La vitesse carbone subit à nouveau une défaite dimensionnelle face à l'intelligence silicium !
Pour éviter une apocalypse cybernétique, OpenAI étend le programme « Daybreak » (Aube).
OpenAI lance GPT-5.6-Cyber, un modèle dédié à la sécurité de l'information, bouleversant complètement le paradigme de la cybersécurité.

OpenAI dévoile désormais les résultats de GPT-5.6-Cyber : le nouveau modèle a découvert d'un coup plus de 400 failles dans des noyaux, incluant :
- une faille critique dans V8, le moteur JavaScript de Chrome ;
- un système d'exploitation mobile grand public : au moins 5 failles, dont une chaîne complète d'élévation de privilèges locale depuis une application non fiable ;
- une base de données grand public : 3 failles critiques, incluant une voie d'exécution de code à distance ;
- le noyau d'un système d'exploitation grand public : plus de 400 failles pouvant conduire à une élévation de privilèges.
Actuellement, GPT-5.6-Cyber nécessite une authentification et une validation pour rejoindre le programme « Daybreak » (Aube).
OpenAI : L'IA franchira un « point de bascule »
Il y a quelques jours, OpenAI a appuyé sur le frein.
La prochaine génération Astra s'est montrée trop puissante en évaluation interne, « on ne peut exclure » qu'elle ait déjà atteint un niveau « critique » en capacité de cybersécurité. Toutes les activités Astra ne respectant pas des exigences de sécurité renforcées ont été suspendues.

Nul doute que si des vulnérabilités informatiques étaient exploitées à mauvais escient, les conséquences seraient désastreuses : vos informations personnelles, vos mots de passe bancaires, voire des fuites à l'échelle du web !
Le plus embarrassant, c'est que les modèles les plus puissants comme Claude Fable 5 ou ChatGPT 5.6 Sol « protègent des honnêtes gens, pas des malveillants ».
Lorsque les professionnels de la défense veulent utiliser l'IA pour simuler une attaque ou vérifier une vulnérabilité zero-day, les grands modèles refusent souvent catégoriquement : « Désolé, je ne peux pas vous aider. »
Après l'intrusion de l'IA interne d'OpenAI sur HuggingFace, ce sont des modèles open-source chinois qui ont nettoyé les dégâts.
L'arrivée du programme Daybreak bouleverse tout cela.
OpenAI divise ce programme en deux canaux distincts, offrant aux chercheurs en sécurité informatique la plus puissante des « lances et boucliers » :
- Daybreak Blue (Canal Bleu) : Fournit aux défenseurs le modèle GPT-5.6 Sol générique, mais avec les barrières systémiques entravant les travaux de défense légitimes retirées. Il est adapté à la découverte de vulnérabilités courantes, l'audit de code sécurisé, l'analyse de logiciels malveillants et la validation de correctifs.
- Daybreak Red (Canal Rouge) : Canal central conçu pour la recherche autorisée de vulnérabilités, la validation d'exploits et les tests d'équipe rouge. Le support dans ce canal est assuré par GPT-5.6-Cyber, spécialement entraîné pour cela.

OpenAI a testé le nouveau modèle sur des scénarios avancés de cybersécurité comme le développement de chaînes d'exploitation, le contournement d'authentification ou l'élévation de privilèges.
GPT-5.6-Cyber a complété 95.0 % de ces requêtes, contre seulement 1.5 % pour GPT-5.6 Sol, et 2.0 % avec un accès Daybreak Blue.

En d'autres termes, les chercheurs en sécurité n'ont plus à être traités différemment. Désormais, l'IA de cyber-attaque/défense la plus puissante est là.
Comme l'a commenté Jared Atkinson, CTO de la société de sécurité SpecterOps :
Dans un environnement de confiance régulé, réduire les refus de réponse inutiles permet aux chercheurs en sécurité de rester concentrés, de consacrer leur temps à valider les vulnérabilités et à les transformer en valeur défensive, plutôt que de lutter contre les garde-fous du modèle.
GPT-5.6-Cyber
Le modèle ChatGPT le plus puissant en sécurité de l'information
Basé sur GPT-5.6 Sol, GPT-5.6-Cyber a été entraîné spécifiquement pour la sécurité, battant de nombreux benchmarks. C'est le modèle de sécurité le plus puissant de ChatGPT.
Dans l'exploitation, la découverte et l'évaluation de vulnérabilités, GPT-5.6-Cyber surpasse largement GPT-5.6-Sol.

La seule surprise concerne la découverte de vulnérabilités et la rédaction de rapports : le score final de GPT-5.6-Cyber a été inférieur à celui de GPT-5.6 Sol.
La raison pourrait résider dans l'apprentissage par renforcement profond et le réglage fin d'alignement effectués par GPT-5.6-Cyber sur les tâches de cyber-attaque/défense.
Lorsqu'il découvre une faille, il souhaite simplement prouver son existence avec le code le plus concis et le plus rapidement possible. Quant à expliquer en détail ses causes en langage humain ou rédiger de longs rapports de sécurité, il montre une impatience totale.

Si les indicateurs et scores sont trop abstraits, la chasse aux vulnérabilités dans de vastes bases de code réelles est l'épreuve ultime pour vérifier si GPT-5.6-Cyber possède vraiment l'intuition d'un « détective cyber ».
Face à des millions de lignes de code complexes, pour trouver une vulnérabilité significative, l'IA doit, comme un hacker humain, franchir plusieurs obstacles : formuler une hypothèse sur le fonctionnement du système, simuler des interactions anormales entre composants, capturer des corruptions mémoire fugaces, et finalement prouver que cette faille est exploitable.
Une fois GPT-5.6-Cyber entraîné, l'équipe de recherche en sécurité d'OpenAI l'a dirigé vers V8 – le moteur JavaScript massif et complexe de Chrome, construit en C++.
Et l'IA a trouvé une faille critique.
Lorsque le moteur tentait de convertir certaines valeurs spécifiques en entiers, le compilateur sautait par erreur les vérifications de sécurité.
Si une valeur censée être indéfinie (Undefined) était introduite, le système ne générait pas d'erreur comme prévu, mais produisait un entier anormalement grand. Si ce nombre était ensuite utilisé comme index d'un tableau, le désastre survenait : le compilateur JIT pensait à tort que l'index était toujours dans les limites sûres du tableau, omettant ainsi la vérification des bornes à l'exécution.
À ce stade, l'IA avait accompli la première étape : le jailbreak. Un attaquant pouvait déjà lire ou écrire arbitrairement dans la mémoire d'autres objets au sein du bac à sable (sandbox) de V8.

Mais pour exécuter réellement du code malveillant, il fallait trouver une seconde clé – s'échapper du bac à sable.
De façon impressionnante, la réflexion de GPT-5.6-Cyber ne s'est pas arrêtée. En suivant la piste, par une association contextuelle extrêmement aiguë, il a cherché et exploité de manière autonome une seconde vulnérabilité : un défaut d'échappement de pile (Stack Escape) dans JSPI (JavaScript Promise Integration).
En « enchaînant (Chaining) » habilement ces deux failles, l'IA a réussi à créer un passage secret vers les couches basses du système, exécutant du code arbitraire en dehors du bac à sable de Chrome.
L'équipe OpenAI a rapidement soumis ces résultats à l'équipe de sécurité de Google, et la faille a été corrigée.
C'est un jalon dans l'histoire de l'IA : l'IA possède désormais une « logique créative » capable de construire des chaînes de vulnérabilités à travers des composants.
Et Chrome V8 n'est qu'une proie sur sa liste de chasse.
GPT-5.6-Cyber a déjà démontré une « puissance de frappe » terrifiante dans plusieurs infrastructures numériques critiques :
Pirater un OS smartphone
Dans un système d'exploitation mobile comptant des centaines de millions d'utilisateurs, l'IA a identifié indépendamment 5 failles critiques et a construit avec succès une chaîne d'attaque complète d'une « application non autorisée ordinaire » à « l'obtention de privilèges système suprêmes » (élévation de privilèges locale).
Envahir une base de données populaire
Dans une grande base de données open-source, l'IA a découvert 3 défauts mortels consécutifs, incluant une voie d'exécution de code à distance (RCE) directement exploitable depuis l'extérieur.
Grand nettoyage du noyau
Dans le noyau d'un système d'exploitation grand public, GPT-5.6-Cyber, comme une moissonneuse entièrement automatisée, a balayé plus de 400 vulnérabilités potentielles utilisables pour une élévation de privilèges.
L'IA ne crée pas le danger, elle l'expose
Beaucoup interprètent l'apparition de GPT-5.6-Cyber comme « l'IA rendant l'espace cyber plus dangereux ».
Mais une formulation plus précise serait : elle expose de manière anticipée, concentrée et à grande échelle les dangers qui existaient déjà, mais étaient masqués par les limites de la capacité de production des experts humains.
Les vulnérabilités zero-day ont toujours existé.
Les chemins potentiels d'élévation de privilèges dans les noyaux ont toujours été là. Seulement, autrefois, les découvrir coûtait extrêmement cher et était très lent. Aujourd'hui, le coût baisse, la vitesse augmente. Les attaquants les utiliseront, les défenseurs doivent aussi les utiliser.
Le choix d'OpenAI est essentiellement un pari audacieux – plutôt que de laisser les capacités offensives se massifier d'abord dans l'ombre, il vaut mieux confier d'abord un pouvoir tout aussi tranchant à des défenseurs sélectionnés, même si cela signifie assumer le risque que « l'outil puisse être mal utilisé ».
La fenêtre de la défense cyber se réduit à la vitesse de l'IA. Le temps laissé à l'hésitation humaine se compte désormais en heures.
Références :
https://openai.com/index/expanding-daybreak-as-the-cyber-defense-window-narrows/
https://openai.com/business/solutions/cybersecurity/
Cet article provient du compte WeChat public « 新智元 », auteur : ASI启示录, édité par : 大卫







