OpenAI a présenté GPT-6 Cyber, un modèle d'intelligence artificielle spécialisé en la cybersécurité, capable de détecter les vulnérabilités dans les logiciels, de vérifier s'il est possible de les exploiter et d'aider au développement de solutions pour les corriger.
L'outil est conçu pour les chercheurs et les équipes de défense numérique, bien que ses capacités soulèvent également des risques s'ils sont utilisés pour attaquer des systèmes sans autorisation.
L'entreprise a indiqué que le modèle a déjà été utilisé pour trouver 81 vulnérabilités inconnues et de haute gravité dans Mozilla Firefox. Les résultats ont été communiqués à Mozilla, qui a commencé à travailler sur les correctifs et a déjà publié des correctifs pour plusieurs de ces problèmes.
OpenAI a également souligné que le système a développé des exploits fonctionnels pour 948 vulnérabilités du noyau Linux, le composant central qui permet au système d'exploitation de gérer les ressources d'un ordinateur.
Le lancement intervient à un moment où les outils d'intelligence artificielle peuvent accélérer aussi bien la protection des réseaux que la préparation d'attaques informatiques. Pour cette raison, OpenAI a classé GPT-6 Cyber avec un niveau de risque « Critique » en cybersécurité, selon son cadre interne d'évaluation.
Que peut faire GPT-6 Cyber et comment détecte-t-il les vulnérabilités
Contrairement aux modèles à usage général, GPT-6 Cyber a été entraîné pour effectuer des tâches spécialisées de recherche en sécurité. Parmi celles-ci figurent l'analyse de grandes quantités de code, l'identification d'erreurs pouvant permettre un accès non autorisé à un système et la vérification si une vulnérabilité peut se transformer en vecteur d'attaque.
Le modèle peut également développer des tests d'exploitation, connus sous le nom d'exploits, et proposer des modifications pour corriger les erreurs trouvées. Cela permet aux équipes de sécurité non seulement de recevoir une alerte sur un défaut, mais aussi de disposer d'informations techniques pour évaluer son impact et préparer une solution.
Dans le cas de Linux, OpenAI a indiqué que le système a réussi à reproduire 1 724 vulnérabilités et à construire des exploits fonctionnels pour 948 d'entre elles. L'entreprise a déclaré avoir communiqué 304 découvertes critiques aux responsables du projet, accompagnées de correctifs possibles pour examen.
Ces résultats montrent le potentiel de l'intelligence artificielle pour accélérer les audits qui, autrement, pourraient nécessiter des semaines de travail spécialisé. Cependant, les découvertes doivent être examinées par des professionnels avant d'être intégrées aux programmes concernés.
Pourquoi OpenAI a restreint l'accès au nouveau modèle
En raison du fait que GPT-6 Cyber peut développer des outils pour exploiter des vulnérabilités informatiques, OpenAI a décidé de limiter sa disponibilité. Pour l'instant, seuls certains clients ayant été approuvés dans le cadre de Daybreak Red, un programme destiné aux chercheurs et aux organisations réalisant des tests de sécurité autorisés, peuvent y accéder.
Pour y avoir accès, les participants doivent réussir des vérifications d'identité et respecter des exigences de protection des comptes. Dans le cas des organisations, des mesures telles que l'authentification multifactorielle, la connexion unique et l'autorisation d'adresses IP sont prévues pour utiliser l'API. L'entreprise prévoit également d'étendre progressivement l'accès à d'autres membres du programme.
Cette restriction répond à une préoccupation concrète : un outil capable de découvrir des vulnérabilités et de construire des exploits pourrait également faciliter les attaques s'il tombait entre de mauvaises mains. C'est pourquoi, OpenAI a intégré des contrôles pour bloquer les demandes impliquant des activités à haut risque contre les infrastructures critiques, les services essentiels et les systèmes industriels.
Une IA qui doit respecter les limites des tests
Un autre aspect central du développement est que le modèle puisse travailler uniquement sur les systèmes autorisés par les chercheurs. Pour évaluer ce comportement, OpenAI a réalisé des tests où GPT-6 Cyber devait identifier des vulnérabilités sans tenter d'attaquer d'autres services disponibles dans l'environnement d'expérimentation.
Selon les résultats publiés par la compagnie, le système a respecté les limites établies dans 99,93 % des tests sans instructions de sécurité supplémentaires. Lorsque les protocoles de protection ont été activés pour sa mise en œuvre, il a atteint 100 % à cette évaluation. Ces chiffres correspondent à des scénarios contrôlés et ne représentent pas une garantie absolue que le modèle ne pourra jamais sortir des limites assignées.
La compagnie recommande également d'utiliser des environnements isolés, une supervision humaine et des outils qui vérifient les actions avant de les exécuter. De cette manière, elle cherche à réduire la possibilité qu'une recherche légitime finisse par affecter des systèmes tiers ou provoque des dommages.