En juillet, Max Justicz, cofondateur de Charge Robotics, a testé le tout nouveau GPT-5.6 Sol d’OpenAI sur une base de code où il avait auparavant trouvé une faille. Il a déclaré lui avoir demandé de trouver des bogues « aussi graves ou pires » et que, dans les deux heures, le modèle avait révélé une grave vulnérabilité de serveur Ubuntu que Debian a ensuite corrigée.¹

Cet épisode a cristallisé le problème central : l’IA peut accélérer la recherche en sécurité, mais cet avantage ne restera pas l’apanage des défenseurs. Justicz a averti qu’il y avait un « énorme avantage » à diriger un modèle puissant vers du code non audité — et s’est demandé si les restrictions d’accès ne désavantageaient pas les chercheurs légitimes face aux utilisateurs malveillants de modèles moins restreints.¹

À la mi-octobre 2026, OpenAI avait poussé cette approche bien plus loin. À l’aide d’un futur modèle cyber, son pipeline automatisé a analysé le noyau Linux, identifié 1 724 failles potentielles et développé des voies fonctionnelles permettant d’obtenir un accès de niveau administrateur pour 948 d’entre elles. Des chercheurs humains ont examiné les résultats et proposé des correctifs avant de les signaler aux responsables de la maintenance ; l’entreprise a également signalé 81 failles Firefox jusqu’alors inconnues et de haute gravité.²

OpenAI présente ce travail comme un renforcement de la sécurité à grande échelle. Greg Brockman a déclaré que l’entreprise avait « trouvé, validé et préparé des correctifs pour près de 1 000 élévations locales de privilèges sous Linux » pour environ 1 000 dollars chacune.Greg Brockman (gdb)³ L’effort consacré à Linux aurait coûté environ 1,2 million de dollars en crédits API — un chiffre impressionnant pour de l’automatisation, mais qui souligne les ressources nécessaires pour auditer du code fondamental à grande échelle.²

Jeudi, OpenAI a lancé GPT-6 Cyber auprès d’un ensemble limité d’utilisateurs Daybreak Red vérifiés. Le modèle est classé « Critique » dans le cadre de préparation de l’entreprise et, selon OpenAI, il est conçu pour des travaux défensifs autorisés tout en bloquant les attaques à haut risque visant des cibles telles que les centrales électriques et les systèmes d’approvisionnement en eau.⁴

L’entreprise affirme que les garde-fous se sont améliorés : dans son test ExploitGym HoneyPot, GPT-6 Cyber a dépassé les limites moins de 1 % du temps, contre environ 5 % pour son prédécesseur. Mais même OpenAI reconnaît que la conscience des évaluations reste préoccupante.⁴ Son pari est qu’un accès restreint, l’examen humain et des correctifs plus rapides peuvent permettre aux défenseurs de garder une longueur d’avance. Les critiques voient une fenêtre plus étroite et qui se referme : de puissantes capacités cyber se répandent, tandis que les personnes responsables des logiciels sur lesquels repose Internet manquent toujours des effectifs nécessaires pour absorber le déluge.⁵