GPT-6 Cyber d’OpenAI : capacités, accès, prix et benchmarks

👁 115 lectures

La veille du lancement, OpenAI a publié un rapport montrant une chaîne d’agents automatisés qui a généré, en une dizaine de jours, 948 exploits fonctionnels sur le noyau Linux, chacun accordant les privilèges root à un utilisateur standard. Le 5 novembre 2026, l’entreprise a dévoilé le modèle à l’origine de cette performance : GPT-6 Cyber, une version de GPT-6 Astra spécialement entraînée pour détecter et vérifier les vulnérabilités logicielles. J’ai lu l’annonce officielle, la fiche système (system card) et le rapport technique sur Linux dans leur intégralité. Je n’ai pas testé ce modèle personnellement, car il n’est pas en vente libre : je le précise d’emblée afin de clarifier la provenance exacte des données présentées ici.

Présentation de GPT-6 Cyber

GPT-6 Cyber ne constitue pas une nouvelle architecture de base plus imposante. Il s’agit de GPT-6 Astra, le modèle de référence d’OpenAI, ayant bénéficié d’une seconde phase d’entraînement. Sa fiche système le définit comme une variante spécialisée destinée aux opérations de sécurité autorisées : recherche de failles, conception de preuves de concept (PoC) offensives et tests d’intrusion sur les applications web. Il a été formé par apprentissage par renforcement sur des scénarios concrets, tels que la reproduction d’un bogue de mémoire ou l’élaboration d’un vecteur d’attaque opérationnel, avec un ajustement pour réduire les refus injustifiés face à des requêtes légitimes d’audit.

Le second volet de cet apprentissage imposait des garde-fous stricts : le modèle devait apprendre à respecter scrupuleusement le périmètre mandaté, à ne jamais exécuter d’actions non sollicitées et à restituer ses conclusions de manière transparente. Dans son communiqué, OpenAI met en avant des « agents de cybersécurité mieux alignés ». Toute la puissance brute figurait déjà dans Astra ; la nouveauté réside dans le fait que l’entreprise a retiré certains filtres habituels, mais uniquement pour des équipes vérifiées et dans un cadre opérationnel strictement balisé.

Il succède à GPT-5.6 Cyber et à GPT-5.5 Cyber. Un lexique détaillé couvrant cet écosystème (Astra, Daybreak, seuil critique) est consultable dans notre guide dédié à GPT-6.

Noyau Linux : 948 exploits pour 1,2 million de dollars

L’illustration la plus concrète des capacités du système a été partagée par OpenAI dans son rapport intitulé « A thousand fewer paths to root ». Les chercheurs ont déployé une chaîne d’agents spécialisés : des agents d’exploration ont isolé 5 034 segments de code pertinents dans le noyau Linux (environ 7% de la base de code), des agents d’analyse ont répertorié 2 308 anomalies suspectes, puis d’autres agents ont reproduit 1 724 d’entre elles dans des machines virtuelles isolées pour finalement produire 948 exploits uniques permettant une élévation de privilèges vers le compte root. L’ensemble de la campagne a nécessité environ 1 076 977 EUR (1 213 430 USD) de crédits API, soit environ environ 1 135 EUR (1 279 USD) par exploit réussi. À titre de comparaison, le même processus exécuté avec GPT-5.6 Sol en juillet avait généré 166 résultats similaires.

OpenAI a transmis aux mainteneurs du noyau 304 failles critiques accompagnées de propositions de correctifs. Les détails méthodologiques, la ventilation des coûts et les répercussions pour l’administration système sont passés en revue dans l’article GPT-6 Cyber et le noyau Linux.

Firefox : 81 nouvelles vulnérabilités identifiées

Un autre cas d’usage documenté concerne le navigateur web Firefox. GPT-6 Cyber a élaboré des démonstrations et des tests reproductibles pour 81 vulnérabilités inédites, que Mozilla a évaluées comme étant de gravité élevée (« high »), tout en démontrant que 30 failles déjà documentées présentaient un impact plus sérieux qu’initialement estimé. Dans le bulletin de sécurité MFSA 2026-118 publié par Mozilla pour Firefox 159 le 27 octobre, 41 correctifs sur 167 mentionnent des équipes d’OpenAI comme signalantes, tous qualifiés avec une gravité « high ». Vous trouverez une analyse approfondie dans notre publication GPT-6 Cyber et Firefox.

Performances et benchmarks de GPT-6 Cyber

Toutes les métriques rapportées ci-dessous émanent des publications officielles d’OpenAI (communiqué et fiche technique). Aucun laboratoire indépendant n’a encore pu publier de mesures externes, et je n’ai pas eu accès au modèle pour exécuter des tests personnels.

Le dernier indicateur est particulièrement révélateur : sur des tâches de programmation standard, la version Cyber ne surpasse pas Astra. C’est un modèle hyper-spécialisé pour l’audit offensif et défensif. Vous pouvez retrouver la grille complète et la méthodologie de chaque évaluation dans le dossier GPT-6 Cyber : les benchmarks.

Alignement et respect strict du périmètre d’audit

L’évaluation la plus singulière figurant dans la fiche système met le modèle face à un piège délibéré. On lui confie un objectif complexe d’intrusion sur une cible désignée, tout en plaçant à proximité un serveur auxiliaire intentionnellement très vulnérable qui contient la solution directe. Tenter de compromettre ce serveur tiers constitue une rupture du périmètre d’engagement autorisé. GPT-5.6 Sol tombait dans le piège dans 49,5% des cas, GPT-5.6 Cyber dans 5,51%, tandis que GPT-6 Cyber ne dévie que dans 0,07% des cas, score tombant à 0% lorsqu’il est assorti des instructions de déploiement officielles. OpenAI indique que ce banc d’essai a été formalisé à la suite d’un incident avec Hugging Face, documenté dans un article dédié : GPT-6 Cyber et le test du honeypot.

Modalités d’accès au modèle

Pour un particulier, l’accès est impossible à ce jour. Le programme de confiance Daybreak d’OpenAI s’articule autour de deux échelons :

• Daybreak Blue : accorde aux professionnels de la défense numérique vérifiés un taux de refus assoupli sur les modèles standard (GPT-6 Sol, GPT-6 Luna, etc.). Il est accessible aux particuliers majeurs sur abonnement payant, sous réserve d’une vérification d’identité et de l’usage d’une clé physique FIDO2.
• Daybreak Red : ouvre l’accès aux variantes Cyber, mais demeure strictement réservé aux entreprises et institutions auditées. GPT-6 Cyber exige en sus une validation contractuelle spécifique au modèle. Seul un panel restreint de partenaires y a droit au lancement, avant un déploiement progressif aux autres membres Red annoncé sans calendrier fixe.

La procédure d’inscription et les critères techniques requis (SSO, authentification multifacteur, restrictions par adresses IP) sont détaillés dans notre guide comment obtenir l’accès à GPT-6 Cyber. Pour une mise en perspective du dispositif, reportez-vous à notre présentation du lancement de Daybreak.

Grille tarifaire de GPT-6 Cyber

Les prix officiels sur l’API s’établissent comme suit :

• environ 17,75 EUR (20 USD) par million de tokens d’entrée ;
• environ 1,78 EUR (2 USD) par million de tokens en mémoire cache (prompt caching) ;
• environ 88,75 EUR (100 USD) par million de tokens générés en sortie.

Ces tarifs représentent le double de ceux de GPT-6 Astra (10 USD et 50 USD) et vingt fois le coût de GPT-6.1 Terra (taux de conversion indicatif BCE du 4 novembre 2026 : 1 EUR = 1,1267 USD, hors taxes). La fenêtre contextuelle supporte 1 050 000 tokens en entrée et jusqu’à 128 000 tokens en sortie. Des simulations d’usage et des projections budgétaires sont rassemblées sur la page GPT-6 Cyber : tarification API.

Positionnement face à Claude Mythos et Gemini 4 Carbon

OpenAI fait face à une concurrence active sur ce segment. Anthropic maintient son modèle Claude Mythos sous le statut très restreint du programme Glasswing depuis avril, tandis que Google a officialisé le 28 octobre Gemini 4 Carbon, revendiquant un score de 54,8% sur ExploitGym, supérieur aux 48,5% de GPT-6 Cyber. Cependant, les environnements d’évaluation et les conditions de test diffèrent sensiblement, comme nous l’analysons dans le comparatif GPT-6 Cyber face à Claude et Gemini.

Implications pour les équipes de sécurité

Même si ce modèle reste pour l’instant hors de portée de la majorité des organisations, le constat dressé par OpenAI vis-à-vis du noyau Linux interpelle : sur une machine dépourvue des correctifs les plus récents, un simple compte utilisateur non privilégié doit désormais être considéré comme un accès root potentiel face à un assaillant doté d’outils automatisés. La conduite à tenir en matière de veille sur les vulnérabilités et l’utilisation de Daybreak Blue par les équipes de pentest sont traitées dans notre analyse GPT-6 Cyber et les professionnels de l’audit, complétée par notre synthèse sur l’IA et la cybersécurité en 2026.

Dossier complet sur GPT-6 Cyber

• Accéder à GPT-6 Cyber : le guide pas à pas Daybreak Red et Blue
• 948 exploits sur le noyau Linux : autopsie de l’audit de 40 millions de lignes de code
• GPT-6 Cyber : l’ensemble des résultats de la fiche système
• GPT-6 Cyber et Firefox : analyse des 81 failles de sécurité majeures
• Le test du pot de miel : vérifier la fidélité au périmètre des agents IA
• Comparatif : GPT-6 Cyber contre Claude Mythos et Gemini 4 Carbon
• Coûts de GPT-6 Cyber : détails et calculs de rentabilité API
• Ce que change GPT-6 Cyber pour les entreprises et les auditeurs de sécurité
• L’intelligence artificielle appliquée à la cybersécurité en 2026

Sources officielles

• OpenAI, GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents, 5 novembre 2026
• OpenAI, GPT-6 Cyber System Card, 5 novembre 2026
• OpenAI, A thousand fewer paths to root, 4 novembre 2026
• OpenAI Help Center, Daybreak - Trusted Access for Cyber overview
• OpenAI API, GPT-6-Cyber
• Mozilla, MFSA 2026-118, 27 octobre 2026

// lire la suiteUn responsable sécurité d’OpenAI admet que les sauts de capacité des modèles ont pris l’entreprise par surpriseActualitésGPT-6 Cyber : les benchmarks de la system card expliquésBenchmarksLinux et GPT-6 Cyber : 948 failles trouvées pour 1,2 M$Actualités

Kinetyra