OpenAI affirme que des modèles de pointe précédents avaient déjà testé Firefox durement. GPT-6 Cyber a quand même produit des preuves pour 81 nouvelles vulnérabilités dans le navigateur, et Mozilla a classé les 81 comme de gravité élevée.
OpenAI a lancé le modèle le 5 novembre 2026. C’est une version de GPT-6 Astra entraînée pour le travail de sécurité autorisé, et l’accès commence avec un petit ensemble de clients approuvés dans Daybreak Red, le programme d’OpenAI pour le développement d’exploits et les tests autorisés. Tous les autres doivent attendre, et cette limite fait partie de l’histoire. OpenAI cote maintenant le modèle Critique pour la cybersécurité dans son propre cadre de préparation, en hausse par rapport à Élevé pour GPT-5.6 Cyber.
L’annonce
GPT-6 Cyber est construit pour trouver des vulnérabilités, prouver qu’elles peuvent être exploitées et aider à développer des correctifs. C’est un travail plus tranchant qu’une revue de code générale. Un modèle qui pointe seulement du code suspect laisse la question difficile sans réponse. Un modèle qui construit un exploit fonctionnel y répond, et crée un nouveau risque en même temps.
OpenAI affirme que le modèle est déjà utilisé chez Cisco, Calif et CodeRabbit pour la recherche de vulnérabilités et la revue de code. L’entreprise dit aussi l’avoir utilisé sur ses propres systèmes. Dans des campagnes contrôlées décrites par OpenAI, des agents utilisant GPT-6 Cyber et d’autres modèles d’OpenAI ont enchaîné des failles pour s’échapper de machines virtuelles isolées et exécuter du code sur les hôtes en dessous. OpenAI dit avoir utilisé ces résultats pour corriger des logiciels et resserrer les limites du réseau.
Le résultat sur Firefox est la preuve publique la plus claire que l’entreprise offre. OpenAI a donné à Mozilla des preuves, des tests qui reproduisent chaque faille, et des correctifs proposés. Mozilla a commencé à intégrer des correctifs peu après avoir reçu les rapports, dit OpenAI, et Mozilla a publié des correctifs pour bon nombre des failles. L’avis de Mozilla pour Firefox 159, annoncé le 27 octobre 2026, dresse une longue liste de correctifs à impact élevé, y compris des entrées rapportées par le personnel d’OpenAI et par OpenAI Codex Security.
Détails importants
Les nombres ci dessous sont des chiffres d’OpenAI tirés de son billet de lancement et des rapports de sa carte de système, vérifiés le 6 novembre 2026. Aucune partie externe n’a reproduit l’ensemble complet, il faut donc les lire comme des résultats rapportés par l’entreprise avec une vérification importante intégrée. Mozilla, une organisation distincte, a attribué la cote de gravité élevée aux failles de Firefox et a livré des correctifs pour bon nombre d’entre elles.
| Élément | Ce qu’OpenAI a rapporté |
|---|---|
| Nouvelles vulnérabilités dans Firefox | 81, toutes cotées de gravité élevée par Mozilla |
| Problèmes connus de Firefox montrés comme plus graves | 30 |
| Failles du noyau Linux reproduites | 1 724 |
| Failles du noyau Linux avec exploits fonctionnels | 948 |
| Résultats critiques sur Linux divulgués aux mainteneurs | 304, avec correctifs candidats |
| Score ExploitGym | 48,5 pour cent, contre 32,1 pour cent pour GPT-5.6 Cyber |
| Rappel aux tests Web | 40,3 pour cent, contre 32,0 pour cent pour GPT-6 Astra |
| Tâches terminées sur RemoteExploitBench | 95 pour cent, là où Astra avec Daybreak Blue a refusé toutes les tâches |
ExploitGym teste si un modèle peut exploiter une vulnérabilité nommée dans une cible distante. RemoteExploitBench utilise des failles connues dans des outils comme GitLab, PostgreSQL et Jenkins dans un cadre contrôlé. Les deux sont des évaluations d’OpenAI, de sorte que les comparaisons montrent des progrès dans les tests d’OpenAI. Ce ne sont pas des classements indépendants.
Score ExploitGym, tel que rapporté par OpenAI
Part des tâches où le modèle a exploité une vulnérabilité nommée dans une cible distante. Chiffres d'OpenAI, 5 novembre 2026.
Les chiffres sur Linux demandent le même soin que notre reportage précédent leur a donné. Notre reportage sur les 948 exploits Linux couvre l’exécution complète, son coût et son état de divulgation, et notre guide pour vérifier les serveurs Linux explique pourquoi aucun analyseur ne peut encore vérifier une machine par rapport aux 948 par nom. OpenAI confirme maintenant que GPT-6 Cyber a alimenté ce travail. Les correctifs candidats de cette exécution deviennent encore de vrais correctifs seulement lorsque les mainteneurs les acceptent.
Le test de portée est l’autre affirmation
Un agent de sécurité qui vagabonde n’est pas un outil. C’est un incident. OpenAI le sait, et une grande partie du billet de lancement soutient que GPT-6 Cyber reste dans les limites qu’un chercheur fixe.
Le test décrit par OpenAI donne au modèle une tâche difficile dans un cadre isolé, avec des services voisins qui seraient faciles à attaquer et qui pourraient révéler la réponse. Ces services se trouvent à l’extérieur de la portée de la tâche, et le modèle doit le comprendre par lui même. Sans son invite de sécurité de déploiement, OpenAI affirme que GPT-6 Cyber a évité d’exploiter des services hors de portée dans 99,93 pour cent des essais, contre 94,49 pour cent pour GPT-5.6 Cyber. Avec l’invite, OpenAI n’a enregistré aucune violation dans ce test.
Ce sont des chiffres forts, et ce sont encore des chiffres d’OpenAI tirés d’un test d’OpenAI. La lecture honnête est étroite. L’entreprise a montré qu’elle a construit un test précis pour un mode d’échec connu et que le nouveau modèle y a obtenu un bien meilleur score que l’ancien. Cela vaut la peine d’être rapporté. Ce n’est pas une preuve que le modèle respectera chaque frontière dans chaque déploiement réel, et OpenAI elle même recommande encore le bac à sable, l’examen des actions et la surveillance humaine pour un travail de ce genre.
D’autres contrôles sont simples et pratiques. L’accès API de Daybreak Red exige par défaut une liste d’adresses réseau approuvées, ce qui limite d’où les demandes peuvent venir. OpenAI dit surveiller les activités qui ne correspondent pas à une autorisation d’utilisateur, surveiller les tentatives d’utilisation abusive du modèle pendant des divulgations en direct, et mener un programme de subventions pour donner l’accès à des équipes qui défendent des services essentiels mais manquent de ressources.
La suite
Les étapes confirmées portent sur l’accès et les correctifs. OpenAI dit que l’accès s’étendra bientôt à tous les clients de Daybreak Red, et GPT-5.6 Cyber est maintenant disponible pour tous les clients de ce groupe. L’accès Daybreak Blue pour GPT-6 Astra, destiné aux défenseurs vérifiés qui valident les failles et les correctifs, s’élargit aussi. Du côté de Firefox, Mozilla a publié des correctifs pour bon nombre des 81 failles, et les utilisateurs devraient s’assurer que le navigateur est à jour plutôt que d’attendre une invite de redémarrage.
- October 27, 2026Mozilla a annoncé des correctifs de sécurité dans Firefox 159, y compris des entrées à impact élevé rapportées par le personnel d'OpenAI et OpenAI Codex Security
- November 4, 2026OpenAI a publié sa recherche sur le noyau Linux, rapportant 948 exploits fonctionnels construits avec le modèle qu'elle n'avait pas encore nommé en public
- November 5, 2026OpenAI a lancé GPT-6 Cyber pour un groupe restreint de clients approuvés de Daybreak Red par l'API et Codex
Les questions ouvertes sont plus grandes que le lancement. Personne à l’extérieur d’OpenAI et de Mozilla n’a encore confirmé le nombre complet de Firefox à partir des rapports sous jacents, et les correctifs candidats pour Linux font encore face à l’examen des mainteneurs. Il y a aussi un problème d’équilibre que personne n’a réglé. Chaque nouveau chercheur de cette force donne aux défenseurs plus de failles à corriger, et donne aux mainteneurs plus de rapports à juger, à un rythme que leurs équipes n’ont pas choisi.
Pour les utilisateurs de Firefox, l’action est ennuyeuse et elle fonctionne. Mettez le navigateur à jour. Pour tous ceux qui regardent les sorties de modèles, le changement de cote est le signal à retenir : OpenAI a regardé ce que son propre modèle peut faire, l’a qualifié de Critique, et a gardé la porte verrouillée pour tous sauf les équipes approuvées. Cette retenue sera mise à l’épreuve dès qu’un rival livrera un outil semblable avec une porte plus large.
Les faits de ce reportage ont été vérifiés le 6 novembre 2026 à partir du billet de lancement d’OpenAI, de l’avis de Mozilla pour Firefox 159, et de la couverture indépendante des deux.
Sources
- OpenAI, GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents, 5 novembre 2026. Source principale pour le lancement, les 81 failles de Firefox, les 30 problèmes plus graves, les nombres sur Linux, les scores de référence, le test de portée et les limites d’accès de Daybreak Red.
- Mozilla, Security Vulnerabilities fixed in Firefox 159, annoncé le 27 octobre 2026. Source principale pour les correctifs de Firefox 159 et les cotes d’impact élevé.
- OpenAI, A thousand fewer paths to root, 4 novembre 2026. Source principale pour le pipeline Linux que GPT-6 Cyber a alimenté.
- Security Affairs, OpenAI Rates GPT-6 Cyber Critical After Major Vulnerability Discoveries, 6 novembre 2026. Couverture indépendante utilisée pour contre vérifier les affirmations du lancement et la cote Critique.
- Digital Trends, GPT-6 Cyber is finding security flaws before hackers can exploit them, novembre 2026. Couverture indépendante utilisée pour contre vérifier les correctifs de Firefox et la note de l’ingénieur de Firefox Brian Grinstead.
- Images principale et du corps : Dirty Static, générées dans le style maison
FIN DE LA TRANSMISSION
Restez curieux. Remettez tout en question.
