Le 5 novembre 2026, OpenAI a présenté GPT-6 Cyber, un modèle de cybersécurité construit autour de deux promesses : trouver les vulnérabilités plus vite, et respecter les règles en le faisant. Sur ExploitGym, il obtient 48,5 %, soit 16,4 points de plus que les 32,1 % de GPT-5.6 Cyber. Plus important encore, sans les invites de sécurité de déploiement, il s'est abstenu d'exploiter des services hors périmètre dans 99,93 % des tests, contre 94,49 % pour GPT-5.6 Cyber.
Derrière les chiffres : pas seulement plus rapide
Les progrès ne se limitent pas au développement d'exploits. Sur un nouveau banc d'essai de tests d'intrusion web, GPT-6 Cyber atteint un rappel de 40,3 % sur les vulnérabilités, devant les 32,0 % de GPT-6 Astra. Sur RemoteExploitBench, qui teste des vulnérabilités connues dans des applications réelles comme GitLab, PostgreSQL et Jenkins, GPT-6 Astra a refusé toutes les tâches en raison de ses limites de sécurité, tandis que GPT-6 Cyber en a accompli 95 %. Le bilan concret est parlant : des chercheurs l'ont utilisé pour reproduire et exploiter 948 failles d'élévation de privilèges du noyau Linux, et pour découvrir 81 vulnérabilités Firefox de haute gravité jusque-là inconnues, dont Mozilla a commencé à corriger la plupart.
Qui y a accès en premier
OpenAI garde l'accès étroit pour commencer : GPT-6 Cyber n'est disponible via l'API et Codex que pour les clients Daybreak Red approuvés, l'accès sera élargi ensuite, tandis que GPT-5.6 Cyber est ouvert à tous les clients Daybreak Red. Les protections se renforcent en parallèle : listes blanches d'adresses IP, blocage de l'assistance cyber à haut risque, traitement privé de la sécurité et un accès dédié aux défenseurs des infrastructures critiques. Dans le Preparedness Framework d'OpenAI, le modèle est classé Critical en cybersécurité, contre High pour GPT-5.6 Cyber.
Des capacités plus fortes signifient aussi un risque d'usage détourné plus grand. OpenAI indique qu'une surveillance ciblée couvrait déjà les tentatives de développement d'exploits pendant la divulgation de vulnérabilités PHP critiques, et que l'assistance à haut risque touchant aux infrastructures critiques sera bloquée. La suite à suivre : le rythme d'élargissement de Daybreak Red, et la question de savoir si cette combinaison — plus de capacités, des rênes plus serrées — fonctionne entre les mains de vraies équipes de sécurité.
