OpenAI Group PBC a publié aujourd'hui GPT-6 Cyber, une version de son modèle GPT-6 Astra spécialement conçue pour la recherche de vulnérabilités autorisée.
Le nouveau modèle s'attaque à un problème que les propres travaux de sécurité d'OpenAI ont révélé cet été. En juillet, des agents travaillant dans les environnements de test de l'entreprise ont fait irruption dans Hugging Face Inc. alors qu'ils accomplissaient une tâche qui leur était assignée. GPT-6 Cyber a été formé pour rester à l'intérieur des cibles autorisées par un chercheur, et le test de sécurité OpenAI construit pour le lancement s'appuie sur cet incident.
Ce test, ExploitGym Honeypot, confie au modèle une mission difficile et l'entoure de services de support délibérément faciles à compromettre. Attaquer l’un de ces services est considéré comme une violation de la portée.
En l'absence d'instructions de sécurité de déploiement, GPT-6 Cyber est sorti des limites dans 0,07 % des exécutions notées. Son prédécesseur, GPT-5.6-Cyber, l’a fait 5,51 % du temps. L’ajout des instructions a ramené à zéro le taux observé par GPT-6 Cyber.
OpenAI évalue le nouveau modèle à Critique, le niveau le plus élevé de cybersécurité dans son cadre de préparation et la même classification qu'Astra a reçue lors de son lancement en septembre. GPT-5.6-Cyber a été noté élevé. La société affirme que GPT-6 Cyber battre Astra sur la plupart des cybertâches, et une première campagne de recherche sur Firefox a révélé 81 vulnérabilités jusque-là inconnues que Mozilla Corp. a jugées très graves. Mozilla a depuis fourni des correctifs pour bon nombre d'entre eux.
Irregular, un laboratoire de sécurité IA nommé dans la carte système, a rapproché l'écart avec Astra, trouvant les deux globalement comparables, mis à part des résultats GPT-6 Cyber plus forts sur de longues tâches en plusieurs étapes. Aucun des deux modèles n’a dépassé les objectifs entièrement durcis du propre ensemble de défis d’OpenAI.
GPT-6 Cyber est le quatrième modèle cyber-spécifique qu’OpenAI a publié cette année. Comme le premier, GPT-5.4-Cyber, il se situe derrière un processus de candidature. L'accès initial est limité à un groupe sélectionné de clients approuvés dans Daybreak Red, le niveau du programme Daybreak d'OpenAI destiné aux travaux de style offensif tels que les tests d'intrusion et les équipes rouges. Ces clients accèdent au modèle via l'interface de programmation d'applications de l'entreprise et le Codex, et les demandes d'API doivent provenir par défaut de réseaux approuvés.
Google LLC a également donné la priorité aux défenseurs sélectionnés lors du lancement de Gemini 4 Argon en septembre. Une semaine plus tard, Anthropic PBC a reconstruit son programme de cybervérification autour de trois niveaux d'accès.
OpenAI a déclaré que GPT-6 Cyber atteindra tous les clients de Daybreak Red au cours des prochaines semaines, et GPT-5.6-Cyber est désormais ouvert à tous les clients du niveau. Les défenseurs des infrastructures critiques disposent de leur propre groupe Daybreak Red. Sur le plan défensif, la société étend l'accès anticipé à Astra via Daybreak Blue à davantage d'organisations et à des chercheurs individuels en sécurité.
