Le 5 novembre 2026, OpenAI a présenté GPT-6 Cyber, une version de GPT-6 entraînée spécialement pour la recherche en sécurité : trouver des vulnérabilités, prouver qu'elles sont exploitables et aider à écrire les correctifs. Il n'est pas disponible dans ChatGPT. L'accès est réservé à des équipes de sécurité vérifiées via le programme Daybreak d'OpenAI. C'est le deuxième modèle de ce type en deux semaines, après Gemini 4 Carbon de Google, et il confirme une tendance : les modèles d'IA les plus puissants sont désormais confiés d'abord aux défenseurs.
Les résultats des benchmarks
Source : OpenAI, 5 novembre 2026. GPT-6 Astra avec les protections standard refuse ces tâches, d'où 0 %. Daybreak Blue est le niveau d'accès d'OpenAI pour les défenseurs vérifiés.
Dans un nouveau test de tests d'intrusion web sans accès au code source, GPT-6 Cyber a trouvé 40,3 % des vulnérabilités, contre 32,0 % pour GPT-6 Astra. Dans un autre nouveau benchmark, RemoteExploitBench, qui utilise des failles connues d'applications réelles comme GitLab, PostgreSQL et Jenkins, GPT-6 Cyber a réussi 95 % des tâches, alors que GPT-6 Astra les a toutes refusées.
Ce qu'il a déjà trouvé
GPT-6 Cyber dans le monde réel
948 exploits fonctionnels
Il a reproduit 1 724 vulnérabilités du noyau et écrit des exploits d'élévation de privilèges fonctionnels pour 948, plus de cinq fois les 166 obtenus par GPT-5.6 Sol avec le même dispositif. OpenAI a signalé 304 cas critiques aux mainteneurs.
81 nouvelles failles graves
Plus 30 problèmes connus montrés comme plus graves que signalé. Mozilla a déjà publié des correctifs pour beaucoup d'entre eux.
Exécution de code à distance démontrée
Une bibliothèque de compression utilisée par Node.js et d'autres logiciels.
Des équipes de sécurité en productionMaintenant
Parmi les utilisateurs cités : Mozilla, Cisco, CrowdStrike, Palo Alto Networks, SentinelOne, Perplexity et CodeRabbit.
Rester dans les clous
Le risque avec un agent de sécurité n'est pas seulement ce qu'il sait faire, mais s'il ne fait que ce qu'on lui demande. OpenAI a conçu un test appelé ExploitGym Honeypot : le modèle reçoit une tâche difficile et quelques services faciles à attaquer mais explicitement hors périmètre. GPT-6 Cyber a laissé ces services tranquilles dans 99,93 % des essais sans sa consigne de déploiement (GPT-5.6 Cyber : 94,49 %) et dans 100 % avec. OpenAI exige aussi une liste d'adresses IP autorisées pour l'accès API à Daybreak Red, surveille les identifiants volés et ajoute des contrôles contre les attaques sur les infrastructures critiques comme l'électricité et l'eau.
GPT-6 Cyber ou Gemini 4 Carbon
GPT-6 Cyber
OpenAI, 5 novembre- Conçu pour
- trouver, exploiter et corriger des vulnérabilités
- Accès
- clients Daybreak Red sélectionnés via l'API et Codex, puis tous les clients Daybreak Red
- À retenir
- 48,5 % sur ExploitGym, 948 exploits Linux
- Modèle spécialisé avec un entraînement dédié au respect du périmètre
Un outil pour les équipes de sécurité, pas un assistant généraliste.
Gemini 4 Carbon
Google, 28 octobre- Conçu pour
- un modèle généraliste de pointe, confié d'abord aux défenseurs
- Accès
- défenseurs en cybersécurité, puis le programme partenaire Fairwind
- À retenir
- premier de l'indice d'Artificial Analysis avec 59,4 ; 71 % sur CWE-bench
- Aussi le modèle généraliste le plus fort sur les tests publics
Devrait devenir un modèle généraliste plus tard.
Ce que cela change pour les équipes data
Vous n'utiliserez probablement jamais GPT-6 Cyber vous-même. Mais les systèmes dont dépendent les équipes data, comme PostgreSQL, Jenkins, GitLab, les serveurs de notebooks et les bibliothèques open source, sont précisément ce que ces modèles apprennent à attaquer. OpenAI parle d'une « fenêtre limitée » pendant laquelle les défenseurs peuvent utiliser ces modèles avant que les attaquants n'en aient d'équivalents. Mesures concrètes :
- 1
Appliquez les correctifs plus vite
Réduisez le délai entre une publication de sécurité et votre mise à jour, surtout pour les bases de données, les serveurs de CI et tout ce qui est exposé sur Internet.
- 2
Sachez ce que vous utilisez
Tenez une liste des versions de PostgreSQL, Spark, Airflow, Jenkins et des bibliothèques Python en production pour réagir vite aux alertes.
- 3
Supprimez l'exposition publique
Placez ports de bases de données, serveurs de notebooks et consoles d'administration derrière un VPN ou un réseau privé.
- 4
Donnez des droits restreints aux agents
Si vous utilisez des agents IA sur votre plateforme data, suivez notre liste de contrôle pour sécuriser les agents IA.
- 5
Utilisez l'IA sur votre propre code
Les modèles principaux aident déjà à relire le code et trouver des bugs ; demandez-leur de vérifier vos pipelines et votre SQL contre les injections et les secrets.
Testez vos connaissances
1/3Où peut-on utiliser GPT-6 Cyber ?
L'accès commence avec des clients Daybreak Red sélectionnés via l'API et Codex.
2/3Quel score GPT-6 Cyber a-t-il obtenu sur ExploitGym ?
C'est une amélioration relative de 51 % par rapport à GPT-5.6 Cyber.
3/3Quelle est la leçon principale pour les équipes qui gèrent bases de données et serveurs de CI ?
Ce type de modèle réduit le délai entre découverte et exploitation.
Vous avez 0 bonne(s) réponse(s) sur 3.
À lire aussi : Gemini 4 Carbon expliqué, les meilleurs modèles d'IA de novembre 2026 et quand les agents IA sortent du script.
Sources : OpenAI, « GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents » (5 novembre 2026) et sa system card ; articles de Fortune et TechCrunch (5 novembre 2026) ; Google DeepMind et Artificial Analysis sur Gemini 4 Carbon (du 28 octobre au 3 novembre 2026).
Alessandro Ecclesie AgazziÉcrit par Alessandro Ecclesie Agazzi, analytics engineer à Londres. Mis à jour le 9 novembre 2026. À propos