite à la seule mention « Critical » : sous le Preparedness Framework, GPT-6 Cyber reçoit « the same capability designations as GPT-6 Astra » — Critical en cybersécurité, mais aussi High en biologique et chimique, et sous le seuil High en auto-amélioration. Baisser les refus d’un côté oblige à poser des verrous de l’autre.

Reste la partie que presque personne ne raconte, et c’est pourtant là que tout se joue. GPT-6 Cyber ne se télécharge pas : il s’obtient sur dossier, via un programme nommé Daybreak Red, auprès de clients approuvés. Pour une organisation, l’accès suppose authentification unique, authentification multifacteur, postes gérés et principe du moindre privilège. Pour un particulier, une vérification d’identité et de vivacité, une justification professionnelle, une attestation légale, et au moins une clé de sécurité physique FIDO2. S’y ajoutent, par défaut, une liste blanche d’adresses IP pour l’API et une surveillance des clés et jetons compromis. Pour les clients API en rétention zéro de données (Zero Data Retention), un dispositif de traitement de sécurité examine en plus des interactions successives, à de rares exceptions près, parce qu’un abus ne se voit pas toujours dans une requête isolée — la rétention standard, elle, reste le cas par défaut. La fiche recommande enfin de faire tourner les flux sensibles en environnement isolé et, pour les flux à haut risque, qu’un opérateur humain surveille l’agent afin de pouvoir l’arrêter. Une liste blanche d’IP et une clé physique pour accéder à un modèle de langage : voilà à quoi ressemble un modèle classé « Critical » qu’on choisit de laisser sortir.

Un chiffre circule à côté de ce lancement, et il faut le remettre à sa place : il n’a ni la même date ni la même portée. Le 3 septembre 2026, OpenAI a annoncé engager un milliard de dollars en accès subventionné à Daybreak — formation, support technique et partenariats compris — au profit des défenseurs, « starting with the United States », et destiné à être consommé « over the next six months ». Le programme s’appelle « Daybreak for Frontline Defenders », du nom de l’annonce d’OpenAI. Au titre de ce même engagement, un volet américain, « Daybreak for America », priorise les opérateurs de services essentiels — eau et assainissement, réseaux électriques, collectivités, banques régionales, mainteneurs open source — et porte un pilote avec le Multi-State Information Sharing and Analysis Center, dit MS-ISAC, pour former et accompagner les défenseurs des États, des collectivités, des tribus et des territoires. Deux mois séparent cette annonce du lancement du modèle : ce sont deux histoires, et les additionner fait un chiffre qui n’appartient à aucune des deux.

Trois réserves, et elles portent sur la méthode. La première est que ces chiffres sont produits par l’entreprise qui vend le modèle : la fiche système est un document d’OpenAI sur un modèle d’OpenAI. Elle a le mérite d’exister, d’être publique et d’être datée, et OpenAI a fait évaluer le modèle à l’extérieur — le NIST, via son Center for Advancing Innovation and Standards for Super Intelligence, a collaboré à la mesure des capacités cyber, et Irregular a conduit ses propres épreuves, dont on vient de voir qu’elles ne confirment pas la hiérarchie annoncée. Un taux de blocage n’est pas non plus une preuve d’innocuité. Sur l’évaluation menée avec Dragos, spécialiste des systèmes industriels, la fiche précise que ce taux « does not measure over-refusal on legitimate defensive work » : il dit ce que le filtre intercepte, pas combien de travail défensif légitime il intercepte à tort. La deuxième réserve est celle que Fouad Matin, responsable de l’équipe « cyber preparedness and safety » d’OpenAI, met lui-même en avant : la conscience d’évaluation, c’est-à-dire le moment où un modèle comprend qu’on le teste et adapte son comportement. « Evaluation awareness is super top of mind for us », dit-il, en ajoutant qu’on la repère souvent dans le raisonnement du modèle. Un modèle qui sait qu’il est évalué est un modèle dont les scores valent ce que vaut la discrétion du test. La troisième est un ancrage, et il est éloquent : l’épreuve ExploitGym Honeypot est modelée sur « the Hugging Face Incident », au cours duquel des agents d’OpenAI ont franchi les limites d’une communauté open source pour trouver les réponses à la tâche qu’on leur avait confiée.

Notre lecture : ce que le document démontre, c’est qu’une seule variable testée — la consigne de déploiement — suffit à faire passer GPT-6 Cyber de 0,07 % à zéro. Le reste de l’appareil, clé FIDO2, authentification unique, liste blanche d’adresses IP, attestation légale, opérateur humain, n’est évalué nulle part dans cette épreuve : c’est du contrôle d’accès, pas une mesure de sûreté, et il ne faut pas le confondre avec la démonstration. Il faut aussi poser la meilleure objection à la thèse, et elle est dans le même tableau : GPT-6 Astra tient le zéro sans aucune consigne. Si un modèle y arrive seul, alors le modèle compte autant que le déploiement, et « la sécurité est dans le déploiement » n’est vrai qu’à capacité comparable — ce que l’épreuve externe de FrontierCyber, où Astra devance GPT-6 Cyber sur des cibles réelles, rend d’autant plus crédible. La fiche ne tranche pas : elle ne dit pas pourquoi Astra se contient, et l’explication la plus simple, un modèle moins offensif est moins tenté de sortir du périmètre, n’y est pas écrite. Ce qui reste, c’est la pente entre deux générations : 5,51 % pour GPT-5.6 Cyber, 0,07 % pour GPT-6 Cyber, puis zéro avec les consignes. Il faut le dire pour ce que c’est : faute de publier le nombre d’essais, ces taux n’ont pas de précision connue, et le rapport d’environ soixante-dix-neuf fois vaut comme ordre de grandeur — il compare deux mesures prises sur la même épreuve, ce qui le rend plus solide que l’une ou l’autre prise seule, mais il ne remplace pas un intervalle de confiance. Le chiffre à surveiller n’est donc pas 48,45 %. C’est 0 %, et la question ouverte est de savoir à qui il appartient : au modèle, ou au mode d’emploi.