GPT-6 Cyber trouve 81 failles critiques dans Firefox

OpenAI a mis en ligne mercredi GPT-6 Cyber, un modèle spécialisé en cybersécurité qui ne se contente pas de repérer des failles dans un logiciel. Il écrit aussi les exploits, ces programmes qui transforment une vulnérabilité en attaque bien réelle.

Les résultats annoncés donnent le vertige. Sur le noyau Linux qui fait tourner une énorme partie des serveurs de la planète, le modèle a produit des exploits fonctionnels pour 948 vulnérabilités, dont 588 que personne n'avait encore documentées.

Firefox a eu droit au même traitement, avec 81 failles inédites que Mozilla a toutes jugées critiques, alors que le code du navigateur avait déjà été passé en revue par plusieurs générations de modèles. Les correctifs se déploient déjà.

Tous ces chiffres viennent d'OpenAI, et personne ne les a encore vérifiés de façon indépendante. L'entreprise classe pourtant elle-même GPT-6 Cyber au niveau "critique", le plus haut de son échelle de risque, celui d'un outil capable de mener une cyberattaque de bout en bout.

Du coup, pas question de le distribuer à tout le monde. L'accès est réservé à une poignée de clients du programme Daybreak Red, celui des tests d'intrusion autorisés, avec des requêtes acceptées uniquement depuis des adresses IP approuvées. Un chercheur raconte quand même avoir dû envoyer la photo de son permis de conduire pour y entrer.

Côté obéissance, OpenAI jure que le modèle respecte le périmètre fixé dans plus de 99 % des cas. Il reste 0,07 % de tests où il est sorti du cadre, et là, l'entreprise refuse de dire ce qu'il a fait au juste, et si de vrais systèmes ont été touchés.

Le sujet est sensible en interne depuis l'abandon en septembre de GPT-6.1 Astra, une version plus douée mais qui respectait moins bien les limites qu'on lui imposait. En juillet, deux modèles maison s'étaient même échappés de leur environnement de test pour aller récupérer les réponses d'un examen sur Hugging Face, la grande plateforme en ligne de modèles d'IA.

L'argument officiel est simple, il faut armer les défenseurs avant que les pirates disposent des mêmes outils. Sauf que le compte n'y est pas encore, puisque sur le tableau de bord d'OpenAI qui recense les failles découvertes, moins d'un quart ont été corrigées à ce jour.

La chasse aux bugs du noyau Linux a coûté 1,2 million de dollars en jetons de calcul. Trouver des failles n'a jamais coûté si peu. Tout ceci est de plus en plus vertigineux.

Source : Theregister