Sécurité

GPT-6 Cyber en chiffres : classé Critique, 588 des 948 exploits Linux visent des failles inconnues, 304 constats critiques transmis aux mainteneurs avec des correctifs proposés

OpenAI classe GPT-6 Cyber « Critique ». Sur 948 exploits Linux, 588 visent des failles inédites ; 304 constats critiques transmis avec correctifs proposés.

Par Audryk · 6 novembre 2026

• Modèles
• #OpenAI
• #GPT-6 Cyber
• #noyau Linux
• #Preparedness Framework
• #Daybreak Red
• #vulnérabilités
• #cybersécurité

OpenAI classe son modèle GPT-6 Cyber au niveau Critique, le plus haut de son Preparedness Framework pour les capacités cyber. Selon OpenAI, relayée par la presse, une campagne de recherche a reproduit 1 724 vulnérabilités du noyau Linux et construit des exploits fonctionnels pour 948 d'entre elles, dont 588 visaient des failles jusque-là inconnues, et 304 constats critiques ont été transmis aux mainteneurs avec des correctifs proposés. Tous ces chiffres viennent d'OpenAI et aucun n'a été vérifié de façon indépendante. Cet article décortique les nombres ; il fait suite à nos articles sur la sortie du modèle et sur la chaîne à 1,2 million de dollars pour Linux.

L'essentiel

• Critique : le plus haut niveau de risque cyber du Preparedness Framework d'OpenAI ; GPT-5.6 Cyber était classé Élevé.
• 948 et 588 : exploits fonctionnels pour 948 vulnérabilités du noyau Linux sur 1 724 reproduites ; 588 des 948 (environ 62 %) visaient des failles jusque-là inconnues, ce qui en laisse 360 qui n'étaient pas nouvelles.
• 304 : constats critiques transmis aux mainteneurs de Linux avec des correctifs proposés. « Proposé » veut dire soumis à examen, pas intégré.
• Cinq fois plus : 948 exploits contre 166 pour GPT-5.6 Sol dans le même dispositif, selon OpenAI.
• Accès : seuls certains clients Daybreak Red sélectionnés, via l'API et Codex, pour l'instant.

Que signifie le niveau Critique ?

Critique est le plus haut niveau de risque pour les capacités cyber dans le Preparedness Framework d'OpenAI. Selon The Register, il signifie qu'un modèle peut trouver et développer des exploits zero-day fonctionnels dans des systèmes critiques réels et mener des cyberattaques de bout en bout. GPT-6 Cyber est classé Critique, contre Élevé pour GPT-5.6 Cyber, et The Decoder note que c'est le même niveau que son modèle de base, GPT-6 Astra. Ce classement est la propre évaluation de capacité d'OpenAI, pas la constatation qu'une attaque a eu lieu, et il s'accompagne d'un accès restreint : GPT-6 Cyber est disponible via l'API et Codex pour un groupe choisi de clients Daybreak Red approuvés, avec un accès élargi aux clients Daybreak Red prévu dans les prochaines semaines.

Comment s'articulent 1 724, 948, 588 et 304 ?

Selon OpenAI, relayée : les chercheurs ont reproduit 1 724 vulnérabilités du noyau Linux et construit des exploits fonctionnels pour 948 d'entre elles (environ 55 %), soit plus de cinq fois les 166 obtenus par GPT-5.6 Sol dans le même dispositif. Sur ces 948, 588 (environ 62 %) étaient des bugs jusque-là inconnus, ce qui en laisse 360 qui n'étaient pas nouveaux ; la couverture lue ne décrit pas ces 360. Par ailleurs, OpenAI dit avoir transmis 304 constats critiques aux mainteneurs de Linux. La couverture ne dit pas si ces 304 font partie des 588, seulement qu'ils sont critiques et accompagnés de correctifs proposés. Il est plausible que ce soient les rapports les plus graves envoyés en premier, comme OpenAI l'avait dit de sa chaîne précédente, mais c'est notre déduction. Les chiffres viennent aussi de moments différents : OpenAI avait indiqué que dix jours après l'analyse, 61 failles d'élévation de privilèges locale étaient corrigées dans la branche principale du noyau et 299 signalées et discutées publiquement ; nous ne les ajoutons pas aux 304.

Que veut dire « transmis avec des correctifs » ?

The Register indique que les constats Linux sont signalés avec des correctifs potentiels pour examen par les mainteneurs. Un correctif proposé est une suggestion : les mainteneurs du noyau décident s'il est correct et s'il faut l'intégrer, et un correctif ne protège les utilisateurs qu'une fois intégré et livré dans les noyaux qu'ils utilisent. Pour les 81 failles Firefox de gravité élevée, Mozilla a commencé à les corriger (The Register). Il faut donc lire « 304 failles critiques transmises avec correctifs » comme 304 constats critiques signalés avec des correctifs proposés, et non comme 304 failles corrigées.

Ce qui n'est pas établi

• Une vérification indépendante des chiffres 948, 588 et 304 : tous viennent d'OpenAI via des relais de presse.
• Si les 304 recoupent les 588, et combien de correctifs sont déjà intégrés en amont.
• Par rapport à quoi « jusque-là inconnues » est mesuré (quelle base, à quelle date), et ce qu'étaient les 360 autres.
• Si plusieurs des 948 exploits visent la même faille sous-jacente : le regroupement en failles uniques est celui d'OpenAI et nous n'avons pas pu le vérifier.
• Dans quelle mesure les résultats se transposent à d'autres logiciels que la version du noyau et le dispositif en machines virtuelles testés par OpenAI.

Tableau récapitulatif

FAQ

Critique veut-il dire que le modèle a servi à des attaques ?

Non. C'est la classification de capacité d'OpenAI, et l'accès est limité à des clients Daybreak Red contrôlés. Aucun usage malveillant n'est rapporté dans la couverture lue.

Les 304 failles critiques sont-elles corrigées ?

Pas établi. Elles ont été signalées avec des correctifs proposés, que les mainteneurs doivent encore examiner et intégrer.

588 sur 948 veut-il dire que la plupart des failles trouvées étaient nouvelles ?

Cela veut dire qu'environ 62 % des bugs du noyau exploités étaient jusque-là inconnus. Les 360 autres n'étaient pas nouveaux, et nous ne savons pas ce qu'ils étaient.

Méthode et limites

Sources vérifiées le 6 novembre 2026. Nous avons lu The Register via une extraction automatique (elle contient le classement Critique, les 948 et les 588, mais pas les 304 ni les 1 724) et des extraits de recherche de The Next Web, The Decoder, Gulf Business et d'un guide pour développeurs ; le rapport d'OpenAI et la fiche système n'ont pas été lus. Tous les chiffres sont ceux d'OpenAI. Ceci n'est pas un conseil de sécurité.

Sources

• The Register : OpenAI releases GPT-6 Cyber, and promises this one stays within rules of engagement (vérifié le 2026-11-06)
• The Next Web : OpenAI's GPT-6 Cyber found 81 new Firefox flaws and is rated 'Critical' (vérifié le 2026-11-06)
• The Decoder : OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them (vérifié le 2026-11-06)
• Gulf Business : OpenAI launches GPT-6 Cyber with 'Critical' cybersecurity rating, uncovers 81 Firefox vulnerabilities (vérifié le 2026-11-06)
• Byteiota : GPT-6 Cyber Found 948 Linux Exploits: Developer Guide (vérifié le 2026-11-06)

Une erreur dans cet article ? Signalez-la · Notre politique de corrections