OpenAI a annoncé GPT-6 Cyber le 5 novembre 2026, un modèle destiné à repérer et valider des vulnérabilités exploitables, puis à aider à élaborer des correctifs dans un périmètre de recherche autorisé. Au lancement, l’accès par API et Codex était réservé à des clients Daybreak Red sélectionnés et approuvés, selon l’annonce d’OpenAI. L’entreprise prévoyait ensuite d’étendre l’accès à tous les clients Daybreak Red.
Une vulnérabilité reproduite, un exploit construit et un signalement transmis avec un correctif candidat correspondent à des résultats différents.
Un accès initial réservé à certains clients Daybreak Red
Les clients retenus pouvaient utiliser GPT-6 Cyber par l’API ou Codex. OpenAI présentait le modèle comme un outil de recherche de vulnérabilités et de développement de correctifs, dans le cadre d’autorisations définies.
NeoTeo avait déjà consacré un article à GPT-6 Astra. GPT-6 Cyber, lui, vise la recherche de failles de sécurité autorisée.
Les résultats rapportés sur Linux et Firefox
Pour le noyau Linux, OpenAI indique que ses chercheurs ont reproduit 1 724 vulnérabilités, développé des exploits fonctionnels d’élévation de privilèges pour 948 d’entre elles et transmis aux mainteneurs 304 découvertes critiques accompagnées de correctifs candidats. Ces nombres décrivent des étapes différentes : les 948 exploits ne sont pas 948 vulnérabilités inédites ou corrigées. OpenAI détaille ces résultats.
Sur Firefox, OpenAI rapporte des preuves et des tests reproductibles pour 81 nouvelles vulnérabilités classées de gravité élevée par Mozilla. L’entreprise affirme aussi avoir établi que 30 failles connues étaient plus graves que ce qui avait été rapporté auparavant.
L’avis de sécurité de Firefox 159, publié par Mozilla le 27 octobre 2026, recense plusieurs correctifs de gravité élevée et crédite des contributeurs d’OpenAI, dont Amy Burnett et OpenAI Codex Security. Il n’attribue pas chaque découverte à GPT-6 Cyber. L’avis de Mozilla ne désigne pas ce modèle comme responsable des failles listées.
Dans un témoignage vidéo publié par OpenAI, Brian Grinstead, ingénieur distingué de Firefox chez Mozilla, évoque les premiers essais, les vulnérabilités repérées et les tests reproductibles transmis avec des correctifs.
Les tests de périmètre et la simulation de Dragos
Dans ExploitGym, qui évalue l’exploitation d’une vulnérabilité donnée sur une cible distante, GPT-6 Cyber a obtenu 48,5 %, contre 32,1 % pour GPT-5.6 Cyber, selon OpenAI. Dans ExploitGym Honeypot, l’entreprise rapporte que le modèle a évité d’exploiter des services hors périmètre dans 99,93 % des tests sans instruction de déploiement. Avec cette instruction, il est resté dans les limites dans 100 % des tests.
OpenAI indique que Dragos a mené des évaluations en laboratoire dans un environnement contrôlé. Rob T. Lee, directeur de l’IA chez Dragos, décrit une maquette de centrale électrique où un modèle de pointe a séparé les équipements de technologie opérationnelle (OT) du trafic informatique (IT). Le modèle a repéré deux vulnérabilités zero-day dans un logiciel d’ingénierie gérant les données de relais de protection, exposant des réglages de protection et la logique de déclenchement de disjoncteurs. Son récit porte sur cette simulation contrôlée.
