Un passionné a découvert une faille sévère affectant des serveurs Ubuntu grâce à un modèle d’OpenAI, corrigée depuis sans exploitation connue. En parallèle, OpenAI annonce ChatGPT Cyber pour la recherche offensive, promet un milliard de dollars de soutien et revendique des centaines d’alertes sur Linux et Firefox. Entre fenêtre d’action serrée, coûts réels et garde-fous contestés, la filière sécurité s’interroge.
Des moyens alloués jugés limités face à l’ampleur du chantier
La chasse aux vulnérabilités dans Linux a coûté 1,2 million de dollars, un montant à comparer aux quelque 6 millions de dollars dépensés par OpenAI pour une solution potentielle à un problème de dynamique des fluides. Eric Wallace, chercheur de l’équipe technique d’OpenAI, indique qu’une part importante de la capacité de calcul de pointe est désormais consacrée, pro bono, à la détection et à la correction de failles dans des bases de code open source. OpenAI souligne l’existence d’une fenêtre de temps étroite pour que les défenseurs agissent avant que les modèles d’IA ne deviennent plus performants en piratage et plus accessibles. Seules « des milliers » de professionnels de la cybersécurité participent au programme Daybreak, alors que le nombre de hackers potentiels est bien supérieur.
Un cas concret : une faille Ubuntu trouvée et corrigée
Max Justicz, directeur technique et cofondateur de Charge Robotics, a utilisé GPT 5.6 Sol via Daybreak Blue pour identifier une vulnérabilité sévère susceptible de permettre la prise de contrôle de serveurs sous Ubuntu, une distribution Linux largement utilisée. Passionné de cybersécurité, il avait déjà repéré une faille dans le même code. Après avoir demandé à ChatGPT de rechercher des bogues aussi graves ou pires que celui corrigé des années auparavant, une piste lui a été retournée deux heures plus tard, qu’il décrit comme extrêmement complexe mais exploitable. Le problème a été signalé au Debian Project, qui a publié un correctif, et aucune exploitation n’a été rapportée.
Vous voulez les meilleurs outils IA avant les autres ?
On teste et on décrypte les nouveaux outils IA chaque soir, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Ce que les modèles trouvent déjà dans Linux et Firefox
OpenAI affirme que ChatGPT Cyber a été utilisé pour analyser le noyau Linux et préparer des correctifs, identifiant 948 problèmes potentiels. L’entreprise mentionne également la découverte de 81 vulnérabilités qualifiées de novelles dans le navigateur Firefox. Ces résultats sont issus des travaux menés avec son modèle spécialisé en cybersécurité.
Accès, garde-fous et coût d’entrée pour les chercheurs
Daybreak Blue donne accès à des modèles avancés aux défenseurs, tandis que Daybreak Red fournit des outils aux chercheurs en sécurité offensive pour la chasse aux vulnérabilités et le développement. OpenAI souhaite élargir considérablement Daybreak à un large éventail d’acteurs, et ChatGPT Cyber est annoncé pour le niveau Daybreak Red. Max Justicz estime que Daybreak Blue a été récemment affaibli, ce qui réduit son utilité pour la recherche de failles. Il a pu rejoindre le programme en téléversant la photo de son permis de conduire. Certains professionnels de la cybersécurité estiment avoir les mains liées si les modèles de pointe sont restreints, alors que des acteurs malveillants peuvent utiliser des modèles à poids ouverts sans garde-fous. Justicz indique avoir dépensé environ 5 000 dollars en abonnements et jetons pour mener ses recherches.
Promesse financière pour les infrastructures critiques
OpenAI lance une initiative dotée d’un milliard de dollars afin d’apporter un appui aux experts en cybersécurité du programme qui interviennent sur des infrastructures essentielles comme les réseaux électriques ou les systèmes d’eau. Dans le même temps, Max Justicz met en garde contre la simplicité avec laquelle des modèles performants peuvent contribuer à identifier des failles, et anticipe la découverte ainsi que l’exploitation de vulnérabilités majeures dans les mois à venir si davantage de temps et des modèles moins restreints sont disponibles. Il estime qu’auditer du code ou des binaires peu étudiés en les soumettant à un modèle d’IA puissant présente un potentiel important.
