OpenAI a annoncé que son nouveau modèle GPT-6 Astra a franchi le seuil de capacité « Critique » en cybersécurité au sens du Preparedness Framework interne de l'entreprise, devenant ainsi le premier modèle de sa gamme à recevoir cette classification.

Parallèlement à Astra, l'entreprise dispose d'un modèle frère spécialisé baptisé GPT-6 Cyber, qui, selon OpenAI, assiste déjà des équipes de sécurité chez Mozilla, Palo Alto Networks et Cisco.

Ce qu'Astra peut réellement faire

Selon les résultats de recherche d'OpenAI, GPT-6 Astra est capable de découvrir et d'exploiter de manière autonome des vulnérabilités zero-day — des failles inconnues des mainteneurs d'un programme jusqu'à leur découverte, ne laissant aucun correctif prêt — au sein de systèmes complexes. Le modèle peut également élaborer des plans de cyberattaque complets à partir d'objectifs de haut niveau.

Lors de l'évaluation ExploitBench, Astra a obtenu un score parfait de 100 %, une nette progression par rapport à son prédécesseur, GPT-5.6 Sol, qui avait obtenu 78,5 % au même test.

Les tests internes d'OpenAI se sont déroulés du 1er au 4 septembre 2026. Durant cette période, Astra a mis en évidence deux vulnérabilités zero-day jusque-là inconnues. Selon les résultats, ces deux failles seront divulguées aux mainteneurs des logiciels concernés.

GPT-6 Cyber passe à l'action

OpenAI a publié GPT-6 Cyber le 5 novembre 2026. Il s'agit d'une variante spécialisée conçue pour la recherche contrôlée sur les vulnérabilités et la validation d'exploits, avec un accès limité aux seuls clients vérifiés.

Sur le benchmark ExploitGym, GPT-6 Cyber a obtenu un score de 48,5 %, en hausse par rapport aux 32,1 % enregistrés par la version précédente, GPT-5.6 Cyber.

L'équipe de recherche a indiqué avoir découvert 81 vulnérabilités de gravité élevée jusque-là inconnues dans Firefox. L'équipe a également déclaré avoir développé des exploits fonctionnels pour 948 escalades de privilèges dans le noyau Linux — des failles permettant à un attaquant d'obtenir des niveaux d'accès supérieurs à ce que le système autorise — dont 588 étaient inédites. Le noyau Linux sous-tend une grande part des serveurs, plateformes cloud et périphériques embarqués utilisés aujourd'hui, ce qui donne aux découvertes au niveau du noyau une portée bien au-delà d'un seul produit.

Mozilla a crédité OpenAI dans son avis de sécurité Firefox 159 pour les vulnérabilités découvertes.

Lee Klarich, Chief Product Officer et Chief Technology Officer de Palo Alto Networks, a salué l'efficacité du modèle pour les travaux défensifs. L'ingénieur de Mozilla Brian Grinstead a exprimé un avis similaire.

Pourquoi la classification Critique est importante

Le Preparedness Framework d'OpenAI est le système interne de l'entreprise destiné à évaluer le degré de danger potentiel des capacités d'un modèle dans des domaines sensibles, la cybersécurité figurant parmi ceux-ci. Atteindre le niveau « Critique » signifie qu'OpenAI juge elle-même que les capacités d'Astra se situent au sommet de son échelle de risque.

La réponse d'OpenAI, du moins pour la variante Cyber, semble résider dans le contrôle d'accès. En restreignant l'accès aux clients vérifiés et en acheminant les découvertes via la divulgation responsable — la pratique consistant à signaler les failles en privé aux mainteneurs afin que des correctifs puissent être préparés avant que les résultats ne soient rendus publics —, l'entreprise tente de préserver les avantages défensifs de la technologie tout en limitant son potentiel offensif. La prochaine étape observable est la divulgation des deux zero-days mis en évidence par Astra lors des tests de septembre, qu'OpenAI indique destiner aux mainteneurs des logiciels concernés, un schéma que le crédit figurant dans l'avis Firefox 159 reflète déjà.