Deux failles inconnues trouvées en marge d'un test : OpenAI classe Astra au niveau de risque cyber maximal

Un simple fichier HTML ouvert dans un navigateur, et la machine change de mains

Des experts en sécurité ont soumis un modèle d'OpenAI encore non publié, baptisé Astra, à un navigateur durci, c'est-à-dire configuré pour résister aux attaques connues. Le modèle y a découvert des vulnérabilités que personne n'avait documentées, puis les a enchaînées jusqu'à s'échapper du bac à sable et exécuter ses propres commandes sur la machine hôte. Le déclencheur : l'ouverture d'un fichier HTML. Sur un système d'exploitation lui aussi durci, il a combiné plusieurs défauts pour passer d'un compte ordinaire aux droits complets d'administration.

Le 1er septembre 2026, OpenAI a tiré les conclusions de ces essais et de plusieurs semaines de tests supplémentaires. Astra atteint le seuil « critique » en cybersécurité de son Preparedness Framework, et devient le premier modèle de l'entreprise à y parvenir. L'étiquette relève de la gouvernance interne et n'intéressera pas grand monde. Les mesures qui la justifient, en revanche, forment le compte rendu public le plus détaillé dont nous disposions sur ce que signifie concrètement un saut de capacité offensive.

Ce que les évaluations ont mis au jour

Le Preparedness Framework est l'échelle publiée par OpenAI pour déterminer à quel moment l'un de ses propres modèles exige des garde-fous supplémentaires. En cybersécurité, deux conditions suffisent à faire basculer un modèle dans la catégorie la plus haute. La première : savoir identifier puis exploiter des failles zero-day (des défauts qu'aucun correctif ne couvre, puisque personne n'en soupçonnait l'existence) sur de nombreux systèmes durcis, sans qu'un humain pilote chaque étape. La seconde : concevoir et mener de bout en bout une attaque inédite contre une cible durcie, à partir d'un simple objectif général. GPT-5.6 Sol, jusqu'ici le modèle le plus avancé de la maison, restait un cran en dessous, au niveau « élevé ».

Les chiffres donnent la mesure de l'écart. Astra obtient 100 % sur ExploitBench, un banc d'essai qui évalue la capacité à transformer une vulnérabilité déjà publiée en code d'attaque fonctionnel. Un score parfait sur un test public soulève aussitôt le soupçon d'une contamination des données d'entraînement, aussi OpenAI a-t-elle reconstruit l'exercice en interne autour de vingt failles de sévérité élevée affectant V8, le moteur JavaScript de Chrome, toutes divulguées entre juin et août 2026. Astra y obtient bien plus souvent que GPT-5.6 Sol l'exécution de code arbitraire, et avec nettement moins de jetons consommés. Ce dernier point est le plus lourd de conséquences, car une capacité dont le coût d'exécution s'effondre n'est plus tout à fait la même capacité, quelles que soient les mains qui la détiennent. Un détail encore, qui ne figurait pas au programme : pendant cet exercice, le modèle a découvert deux vulnérabilités inconnues et les a intégrées à une chaîne d'exploitation. OpenAI indique être en train de les signaler aux mainteneurs concernés.

• Ces résultats correspondent à Astra doté de l'accès Daybreak Blue, la configuration restreinte réservée aux travaux de cybersécurité, et non aux réglages dont disposera un utilisateur ordinaire.
• Sur les tests de contournement des règles, Astra refuse 91,5 % des demandes cyber interdites, contre 59 % pour GPT-5.6 Sol. Lu dans l'autre sens, cela laisse passer environ une tentative sur douze sur un modèle classé critique.
• Après l'incident Hugging Face du mois d'août, OpenAI avait suspendu deux semaines une partie de ses entraînements de frontière pour durcir l'environnement, avant de relancer le grand cycle d'apprentissage par renforcement le 28 août 2026. Certains essais de moindre ampleur restent gelés.

La portée réelle

Personne n'a été volé, et c'est précisément ce qui rend la publication inhabituelle. Nous disposons d'une série de mesures chiffrées et d'un éditeur qui a retardé son propre produit pour les rendre publiques, ce que le secteur ne produit pas tous les jours. La conséquence immédiate reste d'ailleurs plus étroite que le titre ne le laisse croire, puisque les capacités cyber avancées ne partent pas en vente libre : un petit groupe de testeurs y accédera d'abord, puis le programme Daybreak Blue, orienté vers la défense. Ce qui change pour vous se joue ailleurs, dans l'arithmétique de votre file de correctifs. L'exploitation d'une faille n'a jamais buté sur la rareté des vulnérabilités, mais sur le nombre de personnes assez compétentes et assez motivées pour en tirer une arme, et chaque calendrier de mise à jour repose en silence sur cette rareté. Dès lors, si votre délai entre la divulgation d'un défaut et son correctif sur les systèmes exposés se compte en semaines parce que les attaquants avaient eux aussi besoin de semaines, l'hypothèse vient d'être mise sous chronomètre. Reste enfin la dimension de gouvernance, sans doute la plus durable. Un éditeur déclare noir sur blanc, et avant la mise à disposition de son produit, que celui-ci sait trouver et exploiter seul des failles inconnues dans des systèmes durcis. Régulateurs, assureurs et directions des achats disposent désormais d'un écrit auquel se référer, et chaque laboratoire concurrent devra répondre publiquement à la même question sur son propre modèle.

Les bons réflexes

1. Réévaluez votre délai de correction sur les systèmes exposés. Ce délai a été calibré sur le temps qu'il faut à un humain compétent pour écrire un exploit fonctionnel, et c'est ce chiffre-là qui bouge, pas le volume de vulnérabilités.
2. Anticipez des garde-fous qui interrompront du travail légitime. OpenAI prévient que son moniteur de désalignement peut suspendre ou arrêter des tâches qu'il interprète mal, y compris des travaux sans rapport apparent avec la sécurité et des agents qui tournent longtemps. Via l'API, la tâche s'arrête sans rien demander, ce qui suppose que vos automatisations survivent à une coupure en plein vol.
3. Demandez à vos fournisseurs d'IA où ils se situent sur leur propre échelle de risque, et ce qui se passera au palier suivant. OpenAI vient d'établir un précédent en le déclarant avant la sortie, et un fournisseur incapable de répondre vous indique surtout qu'il n'a pas mené l'évaluation.

À retenir

Ce n'est pas le classement qu'il faut emporter de cette annonce. C'est la manière dont les deux failles inconnues sont apparues : en marge d'un exercice qui portait sur tout autre chose, sans que personne ait demandé au modèle de les chercher. Une capacité de cette nature ne se manifeste pas le jour d'un lancement, elle affleure au détour d'une tâche, et c'est très exactement ainsi qu'elle affleurera dans votre environnement. Posez donc la question à votre prochain comité de sécurité sous forme de calendrier plutôt que sous forme d'IA : combien de temps met aujourd'hui votre organisation à corriger un système exposé sur Internet, et qui a décidé que ce délai était sûr ?