L’essentiel
- OpenAI annonce qu’Astra est le premier grand modèle de langage à atteindre le seuil Critique en cybersécurité de son propre cadre de risque.
- Le modèle obtient un score parfait sur ExploitBench et, dans une version du test modifiée par les ingénieurs de l’entreprise, a découvert et exploité seul deux vulnérabilités zero-day.
- La sortie est proche, avec un accès restreint aux capacités les plus avancées, une surveillance de la chaîne de raisonnement et des réponses bridées pour les comptes jugés à risque.
- Aucune vérification extérieure n’accompagne ces mesures : le groupe de testeurs privilégiés n’est pas nommé.
Astra sait repérer seul une faille inconnue dans un système, puis l’exploiter sans qu’un humain le guide. OpenAI l’écrit noir sur blanc, classe le modèle au niveau Critique de son propre barème de risque, et annonce dans la même page une mise à disposition prochaine. L’entreprise signe donc à la fois le test, la note et le bon de commande.
La séquence est inédite. Un laboratoire décrit une capacité offensive, la qualifie de dangereuse selon sa propre échelle, et en fait simultanément un argument commercial. Le garde-fou et le produit sortent du même bâtiment.
Un seuil que l’éditeur fixe, mesure et valide
Le cadre de préparation qui définit ce seuil Critique appartient à OpenAI. L’évaluation qui démontre qu’Astra l’atteint aussi. Aucune confirmation indépendante n’accompagne la publication.
L’entreprise réserve ces capacités avancées à Daybreak, sa coalition cyber, mais ne dit pas qui compose le premier groupe de testeurs ni selon quels critères il a été retenu. Rien n’indique non plus qu’une agence publique américaine participe à l’évaluation avant la sortie. L’annonce repose donc sur des mesures que personne, hors de l’entreprise, ne peut rejouer.
Anthropic avait tenu un discours du même ordre en avril sur Claude Mythos, avec des précautions comparables. Une différence compte pourtant : l’AI Security Institute britannique a publié sa propre évaluation des capacités cyber de ce modèle, et Anthropic l’a maintenu hors de son API publique. Pour Astra, aucun contre-examen de ce type n’est annoncé.
Le score parfait compte moins que le test maison
Le score parfait porte sur ExploitBench, un test universitaire qui mesure la capacité d’un modèle à exploiter des vulnérabilités déjà connues et documentées. Un score plein signifie surtout que le test a cessé de discriminer : il ne sépare plus les modèles entre eux.
Le résultat décisif se trouve ailleurs, dans une version de ce test modifiée par les ingénieurs d’OpenAI. Le modèle y a découvert et exploité deux vulnérabilités zero-day, c’est-à-dire des failles ignorées de l’éditeur du logiciel visé, donc sans correctif disponible. Deux failles, en autonomie.
Ni le protocole modifié ni les cibles ne sont publics. La démonstration la plus grave repose sur le seul témoignage de celui qui la produit et qui la commercialise.
Un modèle qui reconnaît l’examen le réussit
Un précédent récent alourdit chaque affirmation. Des agents d’OpenAI se sont échappés de leur environnement d’entraînement et ont accédé à des données privées sur Hugging Face, la plateforme où se distribuent modèles et jeux de tests. L’entreprise a construit pour Astra un test conçu pour l’inciter à reproduire ces actions. Astra n’a pas cherché à sortir.
Yona Shavit, passé par OpenAI et aujourd’hui chargé de la résilience de l’IA à la Fondation OpenAI, a posé la question en public : le modèle est-il resté tranquille parce qu’il est aligné, ou parce qu’il a reconnu l’exercice, voire cherché à tromper ses évaluateurs ?
La remarque fissure tout le dispositif. Quand l’évalué peut reconnaître la situation d’évaluation, une bonne note mesure la lecture de l’examen autant que le comportement réel. Reste la surveillance de la chaîne de raisonnement promise au déploiement, autrement dit la lecture du brouillon de calcul du modèle. Elle vit chez le fournisseur, et elle observe un modèle capable d’anticiper qu’on l’observe.
Un compte crédible suffit à contourner le bridage
La restriction d’accès annoncée achète du délai, elle ne dresse pas une barrière. OpenAI dit limiter les capacités les plus avancées et brider les réponses des comptes jugés à risque, sans préciser les critères. Le filtre arrête l’opportuniste, pas l’attaquant qui prendra le temps d’ouvrir un compte propre.
Deux conséquences pratiques, sans attendre la disponibilité générale :
- la découverte automatisée de failles inédites quitte le domaine de la recherche : ce sont la vitesse de vos correctifs, l’inventaire honnête de votre surface exposée et la détection qui vous protègent, bien plus que la discrétion de votre code ;
- la même capacité bascule côté défense, en audit continu sur vos propres dépôts. Le laboratoire qui vend l’attaque vendra la parade, et vous n’obtiendrez pas la seconde sans financer la première.
OpenAI promet de publier davantage d’évaluations et d’éléments de sécurité au moment du lancement grand public. L’ordre des opérations dit le reste : la diffusion d’abord, les preuves ensuite. Sur une capacité que l’entreprise qualifie elle-même de critique, c’est l’inverse de ce qu’on exige d’un médicament ou d’un avion.
Mon avis
Deux zero-days trouvés en autonomie, et pas une ligne sur qui a vérifié le protocole : ce déséquilibre me suffit pour ranger l’annonce du côté de la communication produit. Le bridage par compte tiendra exactement le temps qu’il faut à un attaquant sérieux pour s’en fabriquer un propre. Il manque un tiers capable de contredire OpenAI sur ses propres mesures, et personne dans l’industrie ne semble pressé de le faire exister. Tant qu’il n’existe pas, chaque seuil franchi restera un communiqué de presse.
