OpenAI lance ChatGPT Cyber, un modèle dédié à la détection de vulnérabilités

Présentation du modèle ChatGPT Cyber

OpenAI a annoncé ChatGPT Cyber, intégré au programme Daybreak Red destiné aux chercheurs en cybersécurité. Le modèle, présenté comme une version « frontier » spécialisée, n’est accessible qu’aux utilisateurs du niveau le plus élevé du programme. Cette restriction vise à limiter l’usage par des acteurs malveillants tout en offrant aux équipes de défense un outil d’analyse automatisée des codebases.

Méthodologie et résultats sur les bases de code open source

Lors d’une démonstration interne, le modèle a été appliqué au noyau Linux, où il a identifié 948 problèmes potentiels. Une analyse parallèle sur le navigateur Firefox a mis en évidence 81 vulnérabilités inédites. Ces chiffres illustrent la capacité du modèle à parcourir des millions de lignes de code en quelques heures, bien au‑delà des performances humaines classiques. En comparaison, Max Justicz, CTO de Charge Robotics, a exploité le modèle GPT 5.6 Sol via Daybreak Blue pour découvrir une faille critique dans Ubuntu, dépensant environ 5 000 $ en abonnements et tokens.

Implications pour la sécurité et limites du dispositif

OpenAI a accompagné le lancement d’une initiative de 1 milliard de dollars destinée à soutenir les professionnels de la cybersécurité travaillant sur les infrastructures critiques. Malgré cet investissement, la société reconnaît un « fenêtre de temps étroite » pour que les défenseurs patchent les systèmes avant que les modèles deviennent plus performants et plus accessibles. Le coût du bug‑hunt sur le noyau Linux a été estimé à 1,2 million de dollars, nettement inférieur aux 6 millions de dollars dépensés précédemment pour un problème de dynamique des fluides, ce qui montre une priorisation budgétaire mais aussi une limitation des ressources disponibles.

Les critiques portent sur le « nerfement » récent de Daybreak Blue, qui réduit son efficacité pour les chercheurs légitimes, tandis que des modèles open‑weight, moins contrôlés, restent exploitables par des acteurs malveillants. Ainsi, même si ChatGPT Cyber augmente la capacité de détection, il crée également une charge de travail supplémentaire pour les équipes de défense, qui doivent analyser un volume de rapports potentiellement plus important que leurs effectifs ne le permettent.