OpenAI juge Astra « critique » en cybersécurité et limite son accès initial

Un modèle d’intelligence artificielle peut accélérer la recherche de failles et aider les défenseurs à corriger leurs systèmes. Il peut aussi, si ses capacités sont détournées, abaisser le coût et la technicité d’attaques informatiques complexes. C’est ce risque de double usage qui conduit OpenAI à annoncer une sortie sous fortes restrictions pour Astra, son prochain modèle.

Le 1er septembre 2026, l’entreprise a indiqué qu’Astra était le premier de ses systèmes à franchir le seuil « Critical », ou critique, de son Preparedness Framework. Ce cadre interne évalue les risques associés aux modèles avant leur déploiement, notamment en cybersécurité, en biologie et en autonomie. La catégorie retenue ne décrit donc pas simplement un modèle plus performant : elle signale qu’OpenAI estime que ses capacités imposent des exigences de sécurité renforcées avant une diffusion plus large.

Ce que signifie le niveau « Critical » pour OpenAI

Le mot « critique » peut être trompeur. Il ne signifie pas qu’Astra aurait déjà compromis des infrastructures réelles ou qu’il serait mis à la disposition du public pour attaquer des systèmes. Il correspond à une définition précise, fixée par OpenAI dans son cadre de préparation.

Pour atteindre ce niveau dans le domaine cyber, un modèle doit pouvoir, sans intervention humaine, identifier et développer des exploits fonctionnels de type zero-day dans de nombreux systèmes critiques réels et durcis, quels que soient les niveaux de gravité concernés. L’autre scénario envisagé est celui d’un modèle capable de concevoir et d’exécuter de bout en bout une stratégie de cyberattaque inédite contre une cible durcie, à partir d’un simple objectif général.

Une vulnérabilité dite zero-day est une faille encore inconnue du fournisseur concerné ou qui ne dispose pas encore de correctif public. Un exploit est une méthode ou un programme qui tire parti de cette faille afin d’obtenir un effet non autorisé, par exemple exécuter une commande ou accéder à un niveau de privilège supérieur.

La précision « système durci » est essentielle. En cybersécurité, le durcissement consiste à réduire la surface d’attaque : désactiver les fonctions inutiles, isoler les processus, limiter les droits des utilisateurs et appliquer des mécanismes de protection supplémentaires. Trouver une faiblesse dans un environnement volontairement protégé est bien plus exigeant que d’exploiter un logiciel de démonstration mal configuré.

Les tests annoncés pour Astra

OpenAI rapporte plusieurs résultats obtenus dans des benchmarks et lors d’évaluations menées avec des experts. Ils couvrent des exercices différents : exploitation de vulnérabilités déjà connues, découverte de failles inconnues et enchaînement de plusieurs étapes d’attaque dans des environnements protégés.

Le score parfait sur ExploitBench indique qu’Astra a réussi toutes les tâches de ce benchmark, qui mesure sa capacité à transformer des vulnérabilités connues en exploits exploitables. Ce résultat est significatif, mais il faut distinguer deux aptitudes : exploiter une faille déjà documentée et découvrir une faille nouvelle. C’est précisément pourquoi OpenAI met également en avant les évaluations portant sur les zero-day.

Dans un benchmark interne distinct, couvrant 20 vulnérabilités de haute sévérité divulguées entre juin et août 2026, Astra aurait découvert et utilisé deux vulnérabilités zero-day dans une chaîne d’exploitation. L’intérêt d’une chaîne est qu’une seule faiblesse ne suffit pas toujours à compromettre un système. Des attaques complexes combinent souvent plusieurs failles, ou plusieurs actions, pour contourner les protections successives.

Les essais face à un navigateur durci illustrent cette logique. Selon OpenAI, Astra a trouvé des vulnérabilités jusqu’alors inconnues et les a converties en une chaîne fonctionnelle : le modèle est parvenu à compromettre le navigateur, à sortir de son bac à sable, ou sandbox, puis à exécuter des commandes sur la machine hôte. La sandbox est une barrière d’isolation conçue pour empêcher qu’un programme ou un contenu hostile n’atteigne le reste de l’ordinateur. La franchir représente donc une étape particulièrement sensible dans un scénario de compromission.

L’évaluation sur un système d’exploitation durci a produit un autre type de chaîne : plusieurs failles ont été combinées afin d’obtenir une élévation locale de privilèges, depuis un utilisateur non privilégié jusqu’au niveau root. Dans les systèmes de type Unix et Linux, root correspond au compte disposant des droits administratifs les plus étendus.

Ces résultats ne signifient pas que tout système est vulnérable à Astra, ni que le modèle pourrait reproduire indistinctement ces scénarios hors de leurs conditions d’évaluation. Ils expliquent, en revanche, pourquoi OpenAI considère que les mécanismes de contrôle doivent progresser à la même vitesse que les capacités techniques.

Des capacités avancées absentes de la configuration par défaut

Astra doit sortir « prochainement », sans date plus précise annoncée au 5 septembre 2026. OpenAI ne prévoit toutefois pas d’activer ses fonctions de cybersécurité les plus avancées dans la configuration de production par défaut au lancement.

L’entreprise entend d’abord les réserver à un petit groupe de testeurs alpha, dans le cadre de son programme Daybreak Blue, consacré à la cybersécurité défensive. L’accès doit ensuite s’élargir pour des travaux de défense. OpenAI présente cette progression comme une mesure de précaution face à des capacités pouvant servir autant à identifier et corriger des failles qu’à préparer des intrusions.

L’entreprise conditionne explicitement cette ouverture à « stronger evidence of aligned behavior, safeguards that keep pace with capability », soit des preuves plus solides d’un comportement aligné et des garde-fous capables de suivre le rythme des capacités. Dans le vocabulaire de la sûreté de l’IA, l’alignement désigne ici la capacité du système à respecter durablement les intentions et les règles fixées par ses concepteurs, y compris lorsque les demandes des utilisateurs cherchent à les contourner.

Pourquoi les jailbreaks restent un indicateur important

OpenAI et SecurityWeek mettent aussi en avant la résistance d’Astra aux demandes de contournement, souvent appelées jailbreaks. Il s’agit de formulations ou de stratégies destinées à pousser un assistant à ignorer ses restrictions de sécurité, par exemple en déguisant une demande risquée en exercice théorique ou en demandant une réponse par étapes apparemment anodines.

Astra refuse 91,5 % des tentatives de jailbreak liées à la cybersécurité évaluées, contre 59 % pour GPT-5.6 Sol, le modèle précédent cité par SecurityWeek. L’écart montre que les protections intégrées au nouveau modèle ont progressé dans ce test précis.

Ce chiffre ne doit cependant pas être lu comme une garantie absolue. Un taux de refus mesure une performance sur un ensemble donné de sollicitations et selon un protocole d’évaluation. La sécurité effective dépend aussi de l’accès accordé au modèle, des outils qui lui sont connectés, du suivi de ses usages et de la vitesse à laquelle les protections peuvent être mises à jour lorsqu’une nouvelle méthode de contournement apparaît.

Un mouvement plus large vers l’accès contrôlé

La position d’OpenAI s’inscrit dans une tendance plus large de l’industrie : lorsque des modèles atteignent des compétences élevées en cybersécurité, les éditeurs cherchent à éviter une diffusion indistincte de leurs capacités les plus sensibles.

Fortune et Axios rapportent qu’OpenAI limite les fonctions cyber les plus puissantes d’Astra en raison des risques de piratage. Des démarches comparables existent chez certains concurrents. Google réserve Gemini 3.8 Flash Cyber à des défenseurs de confiance via son programme Fairwind. Anthropic limite Claude Mythos 5.1 à des institutions vérifiées.

L’objectif de ces restrictions est de préserver les bénéfices défensifs. Un modèle peut aider une équipe de sécurité à analyser du code, à comprendre une vulnérabilité, à prioriser des correctifs ou à reproduire une attaque dans un cadre autorisé afin d’y remédier. Mais la même capacité à automatiser le raisonnement technique peut être détournée par des acteurs malveillants.

L’enjeu est donc moins de décider si l’IA doit ou non être employée en cybersécurité que d’établir qui peut s’en servir, avec quelles capacités, dans quels environnements et sous quelles vérifications. Le programme Daybreak Blue constitue la première réponse opérationnelle d’OpenAI à cette question pour Astra.

Ce qu’il faut surveiller avant l’ouverture d’Astra

Plusieurs éléments détermineront la portée réelle de l’annonce. D’abord, OpenAI devra préciser le calendrier et les critères de passage entre les testeurs alpha de Daybreak Blue et un accès plus large pour les acteurs de la défense. La notion de travail défensif devra également être traduite en règles concrètes d’éligibilité et d’utilisation.

Ensuite, la qualité des garde-fous devra être observée au-delà d’un seul taux de refus. Les résultats annoncés sur les jailbreaks sont encourageants, mais l’entreprise elle-même reconnaît la nécessité d’obtenir davantage de preuves sur le comportement aligné d’Astra. La question sera de savoir si les protections continuent de tenir lorsque le modèle est utilisé dans des scénarios complexes et prolongés.

Enfin, Astra place les évaluations de cybersécurité au cœur du débat sur les modèles de nouvelle génération. Un benchmark réussi ne résume pas à lui seul le risque, pas plus qu’un dispositif d’accès restreint ne le fait disparaître. Mais le classement « Critical » formalise un cap : pour OpenAI, les capacités d’un modèle peuvent désormais justifier que la sûreté, les limitations d’accès et les usages défensifs soient conçus avant, et non après, sa diffusion.