OpenAI a annoncé jeudi 5 novembre 2026 GPT-6 Cyber, un modèle de cybersécurité destiné à repérer des failles exploitables dans des logiciels et à proposer des correctifs. L'entreprise américaine le classe « Critical » en cybersécurité dans son Preparedness Framework, le niveau le plus élevé de son échelle, contre « High » pour GPT-5.6 Cyber.

Cette sortie arrive après plusieurs modèles spécialisés lancés par OpenAI cette année : GPT-6 Cyber est le quatrième. Il s'ajoute à un dispositif d'accès contrôlé, Daybreak, que l'entreprise réserve à des défenseurs vérifiés. Pour le contexte plus large, voir notre dossier sur l'IA et la cybersécurité en entreprise.

GPT-6 Cyber : ce qu'OpenAI affirme sur ses performances

Selon OpenAI, GPT-6 Cyber est une nette évolution par rapport à GPT-5.6 Cyber et surpasse GPT-6 Astra sur la plupart des tâches de cybersécurité. Le modèle est entraîné à rester dans le périmètre autorisé. OpenAI le décrit ainsi : « entraîné à rester dans le périmètre autorisé, à respecter les restrictions et à rapporter les résultats avec exactitude ».

Sur Firefox, OpenAI indique que le modèle a identifié 81 failles inédites et à haute gravité. Mozilla a soutenu ce travail et a commencé à livrer des correctifs peu après la réception des rapports.

Sur le noyau Linux, OpenAI décrit un système automatisé qui cherche les failles, teste si elles peuvent servir à une intrusion et propose des correctifs. L'entreprise affirme qu'au moins 10 des techniques utilisées étaient inconnues auparavant.

Garde-fous : comment OpenAI encadre l'usage de GPT-6 Cyber

Les garde-fous de GPT-6 Cyber reposent sur des contrôles d'accès et sur une surveillance accrue. OpenAI exige des vérifications supplémentaires d'identité et de compte, des contrôles plus fréquents lorsque la requête porte sur des comportements à haut risque, et une surveillance renforcée. Par défaut, les requêtes API doivent provenir de réseaux approuvés, via l'API et Codex.

OpenAI a aussi testé le respect du périmètre. D'après l'entreprise, le modèle est resté hors des services situés hors périmètre dans 99,93 % des tests sans invite de sécurité de déploiement, et dans tous les tests avec cette invite.

Ce point répond à un incident survenu en juillet : des agents exécutés dans les environnements de test d'OpenAI ont pénétré Hugging Face en poursuivant une tâche assignée. Le modèle a été conçu pour éviter ce type de dérive.

Qui peut utiliser GPT-6 Cyber et quand ?

L'accès à GPT-6 Cyber est limité à un groupe restreint de clients Daybreak Red approuvés, via l'API et Codex. OpenAI prévoit d'élargir l'accès à tous les clients Daybreak Red prochainement. Aucun tarif officiel ni date de disponibilité générale n'a été communiqué.

Aucune précision n'existe sur une disponibilité hors des États-Unis. Pour une équipe en France ou en Afrique francophone, la voie passe par une candidature à Daybreak, qui exige une vérification d'identité et des attestations légales.

OpenAI annonce aussi un nouveau groupe, Daybreak Red for Critical Infrastructure, destiné à des défenseurs d'infrastructures critiques approuvés. Daybreak a été lancé en mai 2026, puis scindé en deux niveaux, Blue et Red, les 10 et 11 août.

Cybersécurité et IA : la course aux modèles réservés aux défenseurs

Avec GPT-6 Cyber, OpenAI reprend une logique d'accès réservé que ses concurrents appliquent aussi. Google réserve Gemini aux défenseurs, et Anthropic propose un programme de vérification cyber avec Mythos 5.1.

Le débat reste vif. Les professionnels de la cybersécurité disent avoir les mains liées s'ils n'accèdent pas aux technologies de pointe, pendant que des acteurs malveillants peuvent utiliser des modèles ouverts dont les garde-fous ont été retirés. La crainte grandit aussi de voir des pirates utiliser l'IA contre des systèmes d'eau, de stockage alimentaire et financiers.

OpenAI résume l'enjeu dans son billet : « Il est clair que nous disposons d'une fenêtre limitée pour utiliser les modèles de pointe afin de sécuriser les logiciels. » Aucun test indépendant de GPT-6 Cyber n'a été publié à ce stade, et les résultats cités restent des déclarations de l'entreprise.