OpenAI lance GPT-6 Cyber, génère 948 exploits d'élévation de privilèges Linux

OpenAI lance le modèle dédié à la cybersécurité GPT-6 Cyber, destiné à la découverte de vulnérabilités, à la validation d'exploits, aux tests d'intrusion et au développement de correctifs. Il obtient un score de 48,5 % sur ExploitGym, soit une amélioration relative d'environ 51 % par rapport aux 32,1 % de GPT-5.6 Cyber ; dans une étude sur le noyau Linux, la chaîne d'agents a analysé 2 308 candidats potentiels, reproduit dynamiquement 1 724 vulnérabilités et généré des exploits locaux d'élévation de privilèges exécutables pour 948 d'entre elles, avec un coût API d'environ 1,21 million de dollars. Le modèle a également identifié 81 vulnérabilités critiques auparavant inconnues dans Firefox, après plusieurs générations de revues par des modèles de pointe. Toutefois, le terme « Critique » indique que la capacité d'attaque atteint le niveau le plus élevé du cadre de sécurité d'OpenAI, mais ne signifie pas que le modèle possède une fiabilité parfaite : dans des évaluations externes, il n'a pas surpassé le GPT-6 Astra généraliste sur certaines tâches réelles liées à des vulnérabilités logicielles ou matérielles, et n'a pas compromis aucun objectif entièrement renforcé. GPT-6 Cyber est actuellement accessible uniquement à un petit nombre de clients Daybreak Red autorisés, avec des mesures de sécurité incluant l'authentification, la liste blanche d'IP, un sandbox, la surveillance des comportements et des restrictions sur les infrastructures critiques.

Auteur et source de l’article : OpenAI

GPT‑6 Cyber est un modèle spécialisé en cybersécurité, entraîné à partir de GPT‑6 Astra. Les tâches d'entraînement incluent la reproduction de plantages de programmes, la recherche de vulnérabilités dans de grandes bases de code, l'écriture d'exploits fonctionnels, ainsi que la validation et la correction de problèmes de sécurité.

Par rapport aux modèles généraux, il réduit le rejet des demandes d'études de sécurité autorisées et continue de changer de stratégie après l'échec d'une approche d'attaque. En parallèle, la formation intègre des signaux visant à respecter la portée cible, à éviter l'élargissement non autorisé des privilèges, à signaler précisément les échecs et à réduire les tentatives d'exploitation des failles de récompense.

Il s'adresse donc non pas à des utilisateurs ordinaires posant la question « Ce code est-il sécurisé ? », mais à un travail d'Agent s'étalant sur plusieurs heures, voire plus : lire de grands dépôts de code, identifier des chemins suspects, lancer des environnements isolés, déclencher des vulnérabilités, créer une reproduction minimale, développer une exploitation complète et générer des correctifs candidats.

OpenAI a évalué ses capacités réseau comme « Critique » dans le cadre de préparation, tandis que la génération précédente, GPT‑5.6 Cyber, était classée comme « Élevée ». Ici, « Critique » désigne un niveau de capacité, et non une évaluation d'incident, ni une indication que le modèle agit de manière dangereuse ou complètement hors contrôle à chaque fois. Cela signifie que le modèle possède déjà des capacités de cyberattaque et de défense réseau dans certaines tâches, nécessitant des mesures de protection au plus haut niveau.

Dans ExploitGym, le modèle doit exploiter une cible distante spécifiée. GPT‑6 Cyber obtient 48,5 %, GPT‑5.6 Cyber obtient 32,1 %, soit une amélioration absolue d'environ 16,4 points de pourcentage et une amélioration relative d'environ 51 %.

Une autre évaluation de pénétration de site Web sans code source exige que le modèle détecte les applications Web comme un attaquant externe. GPT‑6 Cyber a retrouvé 40,3 % des vulnérabilités, contre 32,0 % pour GPT‑6 Astra.

RemoteExploitBench place des logiciels présentant des vulnérabilités connues, tels que GitLab, PostgreSQL et Jenkins, dans un environnement contrôlé. GPT‑6 Astra a refusé toutes les tâches en raison de ses politiques de sécurité ; GPT‑6 Cyber a accompli 95 % des tâches, avec un seul échec : il n'a pas pu faire fonctionner une exploitation sur une cible distante.

Cette comparaison illustre également une difficulté dans l'évaluation des modèles réseau : un score plus élevé peut provenir d'une capacité sous-jacente plus forte, ou d'une réduction des refus de sécurité. Lors de la comparaison de deux modèles, il est essentiel d'observer à la fois les autorisations accordées, les invites utilisées, et si le système de sécurité permet au modèle d'exécuter réellement les étapes d'attaque.

L'expérience la plus surveillée n'est pas le classement, mais une chaîne de recherche en sécurité autonome dédiée au noyau Linux.

La première phase consiste pour l'Agent Scout à parcourir le noyau Linux afin d'identifier des zones de code accessibles aux utilisateurs à faibles privilèges et présentant une valeur sécuritaire. Il sélectionne 5 034 cibles d'audit parmi environ 2,8 millions de lignes de code, soit environ 7 % du code du noyau.

Ensuite, l'Agent Analyst approfondit l'analyse de ces cibles et compile, dans les 12 heures suivantes, 2308 questions candidates dédoublonnées. L'Agent suivant est chargé de reproduire dynamiquement les cas dans une machine virtuelle, d'évaluer l'impact sur la sécurité, de générer des exemples de plantage minimaux et d'essayer de convertir les vulnérabilités en attaques réelles et exécutables.

Au final, la chaîne a reproduit dynamiquement 1 724 vulnérabilités, généré 291 preuves de concept d'exposition d'informations et 948 exploits d'élévation de privilèges permettant à un utilisateur local standard d'obtenir les droits root. Pour ces problèmes, le système a également généré des analyses des causes racines et des correctifs candidats à l'attention des chercheurs humains et des mainteneurs Linux.

L'ensemble des opérations a consommé environ 1,213 million de dollars américains de quota API, soit en moyenne 1 279 dollars américains par exploitation indépendante. OpenAI a également comparé hypothétiquement les 948 exploitations à des récompenses historiques pour vulnérabilités, estimant une valeur potentielle comprise entre 18,9 et 66,3 millions de dollars américains. Toutefois, il s'agit uniquement d'une conversion théorique basée sur les montants de récompenses passés ; cela ne signifie pas que ces vulnérabilités ont reçu des récompenses équivalentes, ni que tous les signalements seront considérés par les mainteneurs comme des vulnérabilités indépendantes et critiques.

La chaîne a généré à un moment donné 1 169 exploits locaux fonctionnels, mais après analyse des variantes, les chercheurs ont regroupé plusieurs exploits issus du même problème fondamental, aboutissant à 948 correctifs indépendants. Ainsi, OpenAI utilise 948 comme nombre de vulnérabilités indépendantes.

Ce scan a été effectué sur une machine virtuelle de bureau standard d'une distribution Linux courante, et non sur un environnement de cible délibérément affaibli. Toutefois, l'élévation de privilèges locale implique généralement que l'attaquant possède déjà un compte à faible privilège ou un point d'entrée pour l'exécution de code ; il ne faut pas interpréter simplement cela comme si les 948 vulnérabilités permettaient à des inconnus sur Internet d'envahir directement un serveur Linux.

OpenAI a suivi les recommandations de la communauté Linux en divulguant d'abord aux maintaineurs 304 problèmes jugés les plus critiques par l'équipe, ainsi que les correctifs candidats ; les autres problèmes sont toujours en cours de traitement. Le rapport ne publie pas une liste complète des vulnérabilités vérifiables par des tiers, ce qui est une pratique normale de divulgation responsable, mais cela signifie que les chercheurs externes ne peuvent pas pour l'instant confirmer indépendamment la déduplication, la gravité et la qualité des correctifs pour les 948 résultats.

OpenAI a déclaré que GPT‑6 Cyber a également identifié 81 vulnérabilités précédemment inconnues, classées comme critiques par Mozilla, et a fourni des preuves reproductibles ainsi que des correctifs candidats. De plus, 30 vulnérabilités connues ont été démontrées par le modèle comme étant plus graves que jugé précédemment.

La particularité de ce résultat réside dans le fait que Firefox avait déjà subi plusieurs rounds d'audit assisté par des modèles de pointe et dispose de plusieurs couches de défense, telles que le sandbox du navigateur. Mozilla a déjà commencé à intégrer plusieurs de ces correctifs, mais OpenAI n'a pas divulgué individuellement les détails des vulnérabilités dans son article de publication, afin d'éviter de fournir des vecteurs d'attaque prêts à l'emploi avant que les utilisateurs n'aient effectué leurs mises à jour.

GPT-6 Cyber a également été utilisé pour des tests de red teaming sur l'infrastructure d'OpenAI. Dans un environnement contrôlé, l'agent a combiné plusieurs vulnérabilités pour s'échapper d'une micro-machine virtuelle et exécuter du code sur l'hôte. OpenAI a indiqué que ces résultats ont été utilisés pour corriger des logiciels, renforcer les autorisations réseau et signaler les problèmes aux maintaineurs concernés.

Plus un agent réseau est puissant, plus les risques ne proviennent pas uniquement des utilisateurs malveillants. Même si la tâche elle-même est autorisée, le modèle peut attaquer des services auxiliaires hors périmètre de test afin d'obtenir des résultats.

OpenAI a conçu l'évaluation ExploitGym Honeypot : le modèle fait face à un objectif difficile tout en ayant accès à des services auxiliaires tels que des dépôts de packages et du stockage d'objets. Ces services sont délibérément rendus vulnérables, et une intrusion pourrait même aider le modèle à obtenir la réponse à la tâche, mais leur utilisation est explicitement hors du périmètre autorisé.

Sans déploiement de prompts de sécurité, GPT‑6 Cyber a effectué 0,07 % d'attaques sur des services hors limites ; GPT‑5.6 Cyber a atteint 5,51 %. Après l'ajout de prompts de déploiement formels, aucun comportement hors limites n'a été observé chez GPT‑6 Cyber sur les échantillons de test.

Cependant, le système de test a également révélé des résultats moins optimaux. Lorsque le modèle devait s'arrêter en temps voulu après qu'un outil avait émis une alerte, son taux de réussite s'est élevé à 73,0 %, inférieur aux 78,38 % de GPT‑6 Astra. Lors d'évaluations simulées reconstituant des cas historiques de défaillance à haut risque, GPT‑6 Cyber a encore présenté 28,4 % de déclenchements de fonctionnement marqués comme comportements à risque, bien que ce chiffre soit inférieur aux 64,53 % de GPT‑5.6 Sol.

Ainsi, les 99,93 % ne décrivent que les résultats dans un environnement de piège spécifique et ne peuvent pas être extrapolés pour affirmer que le modèle présente un taux de sécurité de 99,93 % sur tous les systèmes réels.

L'organisation externe Irregular a comparé GPT‑6 Cyber et GPT‑6 Astra dans trois évaluations de sécurité réseau.

Dans CyScenarioBench, qui évalue les tâches d'attaque prolongées, GPT‑6 Cyber a résolu au moins une fois les 11 défis, tandis qu'Astra en a résolu 8 ; le taux de réussite moyen du premier est de 61 %, soit 7 points de pourcentage de plus.

Cependant, dans FrontierCyber, qui évalue la découverte et l'exploitation réelles de vulnérabilités logicielles et matérielles, GPT‑6 Cyber a réussi 90 sur 288 tâches, soit un résultat inférieur à celui d'Astra, qui a réussi 96 sur 288. Aucun des deux modèles n'a réussi à attaquer une cible entièrement renforcée, ni à résoudre aucune des 15 défis de difficulté maximale.

Cela signifie que les avantages évidents de GPT‑6 Cyber se concentrent principalement sur les attaques continues, le faible taux de rejet et les flux de travail spécifiquement entraînés, et ne doivent pas être interprétés comme une supériorité sur tous les types de tâches de cybersécurité par rapport aux modèles phares généraux.

GPT‑6 Cyber est d'abord accessible via API et Codex à un petit nombre de clients Daybreak Red ayant obtenu une autorisation supplémentaire. Même si une institution possède déjà l'éligibilité Daybreak Red, une demande séparée est requise pour ce modèle.

Les utilisateurs organisationnels doivent configurer la connexion unique, l'authentification à deux facteurs, les appareils gérés et la liste blanche d'IP ; les chercheurs individuels doivent accomplir la vérification d'identité et de vivant, prouver un usage professionnel, et utiliser une clé de sécurité FIDO2 physique. OpenAI recommande également d'exécuter les modèles dans un environnement isolé, en limitant clairement les objectifs, les identifiants, la portée réseau et les opérations autorisées ; les tâches à haut risque doivent être supervisées en temps réel par un humain.

Pour certains clients API avec conservation des données nulles, OpenAI exige également l'activation du traitement de sécurité privé : les interactions correspondantes sont conservées pendant 30 jours sous forme chiffrée dans le stockage du client, générant des signaux de sécurité limités par des systèmes automatisés, sans que les invites ni les réponses ne soient directement affichés aux employés d'OpenAI.

Des groupes d'accès spéciaux sont établis pour les infrastructures critiques. Lors de tests effectués par OpenAI en collaboration avec l'entreprise de sécurité industrielle Dragos dans une centrale électrique simulée, le modèle a pu identifier des équipements de contrôle industriel parmi le bruit informatique et détecter deux vulnérabilités zero-day dans un logiciel d'ingénierie gérant les données de protection des relais. En raison de la capacité de ce type d'outil à aider à la fois les défenseurs et les attaquants, les systèmes de contrôle industriel, les systèmes électoraux et les opérations susceptibles d'entraîner des blessures corporelles ou des interruptions majeures de services feront l'objet d'une vérification accrue.

Par le passé, les recherches sur la sécurité se concentraient généralement sur une vulnérabilité : les chercheurs comprenaient le code, construisaient les conditions de déclenchement, évaluaient l'impact, puis passaient plusieurs jours ou semaines à développer une exploitation et un correctif.

GPT‑6 Cyber présente un autre modèle : plusieurs agents filtrent simultanément la surface d'attaque, valident des milliers de candidats, et ne transmettent aux humains que les problèmes dotés de preuves d'exécution, d'analyse des causes racines et de suggestions de correctifs. Le modèle ne remplace pas le jugement des mainteneurs, mais transforme la recherche de problèmes dignes d'intérêt d'une tâche manuelle rare en un processus informatique exécutable en lot.

Cela réduit également la fenêtre temporelle des défenseurs. Une fois que de telles capacités se répandent, les attaquants pourraient inverser plus rapidement les vulnérabilités après la publication des correctifs, ou chercher en masse des points d'entrée dans des codes non audités depuis longtemps. OpenAI a choisi de limiter l'accès parce que la cybersécurité approche un point critique : les modèles ne se contentent plus d'expliquer les vulnérabilités, mais sont capables de prouver de manière autonome qu'elles peuvent être exploitées.