GPT‑6 Cyber ne se contente pas de mieux lire le code : il est entraîné et évalué spécifiquement sur le développement d’exploits, les tests de cibles distantes et le respect des règles d’engagement définies par les chercheurs. Les progrès annoncés par rapport à GPT‑5.6 Cyber concernent à la fois les capacités brutes — meilleur taux de détection des exploits et génération de PoC de bout en bout — et le respect des consignes : le modèle évite manifestement mieux les cibles hors périmètre lorsque des limites claires lui sont fixées. Cette combinaison est importante, car des PoC très fidèles, utilisables dans des laboratoires contrôlés, font le lien entre la découverte et la correction. Des tests reproductibles accélèrent considérablement le triage et la validation des correctifs par les équipes d’ingénierie.

Sur le plan opérationnel, le modèle intervient en trois étapes : une reconnaissance intelligente pour repérer les chemins de code suspects ; la construction d’exploits fondée sur des hypothèses afin de reproduire le comportement dans un environnement de test isolé ; enfin, des propositions de correctifs assorties de tests de régression, qui en vérifient l’efficacité. C’est l’enchaînement de ces étapes qui fait toute la différence : lorsqu’une vulnérabilité potentielle est étayée par un test reproductible et qu’un correctif peut être testé à l’aide de celui-ci, les développeurs et les responsables de maintenance peuvent évaluer bien plus rapidement sa gravité et l’efficacité de la correction. Les équipes de sécurité devraient mettre en place des environnements de test qui reproduisent les limites de la production, afin que les preuves générées par le modèle restent maîtrisées et non destructives.

Les niveaux d’accès Daybreak d’OpenAI sont au cœur de l’utilisation prévue de GPT‑6 Cyber. Daybreak Blue réduit les refus pour les défenseurs vérifiés qui effectuent des tâches de triage et de revue de code, tandis que Daybreak Red permet des travaux plus poussés sur les exploits, dans un cadre strict : liste d’autorisation d’adresses IP, PSP pour l’examen chiffré des journaux et surveillance ciblée des usages abusifs. Les défenseurs d’infrastructures critiques disposent d’un parcours Daybreak Red spécifique, assorti d’un contrôle renforcé. À retenir pour les équipes de sécurité : les autorisations au niveau des applications, les restrictions réseau et les journaux d’audit seront probablement des conditions préalables à l’accès. Il faut donc bâtir son plan d’intégration autour de ces contrôles opérationnels, sans présumer qu’une API sera librement accessible.

Les équipes qui intègrent GPT‑6 Cyber devraient privilégier les outils tout en accordant une grande importance aux processus. Parmi les mesures opérationnelles recommandées : mettre en place des environnements de recherche isolés pour les tests d’exploitation à distance ; définir des règles d’engagement rigoureuses et les intégrer aux prompts et à l’automatisation ; prévoir une validation humaine pour chaque PoC ou correctif potentiel ; et élaborer des procédures de divulgation coordonnées avec les responsables de maintenance en amont. Les organisations qui adoptent ces pratiques peuvent raccourcir les cycles de triage, rendre les résultats plus reproductibles et réduire les frictions avec les développeurs en livrant les tests avec les correctifs.

Même avec ses progrès en matière d’alignement, GPT‑6 Cyber ne saurait remplacer les règles de gouvernance ni le jugement des équipes d’ingénierie. Les risques résiduels comprennent les faux positifs, qui mobilisent inutilement les équipes, les PoC trop adaptés à des environnements de test qui ne reflètent pas la production, ainsi que les détournements malveillants en cas de défaillance des contrôles. Les mesures de protection d’OpenAI — surveillance des usages abusifs, PSP et recommandations de mise en bac à sable — réduisent les risques, sans les éliminer. Les équipes de sécurité doivent donc maintenir des contrôles d’accès stricts, renouveler les identifiants utilisés pour les tests, examiner les exploits générés hors ligne et éviter le déploiement automatique de correctifs non vérifiés.