OpenAI a dévoilé un nouveau modèle de cybersécurité baptisé GPT-5.6-Cyber permissif. L’objectif annoncé : soutenir la recherche de vulnérabilités, les tests d’intrusion et la réponse à incident, notamment en réduisant certains blocages liés à des tâches “dual-use” plus sensibles.
Concrètement, le système s’appuie sur GPT-5.6 Sol tout en étant entraîné pour améliorer des capacités ciblées. OpenAI indique aussi l’existence d’un cadre d’évaluation interne destiné à mesurer à quelle fréquence le modèle accepte de répondre à des scénarios avancés liés au développement de chaînes d’exploitation.
Un modèle pensé pour la recherche et la validation d’exploits
GPT-5.6-Cyber est présenté comme une variante plus permissive de GPT-5.6 Sol. Selon l’entreprise, l’entraînement vise à renforcer plusieurs compétences de cybersécurité, comme la découverte de vulnérabilités de type zero-day et la génération de chaînes d’exploitation.
OpenAI souligne également une autre dimension : réduire les refus sur certaines requêtes à haut risque, tout en encadrant l’accès via un dispositif d’offres dédiées. Dans cette optique, le modèle est conçu pour contribuer à des activités telles que la validation d’exploits et les tests de sécurité dans un cadre autorisé.
Moins de refus mesurés via un test interne
Pour quantifier la baisse du taux de refus, OpenAI a mis en place une évaluation interne appelée Advanced Cybersecurity Completion Rate. Le principe consiste à mesurer la fréquence de réussite du modèle sur des prompts liés à :
- le développement de chaînes d’exploitation ;
- le contournement d’authentification ;
- l’élévation de privilèges ;
- et d’autres scénarios avancés de cybersécurité.
D’après les résultats communiqués, GPT-5.6-Cyber clôt 95,0% de ces demandes, contre 1,5% pour GPT-5.6 Sol et 2,0% lorsque ce dernier est utilisé avec l’accès Daybreak Blue. OpenAI indique aussi que GPT-5.6-Cyber surpasse GPT-5.5 Cyber, qui atteignait 57,3%.
Daybreak Red : l’accès destiné aux usages autorisés
OpenAI ne propose pas GPT-5.6-Cyber en accès libre. Le modèle est disponible via Daybreak Red, un nouveau niveau d’accès présenté comme un moyen pour d’autres organisations d’obtenir des modèles entraînés spécifiquement pour la cybersécurité.
L’entreprise cible des activités telles que la recherche de vulnérabilités, la validation d’exploits et les tests de sécurité, à condition que l’usage soit autorisé. L’idée mise en avant est de faciliter l’identification de failles avant qu’elles ne soient exploitées.
Daybreak Blue : garde-fous pour la défense
Le dispositif Daybreak comprend aussi Daybreak Blue. Celui-ci donne accès à des modèles généralistes de pointe, dont GPT-5.6 Sol, avec des garde-fous intégrés adaptés à la sécurité défensive.
OpenAI présente Daybreak Blue comme un accès qui conserve des protections pour des usages comme la détection et la réponse à incident, les investigations, la gestion des vulnérabilités et les évaluations de sécurité.
Performances : vulnérabilités zero-day et benchmarks spécialisés
OpenAI explique que GPT-5.6-Cyber est entraîné pour améliorer des workflows de cybersécurité liés au développement d’exploits et à la recherche avancée.
Dans une évaluation de type benchmark appelée ExploitGym, le modèle se révèle supérieur à la fois à GPT-5.6 Sol et à GPT-5.5 Cyber. Cela suggère que l’approche orientée exploitation et recherche a un impact mesurable sur certaines tâches.
Calibrer la sévérité de nouvelles failles
La société indique également des progrès lorsque le modèle doit trouver et ajuster avec précision la sévérité de vulnérabilités zero-day inédites. Là encore, l’explication fournie repose sur un entraînement spécialisé.
En revanche, OpenAI précise que GPT-5.6-Cyber obtient de moins bons résultats que GPT-5.6 Sol sur des “quêtes” plus ouvertes liées à la découverte de vulnérabilités dans un dépôt, à la production d’un proof-of-concept fonctionnel et à la soumission d’un rapport de vulnérabilités de haute qualité.
Selon l’entreprise, l’écart vient du fait que le modèle produit parfois des rapports plus courts et moins détaillés.
Exemples concrets de vulnérabilités signalées
OpenAI cite au moins une vulnérabilité de sévérité élevée identifiée par le modèle : CVE-2026-15903, avec un score CVSS de 8,8. Le défaut correspond à un problème de lecture/écriture hors limites dans le moteur V8 de JavaScript. D’après la description fournie, une page HTML construite pourrait permettre à un attaquant distant d’exécuter du code arbitraire dans un environnement sandbox.
La société ajoute que la vulnérabilité pourrait être chaînée avec une autre faille inconnue auparavant, également trouvée par le modèle, afin d’échapper au compartiment V8. OpenAI rappelle que CVE-2026-15903 a été corrigée par Google à la mi-juillet 2026.
Au-delà de cet exemple, la communication mentionne aussi des utilisations du modèle pour repérer d’autres failles, notamment :
- au moins cinq vulnérabilités dans un système d’exploitation mobile populaire, incluant une chaîne allant d’une application non fiable vers une élévation locale de privilèges ;
- trois vulnérabilités critiques dans une base de données populaire, y compris un chemin distant menant à une exécution de code ;
- plus de 400 vulnérabilités pouvant conduire à une élévation de privilèges dans le kernel d’un système d’exploitation populaire.
Pourquoi ces modèles suscitent à la fois espoir et prudence
OpenAI présente GPT-5.6-Cyber comme un outil au service de la cybersécurité, mais le contexte reste sensible : l’entreprise indique que des acteurs malveillants utilisent déjà des techniques assistées par IA pour accélérer des attaques à grande échelle.
De son côté, l’approche choisie pour GPT-5.6-Cyber revient à rendre la recherche plus opérationnelle pour les défenseurs, en rapprochant le modèle des workflows de validation d’exploits. Toutefois, l’entreprise insiste sur l’existence de risques liés à l’utilisation de modèles avec des garde-fous réduits.
Le patching reste un défi
Le texte fourni par OpenAI rappelle qu’un modèle performant pour détecter des vulnérabilités ne garantit pas qu’il saura corriger correctement la faille sans introduire de nouveaux comportements indésirables.
OpenAI cite des constats attribués à 1Password : le taux de réussite moyen pour générer un correctif qui résout pleinement la vulnérabilité sans modifier significativement le comportement de l’application n’atteint que 26,0%. Les correctifs qui corrigent la vulnérabilité tout en changeant le comportement apparaissent 20,1% du temps.
À l’inverse, des correctifs générés par des LLM ne résolvent pas la vulnérabilité, ajoutent une nouvelle faille, ou les deux, en moyenne dans 53,9% des cas.
Vers une défense accélérée… avec contrôle de l’usage
OpenAI conclut en pointant un équilibre délicat : la “démocratisation” d’accès à une intelligence de pointe pour les défenseurs, afin d’accélérer et d’automatiser la cyberdéfense, est jugée importante.
En même temps, l’entreprise reconnaît que des modèles avec des garde-fous réduits comportent des risques dépassant l’usage standard. Ces risques peuvent provenir d’un usage inapproprié ou d’un mauvais alignement du système avec les objectifs.
Dans la pratique, GPT-5.6-Cyber permissif s’inscrit donc comme un outil destiné à des organisations capables d’utiliser la puissance du modèle de manière encadrée, pour identifier et corriger des failles avant exploitation.
Conclusion
Avec GPT-5.6-Cyber, OpenAI pousse plus loin l’orientation cybersécurité : découverte de vulnérabilités, assistance aux tests et amélioration de la capacité à traiter des scénarios avancés. Les résultats communiqués mettent en avant une réduction très forte des refus, mesurée via un protocole interne, ainsi que de meilleures performances sur des benchmarks liés à l’exploitation.
Reste que l’entreprise rappelle la réalité du terrain : la détection progresse plus vite que la capacité à produire des correctifs fiables. Pour cette raison, l’accès via Daybreak Red s’accompagne d’un cadre destiné aux usages autorisés et à la sécurité défensive.
Source: https://thehackernews.com/2026/08/openai-launches-gpt-56-cyber-with.html
