OpenAI présente GPT-6 Cyber pour la détection des vulnérabilités en cybersécurité

OpenAI a présenté GPT-6 Cyber, un modèle conçu pour la recherche en cybersécurité. Selon OpenAI, le modèle est entraîné à trouver et valider des vulnérabilités exploitables tout en restant dans le périmètre défini par les chercheurs.

Performance et benchmarks

OpenAI signale que GPT-6 Cyber présente des améliorations significatives par rapport à GPT-5.6 Cyber sur plusieurs indicateurs :

• ExploitGym : GPT-6 Cyber a obtenu 48,5 %, contre 32,1 % pour GPT-5.6 Cyber.
• Respect du périmètre : Lors des évaluations d'alignement, GPT-6 Cyber a évité d'exploiter des services hors périmètre dans 99,93 % des tests sans invite de déploiement, et dans 100 % des tests avec une telle invite.
• Tests de pénétration Web : GPT-6 Cyber a atteint un rappel de vulnérabilités de 40,3 %, tandis que GPT-6 Astra a atteint 32,0 %.

OpenAI a classé le modèle comme « Critique » en cybersécurité dans son cadre de préparation, soit une augmentation par rapport à la classification « Élevée » attribuée à GPT-5.6 Cyber.

Application concrète

OpenAI indique que le modèle est déjà utilisé pour sécuriser divers systèmes logiciels. Les impacts signalés incluent :

• Firefox : Les chercheurs ont utilisé le modèle pour identifier 81 vulnérabilités de haute gravité jusqu'alors inconnues. Brian Grinstead, ingénieur distingué chez Firefox, a déclaré : « GPT-6 Cyber a révélé des vulnérabilités de haute gravité jusqu'alors inconnues, identifié des améliorations architecturales et nous a aidé à déployer des correctifs pour des millions d'utilisateurs. »
• Linux : Les chercheurs d'OpenAI ont utilisé le modèle pour développer des exploits fonctionnels pour 948 vulnérabilités d'élévation de privilèges.
• Infrastructure : OpenAI a signalé avoir utilisé le modèle pour trouver et corriger des faiblesses dans sa propre infrastructure.

Les équipes de sécurité de Cisco, en Californie, et de CodeRabbit utilisent également le modèle pour la revue de code et la recherche sur les vulnérabilités.

Mesures de sécurité et infrastructures critiques

Pour prévenir les abus, OpenAI a mis en place plusieurs protections, notamment une surveillance spécifique des désalignements en cybersécurité et un Traitement de sécurité privé (PSP), qui examine les dossiers chiffrés pour détecter les abus sans exposer les invites au personnel d'OpenAI.

OpenAI cible également la protection des infrastructures critiques, telles que les centrales électriques et les stations d'épuration. L'entreprise a lancé un programme de subventions Daybreak for Frontline Defenders d'un milliard de dollars pour subventionner l'accès des équipes aux ressources limitées.

Dans un environnement de laboratoire contrôlé, Dragos, un fournisseur de cybersécurité pour les technologies opérationnelles (xOT), a évalué les modèles Daybreak Red cyber-permissifs. Rob T. Lee, directeur de l'IA chez Dragos, a déclaré : « À lui seul, il a séparé les actifs OT du bruit IT, puis a trouvé deux vulnérabilités zero-day dans le logiciel de gestion des données des relais de protection, exposant les paramètres de protection et la logique de déclenchement des disjoncteurs. »

Sources (en anglais)

• openai.com: GPT‑6 Cyber: Advancing the frontier of aligned cybersecurity agents | OpenAI

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.