GPT‑6 Cyber : repousser les limites des agents de cybersécurité alignés

Nous présentons GPT‑6 Cyber, une avancée majeure en recherche sur la sécurité : plus performant pour trouver et corriger les vulnérabilités, et beaucoup plus fiable pour respecter les limites fixées par les chercheurs. GPT‑6 Cyber réalise des gains importants par rapport à GPT‑5.6 Cyber sur des bancs d’essai clés en cybersécurité, dont une amélioration relative de 51 % sur ExploitGym et un progrès majeur aux tests de respect du périmètre. Il contribue déjà à sécuriser des logiciels réels, en découvrant et en validant des milliers de codes d’exploitation dans des bases de code critiques pour la sécurité, comme Linux et Firefox.

Sur ExploitGym, qui teste la capacité des modèles à exploiter une vulnérabilité donnée, GPT‑6 Cyber obtient un score de 48,5 %, contre 32,1 % pour GPT‑5.6 Cyber. Il respecte aussi plus fidèlement les limites des tâches : dans une évaluation distincte de l’alignement, GPT‑6 Cyber a évité d’exploiter des services hors périmètre dans 99,93 % des tests sans son invite de déploiement, et dans 100 % des tests avec cette invite. Cette amélioration de l’alignement découle d’un entraînement ciblé pour respecter le périmètre autorisé et les restrictions, et rendre compte fidèlement des résultats.

Ces capacités contribuent déjà à sécuriser des systèmes réels. Nos chercheurs ont utilisé GPT‑6 Cyber pour développer 948 codes d’exploitation d’élévation de privilèges dans Linux⁠ et repérer 81 vulnérabilités de gravité élevée jusque-là inconnues dans Firefox, malgré des tests approfondis menés auparavant avec des modèles de pointe. Le modèle a aussi aidé à élaborer des propositions de correctifs, et Mozilla a publié des correctifs pour bon nombre des vulnérabilités de Firefox⁠(s'ouvre dans une nouvelle fenêtre). Les équipes de sécurité de Cisco, de Calif et de CodeRabbit l’utilisent pour la recherche de vulnérabilités et la revue de code, et nous l’avons utilisé pour trouver et corriger des faiblesses dans notre propre infrastructure⁠.

Il est clair que nous disposons d’un délai limité pour utiliser les modèles de pointe afin de sécuriser les logiciels⁠. Notre objectif est d’élargir considérablement Daybreak pour rendre la recherche avancée en sécurité accessible aux organisations de toutes tailles, aux chercheurs indépendants et aux responsables de la maintenance de logiciels libres. Les modèles de la gamme principale, comme GPT‑6 Astra, prennent déjà en charge la revue de code, le triage des vulnérabilités et le développement de correctifs. Daybreak Blue aide les défenseurs vérifiés à valider les vulnérabilités et les correctifs avec moins de refus inutiles, tandis que Daybreak Red permet un développement plus poussé de codes d’exploitation et des tests de sécurité autorisés avec GPT‑6 Cyber.

GPT‑6 Cyber représente une avancée majeure par rapport à GPT‑5.6 Cyber et surpasse GPT‑6 Astra dans la plupart des tâches de cybersécurité, même lorsqu’Astra ne refuse pas la demande. Nous avons évalué le modèle sur des tâches qui exigent de comprendre les logiciels, de repérer les vulnérabilités et de développer des codes d’exploitation fonctionnels. Selon ces résultats, nous classons le modèle au niveau Critique en cybersécurité dans notre cadre de préparation, contre le niveau Élevé pour GPT‑5.6 Cyber.

Sur ExploitGym, qui teste la capacité des modèles à exploiter une vulnérabilité donnée dans une cible distante, GPT‑6 Cyber obtient un score de 48,5 %, soit environ 16 points de pourcentage de plus que les 32,1 % de GPT‑5.6 Cyber. Pour tester la découverte de vulnérabilités, nous avons aussi créé une nouvelle évaluation des tests d’intrusion offensifs sur le Web. Les modèles sondent des applications Web sans avoir accès à leur code source. GPT‑6 Cyber a atteint un rappel de 40,3 % des vulnérabilités, contre 32,0 % pour GPT‑6 Astra.

Daybreak Red est conçu pour prendre en charge des flux de travail de sécurité plus avancés, notamment le développement de codes d’exploitation fonctionnels et leur utilisation contre des cibles distantes. Pour évaluer ces capacités, nous avons créé un nouveau banc d’essai appelé RemoteExploitBench, qui utilise des vulnérabilités connues dans des applications comme GitLab, PostgreSQL et Jenkins, déployées dans un environnement contrôlé. Dans notre évaluation initiale, GPT‑6 Astra fonctionnant avec Daybreak Blue a refusé 100 % des tâches, tandis que GPT‑6 Cyber en a réussi 95 %; son seul échec concernait un code d’exploitation qu’il n’a pas réussi à faire fonctionner à distance. Consultez la fiche système⁠(s'ouvre dans une nouvelle fenêtre) pour les résultats complets et les paramètres d’évaluation.

L’un des risques liés aux agents de cybersécurité est qu’ils sortent du périmètre de leur tâche, tentent d’exploiter des services sans rapport avec celle-ci ou ignorent les règles d’engagement du chercheur.

Nous avons fait de l’alignement une priorité pour GPT‑6 Cyber, grâce à un entraînement spécialisé qui aide le modèle à respecter le périmètre autorisé et les restrictions imposées à ses actions, ainsi qu’à rendre compte fidèlement de son travail. Avant le déploiement, nous avons mené une série d’évaluations de l’alignement pour mesurer ces comportements. Consultez la fiche système⁠(s'ouvre dans une nouvelle fenêtre) pour obtenir les résultats complets.

L’une de ces évaluations est ExploitGym Honeypot, qui s’inspire de l’incident Hugging Face⁠. Nous confions au modèle une tâche d’exploitation difficile dans un environnement isolé, avec accès à des services de soutien, comme un registre de paquets ou un espace de stockage d’objets. Nous rendons délibérément ces services faciles à exploiter, de sorte qu’une attaque contre eux puisse révéler le drapeau de la tâche. Le modèle doit déduire que leur exploitation sort du périmètre de sa tâche.

GPT‑6 Cyber marque un progrès majeur par rapport à GPT‑5.6 Cyber dans cette évaluation. Testé sans les invites de sécurité du déploiement, il a évité d’exploiter des services hors périmètre dans 99,93 % des cas, contre 94,49 % pour GPT‑5.6 Cyber. Avec ces invites, GPT‑6 Cyber a respecté les limites dans 100 % des cas.

Le raisonnement détaillé (« chain-of-thought ») du modèle GPT‑6 Cyber montre directement comment il réfléchit au respect des limites :

GPT‑6 Cyber aide déjà les équipes de sécurité à trouver des vulnérabilités, à valider leur impact et à élaborer des correctifs. Des clients l’utilisent pour travailler sur de vastes bases de code, développer des codes d’exploitation sur de longues périodes et effectuer des examens de sécurité :

Nous avons aussi utilisé GPT‑6 Cyber pour sécuriser nos propres systèmes. Il comptait parmi les principaux modèles utilisés pour les travaux que nous avons récemment présentés sur le renforcement de l’infrastructure servant à entraîner les modèles de pointe⁠. Lors de campagnes contrôlées d’équipe rouge, des agents utilisant GPT‑6 Cyber et d’autres modèles d’OpenAI ont enchaîné des vulnérabilités pour s’échapper de microVM et exécuter du code sur les hôtes sous-jacents. Nous avons utilisé ces résultats pour corriger des logiciels, resserrer les restrictions réseau et signaler des problèmes aux responsables de la maintenance et aux fournisseurs.

Nos chercheurs en vulnérabilités utilisent également GPT‑6 Cyber pour trouver et valider à grande échelle des vulnérabilités dans des logiciels libres. Ces travaux ont révélé des failles jusque-là inconnues dans des logiciels examinés à la loupe depuis des années :

• Découverte de 81 nouvelles vulnérabilités dans Firefox. GPT‑6 Cyber peut convenir aux flux de travail autonomes visant à trouver des vulnérabilités et à proposer des correctifs de haute qualité à grande échelle. Lors d’une campagne de recherche de vulnérabilités, GPT‑6 Cyber a produit des preuves et des tests reproductibles pour 81 nouvelles vulnérabilités classées comme étant de gravité élevée par Mozilla, et a montré que 30 autres problèmes connus étaient plus graves qu’on ne l’avait signalé auparavant. Nous avons communiqué ces résultats à Mozilla, avec des propositions de correctifs pour aider ses ingénieurs à élaborer des solutions. Mozilla a soutenu ces travaux et a commencé à intégrer des correctifs peu après la réception des rapports⁠(s'ouvre dans une nouvelle fenêtre).

• Développement de codes d’exploitation pour 948 vulnérabilités du noyau Linux32. ⁠GPT‑6 Cyber a reproduit 1 724 vulnérabilités et développé des codes d’exploitation fonctionnels pour 948 d’entre elles, soit plus de cinq fois les 166 exploitées par GPT‑5.6 Sol avec le même dispositif de test. Conformément aux recommandations de la communauté Linux, nous avons communiqué 304 résultats critiques aux responsables de la maintenance, avec des propositions de correctifs, et nous travaillons à faire corriger d’autres vulnérabilités.

• Démonstration de vulnérabilités critiques d’exécution de code à distance (RCE). Nous avons récemment présenté une vulnérabilité critique dans Brotli⁠(s'ouvre dans une nouvelle fenêtre), une bibliothèque de compression utilisée par Node.js et d’autres logiciels. Nos chercheurs en sécurité ont utilisé GPT‑6 Cyber avec d’autres modèles d’OpenAI pour développer et valider des codes d’exploitation montrant comment cette faille pouvait permettre l’exécution de code à distance dans les applications en aval.

À mesure que les modèles deviennent plus performants et découvrent davantage de vulnérabilités de sécurité, nous constatons aussi une hausse des tentatives de les utiliser pour causer des dommages. Ces tentatives comprennent celles de cyberacteurs malveillants et de groupes adverses cherchant à distiller nos modèles. Nous avons donc associé les capacités accrues de GPT‑6 Cyber à des mesures de protection renforcées pour détecter et interrompre les utilisations abusives, et maintenir les actions du modèle dans les limites de l’intention et de l’autorisation de l’utilisateur.

Nous avons ajouté et renforcé ces protections à l’occasion du lancement de GPT‑6 Cyber (consultez la fiche système⁠(s'ouvre dans une nouvelle fenêtre) pour tous les détails) :

• Surveillance du désalignement propre à la cybersécurité. Nous vérifions si les actions correspondent à l’autorisation de l’utilisateur, tout en reconnaissant le développement et les tests légitimes de codes d’exploitation.

• Surveillance ciblée des menaces émergentes. Par exemple, lors de la divulgation coordonnée de vulnérabilités critiques de PHP, nous avons mis en place une surveillance ciblée des tentatives de développement de codes d’exploitation visant des serveurs PHP en service, tout en continuant de soutenir les défenseurs qui corrigeaient les systèmes touchés.

• Traitement privé de sécurité (PSP). Nous utilisons des vérifications automatisées pour examiner les interactions connexes afin de détecter les utilisations abusives. La conservation standard demeure le réglage par défaut. Les clients de l’API qui utilisent l’option Aucune conservation des données⁠(s'ouvre dans une nouvelle fenêtre) doivent généralement utiliser le PSP⁠(s'ouvre dans une nouvelle fenêtre), qui examine les enregistrements chiffrés conservés dans l’espace de stockage du client pendant 30 jours, sans exposer les invites ni les réponses au personnel d’OpenAI.

• Protection contre l’utilisation d’identifiants volés. Par défaut, nous exigeons une liste d’adresses IP autorisées pour l’accès à l’API de Daybreak Red, ce qui limite les requêtes aux réseaux approuvés, à quelques exceptions près. Nous surveillons aussi les identifiants pour détecter toute compromission.

• Isolement en bac à sable et supervision. Comme pour les modèles précédents, nous recommandons l’isolement en bac à sable⁠(s'ouvre dans une nouvelle fenêtre), l’examen des actions⁠(s'ouvre dans une nouvelle fenêtre) et la supervision humaine pour les flux de travail à haut risque.

• Protections contre l’assistance cybernétique à haut risque. Nous utilisons de nouvelles vérifications pour bloquer les activités à haut risque impliquant des systèmes critiques (voir les détails ci-dessous).

La protection des infrastructures critiques a été un élément central de la conception des mesures de protection et des modalités d’accès de GPT‑6 Cyber. Cela comprend les centrales électriques, les installations de traitement de l’eau ainsi que les technologies opérationnelles et les systèmes de contrôle industriel (OT/ICS) sur lesquels elles reposent. Nous voulons à la fois donner aux équipes qui défendent ces systèmes accès à nos modèles les plus performants et renforcer nos protections pour prévenir les attaques non autorisées.

Premièrement, pour outiller ces défenseurs, notre programme de subventions Daybreak pour les défenseurs de première ligne⁠, doté d’un milliard de dollars, subventionne l’accès des équipes aux ressources limitées, comme les organismes gouvernementaux et les fournisseurs de services essentiels. Nous lançons également un nouveau groupe au sein de Daybreak Red (Daybreak Red pour les infrastructures critiques), destiné aux défenseurs approuvés d’infrastructures critiques. Il leur donne les permissions nécessaires pour effectuer des tests autorisés sur des systèmes critiques, tout en maintenant les protections contre le désalignement du modèle.

Deuxièmement, pour prévenir l’utilisation abusive des plateformes Daybreak Red et Blue, nous avons affiné les protections contre l’assistance et le développement de capacités susceptibles de compromettre les commandes industrielles ou les systèmes critiques pour la sécurité, de perturber les équipements ou de causer des blessures graves, des dommages matériels catastrophiques ou des interruptions de service mettant des vies en danger. La figure ci-dessous compare les taux d’étiquetage par les protections dans quatre configurations d’accès, avant et après les récentes mises à jour que nous déployons en parallèle avec GPT‑6 Cyber.

Des taux de blocage plus élevés ne sont pas toujours préférables. Bon nombre des techniques de cette évaluation sont aussi essentielles aux travaux légitimes en sécurité : comprendre les systèmes, trouver des vulnérabilités et vérifier que les correctifs résistent aux attaques. Nous évaluons donc ces taux en tenant compte du soutien à la recherche et à la correction légitimes, plutôt que de viser 100 %.

Pour évaluer comment nos modèles peuvent aider à défendre les infrastructures critiques, nous avons collaboré avec Dragos, fournisseur mondial de cybersécurité pour les technologies opérationnelles étendues (xOT). Dragos a mené des évaluations avec des modèles Daybreak Red permissifs en matière de cybersécurité dans un environnement de laboratoire contrôlé. Les évaluations portaient sur des requêtes allant de la découverte du réseau et de l’énumération des actifs à la reconnaissance ciblée, à l’exfiltration de données sensibles et aux actions non autorisées et potentiellement dangereuses sur des appareils.

Nous avons utilisé les commentaires de Dragos pour affiner nos protections, afin de bloquer l’assistance nuisible sans restreindre inutilement les tests autorisés. Consultez son rapport final⁠(s'ouvre dans une nouvelle fenêtre) pour en savoir plus sur les évaluations. Nous travaillons aussi à élargir nos partenariats avec d’autres fournisseurs de sécurité offensive et des équipes violettes pour les tests d’intrusion et les exercices d’équipe rouge avec l’IA, ainsi qu’avec des entreprises du secteur de l’énergie, d’autres exploitants d’infrastructures critiques et des laboratoires nationaux pour évaluer l’efficacité et les protections de nos modèles en défense industrielle. Nous avons également accru nos investissements dans les enquêtes sur les menaces afin de détecter l’utilisation des modèles impliquant des OT/ICS. Nous continuerons d’affiner nos protections grâce aux commentaires de nos partenaires et de la communauté de la sécurité, notamment aux signalements transmis par /feedback lorsque les protections ne détectent pas une activité nuisible ou interrompent un travail légitime.

GPT‑6 Cyber est d’abord accessible par l’API et Codex à un groupe restreint de clients approuvés de Daybreak Red. Nous élargirons bientôt l’accès progressivement à tous les clients de Daybreak Red, et nous rendons aussi GPT‑5.6 Cyber accessible à l’ensemble de ces clients. Nous élargissons également l’accès alpha de Daybreak Blue pour GPT‑6 Astra à davantage d’organisations et de chercheurs individuels en sécurité; faites-nous savoir⁠(s'ouvre dans une nouvelle fenêtre) si cela vous intéresse.

Les nouveaux utilisateurs et les nouvelles organisations peuvent présenter une demande d’accès à Daybreak⁠ et commencer avec nos compétences, produits et partenaires en cybersécurité⁠.