Daybreak : des outils pour protéger les organisations du monde entier

Nous élargissons Daybreak⁠ afin de démocratiser la correction des logiciels vulnérables à la vitesse des machines. Par exemple, nous avons utilisé nos modèles pour découvrir et générer des correctifs visant des vulnérabilités critiques⁠(s'ouvre dans une nouvelle fenêtre) dans d’importants navigateurs, des infrastructures réseau et des systèmes d’exploitation comme FreeBSD et le noyau Linux. Pour accroître l’impact de ces capacités :

• Codex Security : Nous lançons une mise à jour du plugiciel Codex Security,⁠ qui met à profit les enseignements tirés de l’utilisation interne de nos modèles ainsi que de leur utilisation par nos clients et clientes pour accélérer la découverte et la correction des vulnérabilités dans les systèmes existants, tout en empêchant automatiquement que de nouvelles vulnérabilités atteignent les environnements de production.
• GPT‑5.5‑Cyber : Après un premier aperçu limité à un mode plus permissif, nous lançons la version complète de GPT‑5.5‑Cyber dans le cadre de sa diffusion restreinte continue auprès de défenseurs de confiance. Ce modèle établit un nouveau sommet en matière de performance sur CyberGym, atteignant un score de 85,6 %, comparativement à 81,8 % pour GPT‑5.5.
• Programme de partenariat Daybreak Cyber⁠: permettre aux partenaires du secteur de la sécurité d’étendre les bénéfices de nos modèles les plus performants à un plus grand nombre d’organisations grâce à un accès de confiance intégré à leurs produits et services.
• Patch the Planet⁠: une initiative fondée avec Trail of Bits, en collaboration avec HackerOne, Calif, des chercheurs et des mainteneurs, afin d’aider les projets open source largement utilisés à passer des constats aux correctifs.
  • Plus de 30 projets open source se sont engagés à participer à l’initiative. Parmi les premiers participants figurent cURL, Go, Python, Sigstore et pyca/cryptography.
  • Avec Patch the Planet, nous travaillons aux côtés de chercheurs, de mainteneurs, d’entreprises et de partenaires afin de mettre de puissantes capacités en cybersécurité à la disposition des défenseurs, dans un cadre reposant sur des mécanismes d’accès appropriés, une gouvernance rigoureuse et une supervision humaine. Écoutez Clint et Dan en parler ici⁠(s'ouvre dans une nouvelle fenêtre).

L’IA a changé la dynamique de la cybersécurité. Les modèles d’IA de pointe accélèrent de plus en plus la découverte de vulnérabilités. Historiquement, le principal goulot d’étranglement était la découverte des vulnérabilités, mais les défenseurs sont désormais submergés par le nombre de vulnérabilités détectées. Désormais, le véritable goulot d’étranglement réside dans la correction des vulnérabilités.

Pendant des années, la découverte de vulnérabilités graves a exigé une expertise rare, beaucoup de temps et une connaissance approfondie de systèmes complexes. Aujourd’hui, les modèles peuvent parcourir de vastes bases de code, analyser des chemins d’attaque, valider des hypothèses et mettre au jour des problèmes de sécurité qui pourraient autrement passer inaperçus. Les défenseurs ont absolument besoin de ces capacités. Ils ont également besoin d’outils pour corriger les vulnérabilités que nous sommes désormais en mesure de découvrir, avant que des attaquants ne les exploitent.

À eux seuls, les rapports de vulnérabilité ne protègent personne. La valeur réside dans la validation du problème, la compréhension de son impact, l’élaboration et la mise à l’essai d’un correctif, la coordination de sa divulgation et l’accompagnement des équipes dans son déploiement. Nous investissons aux côtés de nos partenaires pour améliorer ces étapes ultérieures afin de démultiplier l’efficacité des défenseurs et de transformer les capacités des modèles en une réduction concrète des risques dans le monde réel.

Les capacités défensives de pointe ne devraient pas être concentrées entre les mains d’un petit nombre d’acteurs. Les logiciels sont présents dans tous les aspects de notre vie, qu’il s’agisse d’infrastructures critiques, d’applications d’affaires ou de réseaux gouvernementaux. À mesure que l’IA accélère la découverte de vulnérabilités, les défenseurs partout dans le monde doivent avoir un accès élargi à ces modèles afin de repérer, corriger et protéger leurs infrastructures avant que des attaquants ne puissent identifier et exploiter ces failles.

Daybreak réunit les capacités de cybersécurité de pointe des modèles d’OpenAI, Trusted Access for Cyber, les flux de travail de Codex Security et un écosystème de partenaires afin d’aider les défenseurs autorisés à valider les vulnérabilités, à prioriser les risques, à générer et à tester des correctifs, ainsi qu’à produire les éléments de preuve nécessaires au sein de leurs processus existants de sécurité et de développement. Notre objectif est de fournir aux organisations les outils dont elles ont besoin pour demeurer sécuritaires, même à mesure que le paysage des cybermenaces continue de s’accélérer.

Depuis le lancement de Codex Security Cloud en aperçu de recherche en mars, la plateforme a analysé plus de 30 millions de commits dans plus de 30 000 bases de code. Les examinateurs humains ont confirmé manuellement la correction de plus de 70 000 constats, tandis que plus de 500 000 constats ont été automatiquement déterminés comme corrigés.

C’est à cette échelle que l’application de correctifs doit désormais se faire.

Nous avons conçu Codex Security autour d’un principe simple : placer l’équivalent d’un ingénieur en sécurité aux côtés de chaque développeur logiciel grâce à une intégration directe dans Codex. Plutôt que de simplement générer des alertes, Codex Security comprend la base de code de votre équipe et son modèle de menace (ou en génère un s’il n’en existe pas), repère les vulnérabilités plausibles, détermine si le code concerné est accessible, rassemble les éléments de preuve nécessaires à la validation, élabore un correctif ciblé et en vérifie le résultat. Les humains demeurent maîtres des décisions concernant les constats à examiner, les modifications à appliquer et les renseignements à communiquer.

Aujourd’hui, nous lançons une mise à jour du module Codex Security⁠ qui permet d’utiliser des flux de travail de sécurité défensive prêts à l’emploi. Les développeurs peuvent effectuer des analyses approfondies ou examiner les changements récents, générer des rapports comprenant les niveaux de gravité, les emplacements du code touché, les éléments de preuve de validation et les recommandations de remédiation, retracer les chemins d’attaque, élaborer des modèles de menace, valider les constats et générer des correctifs propres à leur base de code aux fins de révision.

Le plugiciel⁠ peut également effectuer le triage et la validation des constats existants provenant d’outils d’analyse, d’avis de sécurité, de programmes de primes aux bogues ou de systèmes de billetterie, puis automatiser la génération de correctifs à grande échelle afin de résorber rapidement un arriéré de vulnérabilités. Une fois l’analyse terminée, Codex Security peut également exporter les résultats vers un système de gestion des vulnérabilités existant ou les intégrer à d’autres outils au moyen de fichiers SARIF, de requêtes CodeQL et d’autres formats compatibles. Le plugiciel rend ces capacités beaucoup plus accessibles, que ce soit pour alimenter des pipelines automatisés avec Codex CLI ou pour les intégrer aux flux de travail des développeurs dans l’application Codex.

Nous publions une mise à jour de GPT‑5.5‑Cyber, notre modèle à la fois plus permissif et plus performant pour les travaux avancés de cybersécurité réalisés dans un cadre autorisé.

Notre premier aperçu de GPT‑5.5‑Cyber a été conçu principalement pour réduire les refus inutiles dans les flux de travail spécialisés. Cette mise à jour va plus loin. Il s’agit de notre modèle le plus performant à ce jour pour repérer les vulnérabilités logicielles et contribuer à leur correction, tout en conservant l’intelligence généraliste de GPT‑5.5 et sa capacité à mener à bien des tâches longues et complexes.

Le modèle peut soutenir des analyses plus approfondies au sein de vastes bases de code : il est capable d’identifier les composants pertinents sur le plan de la sécurité, de déterminer si un code vulnérable est accessible, de valider des problèmes potentiels dans des environnements contrôlés, d’élaborer et de tester des correctifs, puis de préparer les éléments de preuve nécessaires à l’examen humain. L’objectif est d’aider les défenseurs à franchir l’ensemble du cycle de remédiation, et non simplement à produire davantage de constats.

Dans CyberGym, qui évalue la capacité d’un agent à reproduire des vulnérabilités connues dans des environnements logiciels, GPT‑5.5‑Cyber mis à jour a obtenu un score de 85,6 % lors des évaluations à modèle unique, contre 81,8 % pour GPT‑5.5. Il s’agit du meilleur résultat jamais obtenu par un modèle unique sur CyberGym dans nos évaluations.

GPT‑5.5‑Cyber a également surpassé GPT‑5.5 dans deux référentiels de sécurité exigeants fondés sur des scénarios réels. Sur ExploitGym, qui évalue la capacité des agents à transformer des vulnérabilités connues en exploits fonctionnels permettant l’exécution non autorisée de code, GPT‑5.5‑Cyber a obtenu un résultat de 39,5 %, comparativement à 25,95 % pour GPT‑5.5. Dans SEC-bench Pro, qui évalue la découverte de vulnérabilités sur de longues séquences de travail ainsi que la génération de preuves de concept pour des cibles logicielles complexes, GPT‑5.5‑Cyber a obtenu un résultat de 69,8 %, comparativement à 63,1 % pour GPT‑5.5.

Les référentiels ne représentent qu’une partie de l’histoire. Dans la pratique, ce qui compte, c’est la capacité d’un modèle à repérer de véritables vulnérabilités, à distinguer les problèmes exploitables du bruit et à aider les défenseurs à intégrer des correctifs de façon sécuritaire. Nous continuons d’évaluer les performances du modèle dans des dépôts de code complexes et dans des flux de travail réels de correction des vulnérabilités, à mesure que les processus de divulgation coordonnée arrivent à leur terme.

Nous entretenons un dialogue continu avec le gouvernement des États-Unis au sujet de notre approche en matière de cybersécurité, notamment en ce qui concerne les annonces faites aujourd’hui et nos préparatifs en vue des prochains lancements de modèles. Cela comprend la poursuite de notre collaboration avec le Center for AI Standards and Innovation (CAISI) pour les essais préalables au déploiement de GPT‑5.5 et GPT‑5.5‑Cyber, ainsi que nos travaux avec l’Office of the National Cyber Director (ONCD) et l’Office of Science and Technology Policy (OSTP) visant à mettre en œuvre le récent décret présidentiel⁠(s'ouvre dans une nouvelle fenêtre) et les normes de l’industrie connexes.

Pour la plupart des défenseurs, GPT‑5.5 avec Trusted Access for Cyber et Codex Security demeure le bon point de départ. Pour la plupart des défenseurs, GPT‑5.5 avec Trusted Access for Cyber et Codex Security demeure le point de départ le plus approprié. GPT‑5.5‑Cyber est destiné aux défenseurs vérifiés dont le travail autorisé nécessite nos capacités de cybersécurité les plus avancées ainsi qu’un comportement plus permissif du modèle, le tout assorti de mécanismes renforcés de vérification, de surveillance, de contrôles ciblés et de révision. Dans le cadre des premiers travaux réalisés avec Daybreak, GPT‑5.5 et Codex Security ont aidé les défenseurs à repérer et à valider des vulnérabilités dans des systèmes largement utilisés, notamment les implémentations de Firefox, V8, Safari, OpenBSD, FreeBSD et HTTP/2⁠.

Dans le cadre de cette expansion, nous lançons également le programme de partenaires OpenAI Daybreak Cyber⁠ en collaboration avec des chefs de file du secteur des logiciels et services de sécurité. Dans le cadre de ce programme, les partenaires participants peuvent utiliser GPT‑5.5 avec Trusted Access for Cyber – notre principal modèle pour la plupart des processus de cybersécurité défensive – dans les produits et services de sécurité qu’ils offrent à leur clientèle. Cela permet à leurs clients et clientes de tirer parti des capacités défensives du modèle et de renforcer la résilience de leurs logiciels, tout en réservant l’accès direct au modèle aux partenaires participants.

Nous collaborerons également avec les partenaires du programme afin de continuer à renforcer les mécanismes de protection, les mesures de surveillance et les normes de prévention des abus nécessaires au déploiement responsable de ces capacités dans l’ensemble de l’écosystème de la sécurité. Nous lançons cette initiative avec un premier groupe de partenaires⁠ et prévoyons l’étendre à un plus grand nombre d’organisations au cours des prochains mois.

Patch the Planet est une initiative conçue pour aider les mainteneurs à passer de l’identification des vulnérabilités à leur correction. Fondée avec Trail of Bits, et menée en collaboration avec HackerOne et Calif, cette initiative finance des chercheurs en sécurité de haut niveau et leur fournit Codex Security ainsi que nos modèles les plus avancés afin qu’ils puissent travailler directement avec les responsables de projets open source.

Les logiciels open source sont à la base de nombreux produits, services publics, outils de développement et infrastructures essentielles dans tous les secteurs d’activité. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut avoir des répercussions sur des milliers de systèmes qui en dépendent. Pourtant, bon nombre de ces projets reposent sur de très petites équipes disposant de peu de temps et de ressources financières. Une étude menée par la Linux Foundation et l’Université Harvard ⁠(s'ouvre dans une nouvelle fenêtre) a révélé que 94 % des projets largement utilisés qu’elle a examinés comptaient moins de dix développeurs responsables de plus de 90 % du code ajouté au cours d’une année.

Si l’IA permet de repérer et de corriger davantage de vulnérabilités plus rapidement, elle génère aussi davantage de travail pour les mainteneurs, qui doivent passer au crible des milliers de signalements, dont bon nombre sont de faux positifs de faible qualité. Les mainteneurs ne devraient pas se retrouver avec davantage de signalements à traiter sans disposer de ressources supplémentaires pour les corriger. C’est pourquoi Patch the Planet repose sur une évalution de sécurité effectués par des experts humains.

Chaque intervention commence par des échanges entre nos chercheurs en sécurité et les mainteneurs qu’ils soutiennent. Les mainteneurs définissent leurs priorités, leurs préférences et leurs processus établis de divulgation des vulnérabilités. Les chercheurs en sécurité de Patch the Planet prennent ensuite en charge l’ensemble du processus, de bout en bout : ils valident et dédoublonnent les vulnérabilités comme les correctifs avant qu’ils ne soient transmis aux mainteneurs, ce qui réduit considérablement leur charge de travail et accélère la remédiation.

Les projets participants reçoivent un abonnement à ChatGPT Pro, un accès conditionnel à Codex Security ainsi que des crédits API pour le développement principal, l’automatisation des tâches des mainteneurs et les processus de publication des versions.

Le sprint initial de cinq jours, mené auprès de plusieurs projets, a permis de mettre au jour des centaines de problèmes nécessitant un examen, d’intégrer des dizaines de correctifs – tandis que d’autres sont en cours d’intégration – et de mettre en place des flux de travail réutilisables pour le fuzzing, l’analyse de variantes, les tests différentiels et les tests fondés sur des spécifications. Pour en savoir plus, consultez le blogue de Trail of Bits ici⁠(s'ouvre dans une nouvelle fenêtre).

Découvrir des vulnérabilités est important, mais c’est l’intégration des correctifs qui protège réellement le monde, et cela exige de la collaboration ainsi que l’appui de la communauté.

Nous collaborons également étroitement avec des gouvernements et des institutions du monde entier afin de renforcer leurs capacités défensives en cybersécurité et de protéger les infrastructures critiques. Nous travaillons en étroite collaboration avec le gouvernement des États-Unis et les organismes fédéraux concernés dans le cadre de nos préparatifs en vue de modèles d’IA aux capacités cybernétiques toujours plus avancées. Au cours du dernier mois, nous avons déjà établi des partenariats Trusted Access for Cyber avec l’Australie, le Canada, la France, l’Allemagne, le Japon, la République de Corée ainsi qu’avec des institutions de l’Union européenne, comme l’ENISA. Nous entretenons également un partenariat solide et en pleine croissance avec le gouvernement du Royaume-Uni dans les domaines de la cybersécurité, des essais et de l’évaluation, ainsi que dans d’autres secteurs d’intérêt commun.

Nous prévoyons de travailler directement avec les exploitants admissibles d’infrastructures critiques, y compris les réseaux gouvernementaux, afin de mettre au point des mécanismes de protection adaptés aux systèmes qu’ils exploitent. L’objectif de ce travail est de rendre l’IA avancée plus utile aux défenseurs, tout en compliquant la tâche des acteurs malveillants qui cherchent à causer des préjudices dans le monde réel.

Nous travaillerons également avec notre clientèle d’entreprise et nos partenaires de confiance afin d’intégrer davantage de contexte ainsi que des identifiants propres aux systèmes qu’ils exploitent ou protègent, renforçant ainsi nos mécanismes de protection en cybersécurité et notre capacité à prévenir les activités cybernétiques malveillantes visant des services indispensables.

Daybreak réunit des modèles, Codex Security, Patch the Planet, des chercheurs spécialisés, des mainteneurs, des partenaires du secteur de la sécurité, des exploitants d’infrastructures essentielles et des mécanismes d’accès de confiance afin d’aider les défenseurs humains à relever ce défi.

Les organisations des secteurs public et privé peuvent collaborer avec OpenAI Daybreak pour repérer, valider et corriger les vulnérabilités au sein des logiciels qu’elles développent et sur lesquels elles s’appuient. Les développeurs et les mainteneurs peuvent exécuter Codex Security⁠ sur le code dont ils sont responsables, examiner les résultats obtenus et contribuer à l’intégration des correctifs. Les partenaires et les professionnels de la sécurité peuvent utiliser nos modèles de pointe pour renforcer leurs outils de défense et rendre ces capacités accessibles à un plus grand nombre d’organisations, plus rapidement.

L’objectif est d’aller au-delà de l’utilisation des modèles pour découvrir davantage de vulnérabilités et de contribuer à un monde où les logiciels sont plus sûrs et la résilience cybernétique plus forte.