Daybreak : des outils pour sécuriser toutes les organisations dans le monde

Nous étendons Daybreak⁠ afin de contribuer à démocratiser l’application de correctifs aux logiciels vulnérables à la vitesse des machines. Par exemple, nous avons appliqué nos modèles pour découvrir des vulnérabilités critiques⁠(ouverture dans une nouvelle fenêtre), et générer des correctifs pour celles-ci dans les principaux navigateurs, les infrastructures réseau et les systèmes d’exploitation tels que FreeBSD et le noyau Linux. Pour accroître l’impact de ces capacités :

• Codex Security : Nous lançons une mise à jour du plugin Codex Security⁠, qui met à profit les enseignements tirés de l’utilisation de nos modèles en interne et par nos clients pour proposer une solution permettant d’accélérer la découverte et la correction des vulnérabilités dans les systèmes existants, ainsi que d’empêcher automatiquement toute nouvelle vulnérabilité d’arriver jusqu’en production.
• GPT‑5.5‑Cyber : Après un aperçu initial en mode permissif uniquement, nous lançons la version complète de GPT‑5.5‑Cyber dans le cadre de notre déploiement limité continu auprès de défenseurs de confiance. Ce modèle établit une nouvelle référence de l’état de l’art en matière de performances sur CyberGym, avec 85,6 %, contre 81,8 % pour GPT‑5.5.
• Daybreak Cyber Partner Program⁠ : permet aux partenaires de sécurité de faire bénéficier davantage d’organisations de nos modèles les plus performants, grâce à un accès de confiance intégré à leurs produits et services.
• Patch the Planet⁠ : une initiative fondée avec Trail of Bits en collaboration avec HackerOne, Calif, des chercheurs et des mainteneurs afin d’aider les projets open source largement utilisés à passer des constats aux correctifs.
  • Plus de 30 projets open source se sont engagés à participer, les premiers participants comptant notamment cURL, Go, Python, Sigstore et pyca/cryptography.
  • Avec Patch the Planet, nous travaillons avec des chercheurs, des mainteneurs, des entreprises et des partenaires afin de mettre de puissantes capacités cyber à la disposition des défenseurs, avec un accès, une gouvernance et une supervision humaine appropriés. Découvrez ce qu’en disent Clint et Dan ici⁠(ouverture dans une nouvelle fenêtre).

L’IA a changé les fondements de la cybersécurité. Les modèles d’IA de pointe accélèrent de plus en plus la découverte de vulnérabilités. Historiquement, le goulot d’étranglement résidait dans l’identification des vulnérabilités, mais les équipes de défense sont désormais submergées par le nombre de vulnérabilités découvertes. Le goulot d’étranglement réside désormais plutôt dans l’application de correctifs aux vulnérabilités.

Pendant des années, trouver des vulnérabilités graves nécessitait une expertise rare, du temps et une connaissance approfondie des systèmes complexes. Désormais, les modèles peuvent parcourir de vastes bases de code, analyser des chemins d’attaque, valider des hypothèses et faire remonter des problèmes de sécurité qui pourraient autrement rester cachés. Les défenseurs ont absolument besoin d’accéder à ces capacités, ainsi qu’à des outils pour corriger ce que nous pouvons désormais détecter, avant que les attaquants ne le fassent.

Les rapports de vulnérabilité, à eux seuls, ne protègent personne. La valeur réside dans la validation du problème, la compréhension de son impact, le développement et le test d’un correctif, la coordination de sa divulgation et l’aide apportée aux équipes pour déployer la correction. Nous investissons aux côtés de nos partenaires pour améliorer ces dernières étapes, afin de donner un coup d’accélérateur aux défenseurs et de convertir les capacités du modèle en une réduction concrète des risques.

L’accès aux capacités de défense les plus avancées ne devrait pas être réservé à une poignée d’acteurs. Les logiciels touchent tous les aspects de la vie, des infrastructures critiques aux applications d’entreprise et aux réseaux gouvernementaux. Alors que l’IA modifie le rythme de découverte des vulnérabilités, les défenseurs du monde entier ont besoin d’un accès démocratisé à ces modèles pour repérer et corriger ces failles, et protéger leur infrastructure avant que les attaquants ne puissent les identifier et les exploiter.

Daybreak réunit les capacités cyber de pointe des modèles d’OpenAI, Trusted Access for Cyber, les workflows Codex Security et les partenaires de l’écosystème afin d’aider les défenseurs approuvés à valider les vulnérabilités, à hiérarchiser les risques, à générer et tester des correctifs, et à produire des éléments probants au sein des workflows de sécurité et de développement existants. Notre objectif est de fournir aux organisations les outils dont elles ont besoin pour maintenir leur sécurité, alors même que le paysage des cybermenaces continue d’évoluer à un rythme accéléré.

Depuis son lancement en préversion de recherche en mars, Codex Security cloud a analysé plus de 30 millions de commits dans plus de 30 000 bases de code ; des réviseurs humains ont marqué manuellement plus de 70 000 problèmes détectés comme corrigés, et plus de 500 000 problèmes détectés ont été automatiquement considérés comme corrigés.

C’est à cette échelle que l’application des correctifs doit désormais se faire.

Nous avons conçu Codex Security autour d’un principe simple : placer l’équivalent d’un ingénieur en sécurité aux côtés de chaque développeur logiciel, grâce à une intégration directe dans Codex. Plutôt que de simplement générer des alertes, Codex Security comprendra le code de votre équipe et son modèle de menaces (ou en générera un s’il n’existe pas), identifiera les vulnérabilités plausibles, déterminera si le code affecté est atteignable, rassemblera des preuves afin de fournir des étapes de validation, développera un correctif ciblé et vérifiera le résultat. Les utilisateurs gardent le contrôle sur les constatations à examiner, les modifications à appliquer et les informations à partager.

Aujourd’hui, nous publions une mise à jour du plug-in Codex Security⁠ qui permet de mettre en place des workflows de sécurité défensive clé en main. Les développeurs peuvent exécuter des analyses approfondies ou examiner les modifications récentes, générer des rapports indiquant la gravité, les emplacements de code affectés, les preuves de validation et les recommandations de remédiation, retracer les chemins d’attaque, élaborer des modèles de menace, valider les constats et générer des correctifs propres à la base de code pour examen.

Le plug-in⁠ peut également trier et valider les résultats existants issus de scanners, d’avis de sécurité, de rapports de bug bounty ou de systèmes de tickets, puis automatiser la génération de correctifs à grande échelle afin de résorber rapidement un arriéré de vulnérabilités. Lorsque Codex Security termine une analyse, il peut également exporter les résultats vers un système de gestion des vulnérabilités existant ou s’intégrer à des outils au moyen de fichiers SARIF, de requêtes CodeQL, et plus encore. Le plug-in rend ces fonctionnalités beaucoup plus accessibles pour prendre en charge des pipelines automatisés avec Codex CLI ou les intégrer aux workflows des développeurs dans l’application Codex.

Nous publions une mise à jour de GPT‑5.5‑Cyber, notre modèle à la fois plus permissif et plus performant pour les travaux avancés et autorisés de cybersécurité.

Notre préversion initiale de GPT‑5.5‑Cyber a été conçue principalement pour réduire les refus injustifiés dans les workflows spécialisés. Cette mise à jour va plus loin. Il s’agit de notre modèle le plus performant à ce jour pour trouver les vulnérabilités logicielles et aider à les corriger, tout en conservant les intelligence généraliste et capacité à travailler sur des tâches longues et complexes.

Le modèle peut mener une analyse plus approfondie de vastes bases de code : identifier les composants pertinents pour la sécurité, déterminer si le code vulnérable est atteignable, valider les problèmes probables dans des environnements contrôlés, développer et tester des correctifs, et préparer des éléments probants en vue d’un examen humain. L’objectif est d’aider les équipes de défense à parcourir l’ensemble de la boucle de remédiation — pas simplement à produire davantage de résultats.

Sur CyberGym, qui évalue si un agent peut reproduire des vulnérabilités connues dans des environnements logiciels, le GPT‑5.5‑Cyber mis à jour a atteint 85,6 % lors d’évaluations à modèle unique, contre 81,8 % pour GPT‑5.5. Il s’agit du score CyberGym le plus élevé que nous ayons mesuré pour un modèle unique.

GPT‑5.5‑Cyber a également surpassé GPT‑5.5 sur deux benchmarks de sécurité exigeants en conditions réelles : 39,5 % contre 25,95 % sur ExploitGym, qui teste si les agents peuvent transformer des vulnérabilités connues en exploits fonctionnels permettant une exécution de code non autorisée. Sur SEC-bench Pro, qui évalue la découverte de vulnérabilités à long horizon et la génération de preuves de concept sur des cibles logicielles complexes, GPT‑5.5‑Cyber a atteint 69,8 %, contre 63,1 % pour GPT‑5.5.

Les évaluations ne représentent qu’une partie de l’histoire. Ce qui compte en pratique, c’est de savoir si un modèle peut détecter de véritables vulnérabilités, distinguer les problèmes nécessitant une action du bruit, et aider les défenseurs à appliquer des correctifs en toute sécurité. Nous continuons d’évaluer les performances du modèle sur des dépôts complexes et des workflows réels de remédiation à mesure que les divulgations coordonnées se concluent.

Nous entretenons un dialogue continu avec le gouvernement américain au sujet de notre approche en matière de cybersécurité, notamment concernant les annonces d’aujourd’hui et notre préparation aux prochaines versions de modèles. Cela comprend la poursuite de la collaboration avec le Center for AI Standards and Innovation (CAISI) sur les tests préalables au déploiement de GPT‑5.5 et 5.5-Cyber, ainsi que le travail avec l’Office of the National Cyber Director (ONCD) et l’Office of Science and Technology Policy (OSTP) sur la mise en œuvre de la récente ordonnance exécutive⁠(ouverture dans une nouvelle fenêtre) et des normes sectorielles associées.

Pour la plupart des défenseurs, GPT‑5.5 avec Trusted Access for Cyber et Codex Security reste le bon point de départ. GPT‑5.5‑Cyber est destiné aux défenseurs vérifiés dont les travaux autorisés nécessitent nos capacités cyber les plus avancées et un comportement plus permissif, associés à une vérification renforcée, une surveillance accrue, des contrôles à périmètre défini et un examen. Dans le cadre des premiers travaux de Daybreak, GPT‑5.5 et Codex Security ont aidé les défenseurs à identifier et à valider des vulnérabilités dans des systèmes largement utilisés, notamment les implémentations de Firefox, V8, Safari, OpenBSD, FreeBSD et HTTP/2⁠.

Dans le cadre de cette expansion, nous lançons également le programme de partenaires OpenAI Daybreak Cyber ⁠en collaboration avec des fournisseurs de premier plan de logiciels et de services de cybersécurité. Grâce à ce programme, les partenaires participants peuvent utiliser GPT‑5.5 avec Trusted Access for Cyber — notre modèle de référence pour la plupart des workflows de cybersécurité défensive — dans les produits et services de sécurité qu’ils proposent à leurs clients. Cela permet à leurs clients de bénéficier des capacités défensives du modèle et de renforcer la résilience de leurs logiciels, tout en réservant l’accès direct au modèle aux partenaires participants.

Nous collaborerons également avec les partenaires du programme afin de continuer à renforcer les garde-fous, les mécanismes de surveillance et les normes de prévention des abus nécessaires à un déploiement responsable de ces capacités dans l’ensemble de l’écosystème de la sécurité. Nous déployons cette initiative avec un premier groupe de partenaires⁠ et prévoyons de l’étendre à davantage d’organisations dans les mois à venir.

Patch the Planet est une initiative conçue pour aider les mainteneurs à passer de l’identification des problèmes à leur résolution. Fondée avec Trail of Bits et menée en collaboration avec HackerOne et Calif, cette initiative finance des chercheurs en sécurité de haut niveau et les dote de Codex Security ainsi que de nos modèles avancés afin qu’ils travaillent directement avec les mainteneurs de projets open source.

Les logiciels open source alimentent des produits, des services publics, des outils de développement et des infrastructures critiques dans tous les secteurs. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut affecter des milliers de systèmes en aval. Pourtant, nombre de ces projets sont maintenus par de très petites équipes disposant de peu de temps et de financements limités. Une étude de la Linux Foundation et de Harvard⁠(ouverture dans une nouvelle fenêtre) a révélé que 94 % des projets largement utilisés qu’elle a étudiés comptaient moins de dix développeurs responsables de plus de 90 % du code ajouté en un an.

À mesure que l’IA permet de détecter et de corriger plus rapidement davantage de vulnérabilités, elle crée également plus de travail pour les responsables de la maintenance, qui doivent passer au crible des milliers de rapports, dont beaucoup sont des faux positifs de faible qualité. Les mainteneurs ne devraient pas se retrouver avec davantage de signalements sans capacité supplémentaire pour y remédier. C’est pourquoi Patch the Planet repose sur des examens de sécurité réalisés par des experts humains.

Chaque mission commence par une phase de concertation entre nos chercheurs en sécurité informatique et les mainteneurs qu’ils accompagnent. Les mainteneurs définissent leurs priorités, leurs préférences et leurs processus de divulgation établis. Les chercheurs en sécurité de Patch the Planet gèrent ensuite le travail de bout en bout — en validant et en dédupliquant à la fois les vulnérabilités et les correctifs avant qu’ils ne parviennent aux mainteneurs, ce qui réduit considérablement la charge pesant sur ces derniers et accélère la remédiation.

Les projets participants bénéficient de ChatGPT Pro, d’un accès conditionnel à Codex Security et de crédits API pour le développement principal, l’automatisation de la maintenance et les workflows de publication.

Le sprint initial de cinq jours couvrant plusieurs projets a mis en évidence des centaines de problèmes à examiner, fusionné des dizaines de correctifs tandis que d’autres sont en cours, et permis de créer des workflows réutilisables pour le fuzzing, l’analyse de variantes, les tests différentiels et les tests fondés sur les spécifications. Vous pouvez en savoir plus sur le blog de Trail of Bits ici⁠(ouverture dans une nouvelle fenêtre).

Identifier les vulnérabilités est important, mais c’est l’application du correctif qui protège le monde, et cela nécessite la collaboration et le soutien de la communauté.

Nous collaborons également étroitement avec des gouvernements et des institutions du monde entier afin de renforcer leurs capacités de défense en matière de cybersécurité et de protéger les infrastructures critiques. Nous travaillons en étroite collaboration avec le gouvernement des États-Unis et les agences fédérales compétentes afin de nous préparer à des modèles d’IA dotés de capacités cyber de plus en plus avancées. Au cours du mois dernier, nous avons déjà établi des partenariats Trusted Access for Cyber avec l’Australie, le Canada, la France, l’Allemagne, le Japon, la République de Corée et des institutions de l’UE comme l’ENISA. Nous entretenons également un partenariat de confiance croissant avec le gouvernement britannique dans les domaines de la cybersécurité, des tests et de l’évaluation, ainsi que dans d’autres domaines d’intérêt mutuel.

Nous prévoyons de travailler directement avec les opérateurs éligibles d’infrastructures critiques, y compris les réseaux gouvernementaux, afin de développer des mesures de protection adaptées aux systèmes qu’ils exploitent. L’objectif de ce travail est de rendre l’intelligence artificielle avancée plus utile aux défenseurs, tout en rendant plus difficile pour les acteurs malveillants de causer des dommages concrets.

Nous collaborerons également avec des clients d’entreprise et des partenaires de confiance afin d’intégrer un contexte plus large et des identifiants concernant les systèmes spécifiques qu’ils exploitent ou protègent, renforçant ainsi nos mesures de protection en matière de cybersécurité et notre capacité à prévenir les activités cyber malveillantes impliquant des services critiques.

Daybreak rassemble des modèles, Codex Security, Patch the Planet, des chercheurs experts, des mainteneurs, des partenaires de sécurité, des opérateurs d’infrastructures critiques et des contrôles d’accès de confiance pour aider les défenseurs humains à relever le défi.

Les organisations des secteurs public et privé peuvent travailler avec OpenAI Daybreak pour identifier, valider et corriger les vulnérabilités dans les logiciels qu’elles développent et sur lesquels elles s’appuient. Les développeurs et les mainteneurs peuvent exécuter Codex Security⁠ sur le code qu’ils maintiennent, examiner les résultats et aider à appliquer les correctifs. Les partenaires et praticiens de la sécurité peuvent utiliser nos modèles de pointe pour renforcer leurs outils de défense et mettre rapidement ces capacités à la disposition d’un plus grand nombre d’organisations.

L’objectif est de ne plus se contenter d’utiliser des modèles pour trouver davantage de vulnérabilités, mais de tendre vers un monde où les logiciels sont plus sûrs et où la cyberrésilience est renforcée.