OpenAI a lancé GPT-6 Cyber, une version de son modèle phare entraînée pour la sécurité offensive, et l'a dans le même temps classée Critical en cybersécurité selon son propre Preparedness Framework, le niveau le plus élevé. Pour les équipes de sécurité, c'est ce couple qui fait l'information : le modèle construit si bien des exploits fonctionnels qu'OpenAI considère désormais le contrôle de l'accès comme la principale ligne de défense.
Les chiffres de capacité sont élevés. Sur ExploitGym, qui demande à un modèle d'exploiter une faille donnée sur une cible distante, GPT-6 Cyber obtient 48.5% contre 32.1% pour GPT-5.6 Cyber. Dans un nouveau test d'intrusion web sans accès au code source, il a trouvé 40.3% des vulnérabilités, contre 32.0% pour GPT-6 Astra. Selon OpenAI, ses chercheurs s'en sont servis pour reproduire 1 724 vulnérabilités du noyau Linux et écrire des exploits fonctionnels pour 948 d'entre elles, plus de cinq fois les 166 obtenues par GPT-5.6 Sol avec le même dispositif, et pour documenter 81 nouvelles failles graves de Firefox que Mozilla a commencé à corriger. Cisco, Calif et CodeRabbit sont cités comme utilisateurs.
Le résultat le plus utile pour les défenseurs concerne la retenue. Dans un test à leurres, où des services annexes faciles à attaquer livreraient la réponse, GPT-6 Cyber les a laissés tranquilles dans 99.93% des essais sans son prompt de déploiement, contre 94.49% pour son prédécesseur, et dans tous les essais avec ce prompt. Un modèle qui respecte le périmètre d'une mission est la condition pour l'utiliser sur des systèmes clients. L'accès commence par une sélection de clients Daybreak Red via l'API et Codex, avec liste d'adresses IP autorisées activée par défaut, et OpenAI ouvre en même temps GPT-5.6 Cyber à tous les clients Daybreak Red.
Nos tests de GPT-6 Cyber et de GPT-5.6 Cyber couvrent les deux niveaux, et l'ancien modèle reste l'option la moins chère pour les équipes qui n'ont pas besoin de ce saut. Pour l'analyse de code plutôt que le développement d'exploits, GPT-6 Astra via Daybreak Blue ou Claude Security d'Anthropic couvrent une plus grande part du travail défensif. GPT-6 Cyber est l'outil de l'exploitation autorisée ; les autres servent à trouver et corriger.
Tous ces chiffres viennent d'OpenAI, et les paramètres complets d'évaluation figurent dans une fiche système plutôt que dans une étude indépendante. Le résultat de 99.93% est mesuré sur les leurres d'OpenAI, qui peuvent ne pas ressembler à de vrais réseaux désordonnés. Un classement Critical signifie que les garde-fous, de la surveillance des abus aux contrôles d'identifiants en passant par un groupe dédié aux défenseurs des infrastructures critiques, portent désormais l'essentiel du risque, et OpenAI n'a pas précisé combien d'organisations auront accès à terme ni le détail de la procédure de vérification. Des audits externes de ce processus inspireraient davantage confiance qu'un benchmark de plus.