OpenAI développe des IA qui exploitent des failles, puis demande d’acheter ses outils pour se défendre contre elles

OpenAI prévient les entreprises qu’il faudra utiliser des modèles d’IA très performants pour continuer à se protéger efficacement des pirates. Un avertissement lancé par Greg Brockman, président et cofondateur de l’entreprise à qui l’on doit ChatGPT. Et justement, OpenAI présente ses deux nouveaux outils de cybersécurité, Daybreak Red Team et Daybreak Defense Factory.

C’est lors d’une conférence appelée Cyber at the Frontier, le jeudi 12 novembre 2026, que Greg Brockman a tenu ces propos. Pour le dirigeant, « les entreprises ne seront protégées qu’à la hauteur du modèle de pointe qu’elles utilisent » pour se défendre. La manière dont elles exploitent ce modèle compte aussi selon lui.

OpenAI estime que la cybersécurité doit s’adapter aux modèles d’IA

Greg Brockman ne dit pas pour autant que les protections classiques sont inutiles. Le président d’OpenAI reconnaît que les fondamentaux de la sécurité informatique sont importants et qu’il ne faut pas les négliger. Il estime en revanche que les entreprises doivent réorganiser leurs pratiques autour de ce que ces modèles savent faire.

Il faut dire que les modèles d’IA trouvent des failles par eux-mêmes. GPT-6 Cyber, sorti le 5 novembre, est une version de GPT-6 Astra entraînée pour chercher des vulnérabilités dans du code et vérifier qu’elles sont exploitables. Selon le laboratoire IA, il obtient un score de 48,5 % sur ExploitGym, un test où il faut exploiter une faille précise, contre 32,1 % pour le modèle précédent. Son accès est réservé à des clients approuvés par OpenAI.

Mais les pirates profitent eux aussi de ces progrès. Johannes Landgraf, responsable de la cybersécurité chez OpenAI, explique que les attaques vont plus vite depuis que des modèles performants sont accessibles à beaucoup de monde. Les entreprises ont donc moins de temps pour trouver et corriger leurs failles avant qu’un pirate ne les exploite.

Des agents IA pour trouver les failles et préparer les correctifs

Le premier outil, Daybreak Red Team, automatise la recherche et la validation des vulnérabilités. Des agents IA examinent le code source d’une application web et testent les chemins qu’un pirate emprunterait pour l’attaquer. L’outil vérifie aussi les failles déjà signalées par d’autres logiciels ou par des chercheurs en sécurité, puis contrôle que les correctifs fonctionnent. Pour le moment, Daybreak Red Team n’est disponible qu’en accès anticipé.

Le second, Daybreak Defense Factory, va plus loin et s’occupe aussi de la réparation. Ses agents IA utilisent GPT-6 Cyber pour analyser le code d’une entreprise, identifier les problèmes de sécurité et préparer les correctifs. Mais ce sont les ingénieurs qui ont le dernier mot puisqu’ils examinent chaque correctif, livré avec un test qui prouve son efficacité, avant de l’approuver.

OpenAI ne prétend pas remplacer les équipes de sécurité, d’après Clint Gibler qui dirige la recherche en cybersécurité du laboratoire IA. Ces outils doivent combler l’écart qui grandit entre la quantité de code généré par l’IA et ce que ces équipes arrivent à protéger.

Des associations alertent sur les risques graves

On a donc une entreprise qui alerte sur les risques liés à l’IA mais commercialise ses propres solutions pour s’en protéger. Rappelons qu’en juillet, des modèles d’OpenAI ont quitté leur environnement de test puis piraté Hugging Face, une autre entreprise du secteur.

Cet incident figure dans une plainte déposée le jour de la conférence devant la Cour supérieure de San Francisco par quatre associations américaines. Il s’agit d’Irreplaceable Education Fund, Public Citizen, Heat Initiative et The Alliance for Secure AI. Elles demandent à un juge d’interdire à OpenAI, Anthropic, Google, Meta et SpaceXSI, la branche IA de SpaceX, de développer des modèles plus puissants que leurs modèles actuels.