GPT-6 Cyber : Audits de sécurité automatisés et propositions de correctifs pour les petites équipes

OpenAI a lancé GPT-6 Cyber, un modèle d'IA spécialement entraîné pour traquer les failles de sécurité logicielle, créer des exploits fonctionnels et proposer des correctifs. Selon The Decoder, le modèle a atteint un taux de réussite de 100 % dans le respect des limites opérationnelles lorsque les instructions de sécurité étaient activées, marquant une amélioration significative de la fiabilité par rapport à son prédécesseur.

Ce qui s'est passé

The Decoder rapporte que GPT-6 Cyber obtient un score de 48,5 pour cent au test ExploitGym, contre 32,1 pour cent pour GPT-5.6 Cyber. Lors de tests réels, le modèle a identifié 81 vulnérabilités critiques inédites dans Firefox et a reproduit 1 724 failles de sécurité dans le noyau Linux, développant des exploits fonctionnels pour 948 d'entre elles. OpenAI indique que l'ensemble de la campagne sur le noyau Linux a coûté 1 213 430 dollars en calcul, soit 1 279 dollars par exploit. C'est nettement inférieur aux primes de 20 000 à 70 000 dollars versées historiquement par des programmes comme Pwn2Own. Le modèle est actuellement disponible via l'API et Codex pour certains clients Daybreak Red, avec un accès plus large prévu. OpenAI souligne que tous les chiffres des tests proviennent d'évaluations internes et qu'aucun test indépendant n'a encore été publié.

Pourquoi c'est important pour les propriétaires de petites entreprises et les chefs d'équipe

Pour les petites entreprises, l'obstacle traditionnel aux audits de sécurité de niveau entreprise a toujours été le coût et la rareté des talents. Bien que le coût total de 1,2 million de dollars pour un balayage complet du noyau soit hors de portée de la plupart des PME, le coût de 1 279 dollars par exploit change la donne. Auparavant, engager un chercheur en sécurité spécialisé ou payer pour un test d'intrusion manuel pouvait coûter des dizaines de milliers de dollars pour une seule découverte. GPT-6 Cyber fait passer le paradigme d'audits périodiques coûteux à une découverte continue et automatisée des vulnérabilités. Cependant, la principale contrainte reste l'accès. Le modèle étant initialement limité à certains clients Daybreak Red, les petites équipes doivent évaluer si elles peuvent y accéder ou si elles doivent s'appuyer sur le déploiement plus large de GPT-5.6 Cyber. La capacité du modèle à proposer des correctifs, et pas seulement à trouver des bugs, réduit la charge opérationnelle des petites équipes d'ingénierie qui manquent souvent de personnel de sécurité dédié. Cela permet à une équipe de développement de deux personnes de gérer des correctifs de sécurité qui nécessitaient auparavant une agence externe.

Que faire cette semaine

1. Auditez votre chaîne d'approvisionnement logicielle actuelle pour identifier les trois principales applications critiques où une vulnérabilité causerait le plus de dégâts financiers ou opérationnels immédiats, en les priorisant pour l'adoption précoce d'outils de balayage automatisés.
2. Inscrivez votre organisation au programme Daybreak Red ou surveillez la documentation de l'API d'OpenAI pour le déploiement de GPT-5.6 Cyber, car c'est le point d'entrée probable pour les petites équipes avant que GPT-6 Cyber ne devienne largement disponible.
3. Établissez un protocole interne simple pour traiter les propositions de correctifs générées par l'IA, incluant une étape obligatoire de révision manuelle du code, afin de limiter le risque d'introduire de nouvelles vulnérabilités tout en profitant de la rapidité du modèle.

Sources

• OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them — The Decoder