OpenAI dévoile GPT-6 Cyber : des centaines de failles Linux exploitables, mais un accès réservé aux chercheurs agréés

GPT-6 Cyber étend la recherche automatisée de failles, avec des résultats annoncés sur Linux et Firefox. OpenAI réserve d’abord ce modèle aux spécialistes agréés et le classe au niveau de risque « critique » en cybersécurité.

Par Antoine Lemaire · 06/11/2026 à 12h32

Une recherche qui va au-delà du signalement de code suspect

OpenAI a présenté GPT-6 Cyber comme un modèle spécialisé dans la cybersécurité. Sa mission ne s’arrête pas au repérage d’une erreur possible : il doit aussi déterminer si elle peut être exploitée et suggérer une réparation. Ce changement compte pour les équipes de sécurité, car une anomalie dans du code et une faille permettant une attaque ne représentent pas le même degré d’urgence.

Les résultats annoncés illustrent surtout un changement d’échelle. Sur ExploitGym, le modèle atteint 48,5 % de réussite, contre 32,1 % pour GPT-5.6 Cyber. Ce score mesure une progression dans cet environnement d’évaluation ; les campagnes sur Linux et Firefox montrent, elles, ce que cette capacité peut produire sur des logiciels effectivement utilisés.

Sur Linux, 948 vulnérabilités permettant de devenir administrateur

Pour sa campagne menée en octobre, OpenAI indique avoir ciblé environ 7 % du code du noyau Linux, choisi parce qu’il était accessible à un utilisateur sans privilèges. L’entreprise annonce 1 724 failles reproductibles, puis des programmes d’attaque fonctionnels correspondant à 948 vulnérabilités. Ces chiffres décrivent donc des résultats distincts : reproduire un défaut ne suffit pas à démontrer qu’il permet une attaque.

Les 948 vulnérabilités concernées permettraient à un utilisateur local non privilégié d’obtenir les droits root, c’est-à-dire les pouvoirs d’administration du système. Elles ne permettent pas, à elles seules, de compromettre à distance un ordinateur Linux. Pour les exploiter, un attaquant doit déjà être en mesure d’exécuter du code sur la machine. Le risque porte donc sur le passage d’un accès limité à un contrôle beaucoup plus étendu.

La différence entre démonstration et correction reste essentielle. OpenAI affirme avoir transmis 304 failles critiques aux responsables de Linux, accompagnées de propositions de réparation. Un correctif soumis doit encore être examiné : sa transmission ne signifie pas qu’il est déjà intégré au logiciel. Pour les équipes chargées de Linux, le volume de découvertes s’accompagne ainsi d’un travail de validation et de traitement.

Firefox : des découvertes, mais aussi des risques réévalués

La campagne sur Firefox a abouti, selon OpenAI, à 81 vulnérabilités jusque-là inconnues. Mozilla les a classées dans la catégorie de haute gravité. L’entreprise a reçu les résultats ainsi que des correctifs proposés. Le modèle ne se limite donc pas au noyau Linux : ses capacités ont également été appliquées à un navigateur.

GPT-6 Cyber a aussi montré que 30 failles déjà identifiées étaient plus graves qu’annoncé. C’est un autre apport de cette recherche : elle ne sert pas seulement à allonger la liste des défauts connus, mais peut modifier l’ordre des priorités. Une vulnérabilité déjà répertoriée peut nécessiter davantage d’attention si ses conséquences possibles ont été sous-estimées.

Un accès initial réservé aux tests autorisés

GPT-6 Cyber n’est pas proposé d’emblée à tous les utilisateurs. Son accès initial est réservé à un cercle de clients agréés de Daybreak Red, par l’API et Codex. Ce dispositif vise des chercheurs en sécurité habilités à réaliser des tests d’intrusion autorisés. Pour vous, l’annonce ne correspond donc pas à l’arrivée d’un outil librement accessible pour examiner n’importe quel système.

OpenAI indique que Cisco, Calif et CodeRabbit utilisent déjà le modèle. L’entreprise prépare également un sous-groupe, Daybreak Red for Critical Infrastructure, consacré aux infrastructures critiques. Le déploiement annoncé distingue ainsi les usages professionnels autorisés d’une ouverture générale.

Le niveau « critique » souligne le double usage du modèle

OpenAI classe GPT-6 Cyber au niveau de risque « critique » en cybersécurité. Cette qualification concerne le modèle, et non une gravité identique pour toutes les failles découvertes. Ses capacités peuvent aider à réparer des logiciels, mais produire une attaque fonctionnelle constitue aussi une capacité sensible : les mêmes résultats techniques peuvent servir à la défense ou à une exploitation malveillante.

La puissance annoncée ne dispense donc pas de contrôler les résultats. Lors d’un premier essai sur Linux, 20 programmes parmi 200 comptés comme réussis avaient obtenu les droits root en utilisant une autre faille que celle recherchée. L’attaque fonctionnait, mais son succès ne validait pas l’explication initiale. OpenAI recommande un environnement isolé, un examen des actions et une supervision humaine pour les usages à risque.