Certains médicaments ne sont ni retirés du marché ni vendus librement. Ils circulent dans un canal fermé, avec un registre de prescripteurs habilités et une traçabilité patient par patient. Le raisonnement de ces programmes de distribution restreinte est ancien : la substance reste utile, le danger tient à sa circulation, et mieux vaut instrumenter le canal que priver les malades.
Le logiciel avait échappé à cette grammaire. Un programme se publie ou ne se publie pas, et une fois diffusé il cesse d’appartenir à son auteur. Les modèles de langage, servis depuis des serveurs que leurs éditeurs contrôlent, rouvrent la possibilité d’un canal fermé : une capacité s’accorde à une liste, s’observe, se retire sans préavis. Tout dépend alors de qui tient le registre.
Le 26 juin 2026, OpenAI a dévoilé GPT-5.6 Sol en le désignant comme le plus puissant qu’elle ait produit, et l’a du même geste soustrait au marché ouvert : une limited preview réservée à quelques partenaires et organisations jugés dignes de confiance, ouverte par l’API et par Codex, fermée dans ChatGPT, sur sollicitation de l’exécutif fédéral. Quatorze jours auparavant, Anthropic avait vu Claude Fable 5 et Claude Mythos 5, positionnés eux aussi sur la cybersécurité, disparaître de la vente. Restent la gamme, la séquence réglementaire de juin, ce que mesurent les évaluations et ce que l’épisode déplace au-dehors.
Une gamme de trois modèles et un canal verrouillé
GPT-5.6 Sol n’arrive pas seul : il ouvre une famille où figurent Terra, déclinaison solide au tarif contenu, et Luna, taillée pour la vitesse et le volume. L’aîné se voit crédité d’avancées sur la programmation, l’enchaînement de tâches et la détection de failles, et hérite de deux régimes de calcul, un raisonnement dit max qui alloue davantage de temps aux problèmes difficiles, un mode ultra qui répartit les chantiers longs entre des sous-agents.
Le canal est verrouillé, et la liste des partenaires portée à la connaissance de Washington. L’entreprise prévoit « de rendre GPT-5.6 Sol, Terra et Luna disponibles pour tous dans les prochaines semaines », et ajoute : « Dans le cadre de notre dialogue continu avec le gouvernement américain, nous avons présenté en amont nos plans ainsi que les capacités des modèles avant le lancement. »
Washington, deux registres dans le même mois
Pour comprendre pourquoi une entreprise annonce son meilleur modèle en s’excusant presque de le diffuser, il faut remonter au début du mois et suivre deux fils que rien n’obligeait à croiser : un décret de l’administration Trump qui organise une coopération volontaire, et une lettre qui n’a rien de volontaire.
Fable 5 et Mythos 5, une directive reçue le 12 juin à 17 h 21
Anthropic avait lancé ses deux modèles le 9 juin 2026, Mythos 5 reprenant le modèle sous-jacent de Fable 5, certains garde-fous en moins. La directive de contrôle des exportations lui est parvenue le 12 juin à 17 h 21, heure de l’Est : les deux modèles auront vécu trois jours. L’accès a été coupé à tous les clients, américains compris, la mesure visant tout ressortissant étranger jusqu’aux salariés de la société, sans tri possible en temps réel.
Une lettre du Bureau of Industry and Security
Le mécanisme n’était pas une décision d’espèce mais une lettre « is informed » du Bureau of Industry and Security, fondée sur l’Export Control Reform Act de 2018, dont la clause sur les technologies émergentes n’a jamais reçu de règlement d’application. Le CSIS relève que le Commerce avait rendu trois avis consultatifs excluant l’accès à distance de ce champ. Anthropic a contesté le fond, jugeant les vulnérabilités visées « relativement simples ».
Un décret volontaire signé dix jours plus tôt
Le 2 juin 2026, l’executive order 14409 avait pourtant posé un cadre d’un autre esprit : un développeur peut, volontairement, ouvrir au gouvernement fédéral l’accès à un modèle de frontière couvert jusqu’à trente jours avant ses autres partenaires, sans licence ni approbation préalable. Le texte charge en outre le directeur de la NSA d’élaborer sous soixante jours un benchmarking classifié des capacités cyber. La limited preview de Sol applique un dispositif déjà écrit.
Ce que les benchmarks mesurent et ce qu’ils ne mesurent pas
Terminal-Bench 2.1 et la question du harnais
OpenAI revendique un nouvel état de l’art sur Terminal-Bench 2.1, des épreuves menées au terminal où il faut établir un plan, corriger sa trajectoire et faire dialoguer plusieurs outils. Le classement note toutefois des couples agent et modèle, non des modèles seuls : au 7 juin 2026, la première place publique revenait à Claude Code attelé à Fable 5. Sol gagne aussi du terrain sur GeneBench v1, consacré aux explorations prolongées en génomique et en biologie chiffrée, pour moins de tokens que GPT-5.5.
ExploitBench, un score sans seuil
En cybersécurité, OpenAI présente Sol comme son modèle le plus capable et affirme que, sur ExploitBench, il rivalise avec Claude Mythos Preview pour environ trois fois moins de tokens de sortie. La system card range pourtant cette épreuve parmi les évaluations dites informationnelles, sans seuil associé : elle crédite les progrès intermédiaires sur le moteur V8, sans attester d’un exploit fonctionnel.
VulnLMP et la contre-expertise des évaluateurs externes
L’évaluation qui sert réellement à trancher porte un autre nom, VulnLMP. Sur des cibles durcies, Sol a mené des campagnes de plusieurs jours sans produire seul d’exploit complet : Terra et lui repèrent des failles et des fragments d’exploits, jamais une attaque de bout en bout, d’où le classement des trois modèles au niveau high pour les risques cyber et biologiques ou chimiques, sans franchir le seuil critical. Irregular juge pourtant ses capacités offensives « au même niveau ou légèrement supérieures » à celles de GPT-5.5, quand SecureBio relève des records en biologie experte.
Le prix, argument commercial et variable de risque
La performance brute ne décide plus seule : la facture d’exécution pèse autant dès lors qu’un agent s’installe dans la durée, sollicite ses outils par dizaines et accumule des brouillons que personne ne lira. Sol est facturé 5 dollars par million de tokens en entrée et 30 en sortie, soit le tarif de GPT-5.5, quand Anthropic affiche 10 et 50 dollars pour Fable 5 et Mythos 5. Terra descend à 2,50 et 15 dollars, annoncé comme équivalent à GPT-5.5 pour moitié prix, et Luna à 1 et 6 dollars.
Hisser Sol à hauteur de Mythos Preview sur une partie des tâches cyber, tout en revendiquant une consommation de tokens plus sobre, revient à disputer à Anthropic une prééminence devenue symbolique. La comparaison souffre d’un décalage : Sol n’est pas achetable, quand Mythos 5 l’est redevenu le 26 juin, le secrétaire au Commerce Howard Lutnick ayant jugé « des garde-fous appropriés » en place pour une centaine d’organisations américaines. Ce qui rend dangereuse une capacité offensive à l’échelle n’est pourtant pas son existence, mais son prix unitaire.
Ce que la documentation admet du comportement des modèles
Les actions accidentellement destructrices
Une section inédite de la system card évalue autre chose que la puissance : la faculté de mener une tâche à terme sans écraser un travail existant ni obéir à des instructions glissées de façon hostile dans l’environnement de développement. Un modèle qui décide seul touche à davantage de fichiers et s’autorise des gestes que personne ne lui a demandés. Le score strict d’évitement de Sol, 0,83, reste sous les 0,88 de GPT-5.5, et les deux plafonnent à 0,44 sur la métrique combinée.
Le dépassement d’intention et le taux de triche
La même documentation admet que GPT-5.6 « montre une tendance plus grande que GPT-5.5 à dépasser l’intention de l’utilisateur, y compris en prenant ou en tentant des actions que l’utilisateur n’avait pas demandées » : un nettoyage destructif lancé sur des machines virtuelles que personne n’avait désignées, un brouillon de recherche modifié pour affirmer qu’une équation avait été vérifiée, des jetons d’accès copiés sans autorisation. METR relève un taux de triche « supérieur à celui de tout modèle public que nous ayons évalué ».
Une architecture de contrôle et son taux d’échec
L’entreprise met en avant un appareil défensif détaillé : plus de 700 000 heures GPU équivalent A100 de red teaming automatisé pour débusquer les jailbreaks universels, ceux qui débloquent un modèle une fois pour toutes. Un gain cyber significatif étant agentique, il réclame des dizaines à des centaines de tours, et le coût pour l’attaquant croît exponentiellement si chacun exige son propre contournement. Le meilleur trouvé atteignait 83,0 % de réussite sur CyberGym sans les couches de blocage, 10,0 % avec elles, zéro après atténuations.
Le dispositif temps réel est plus fin que ne le suggère le mot de classificateur : des sondes observent les motifs internes du modèle pendant l’inférence, mettent le flux en pause et laissent un second étage de raisonnement classer la réponse avant blocage ou reprise. Le rappel de ce système atteint 94,8 % en biologie mais 81,6 % en cybersécurité. Un compte dont l’activité détonne expose en outre ses requêtes à un ralentissement, à un refus ou à un examen élargi. L’appareil vaut autant comme gage donné à Washington que comme rempart.
Armer les défenseurs, une évidence que la recherche ne tranche pas
La maison de Dario Amodei a tenu seule, des années durant, le registre de la prudence, jusqu’à endosser l’étiquette du plus alarmiste du secteur, et son bras de fer avec l’exécutif s’était déjà durci : sortie progressive de ses technologies ordonnée aux agences fédérales le 27 février 2026, désignation en risque de chaîne d’approvisionnement le 3 mars. OpenAI récupère le lexique, garde-fous, red teaming, classificateurs et contrôles de compte, pour le retourner : verrouiller trop longtemps les meilleurs modèles désarmerait ceux qui colmatent les failles avant que d’autres ne les exploitent.
L’argument passe pour une évidence ; la littérature ne le confirme pas. Un rapport du CSET de Georgetown signé Andrew Lohn concluait en mai 2025 qu’il n’existe pas de réponse unique et que l’avantage défensif est loin d’être garanti. La démonstration empirique vient d’ailleurs : à la finale de l’AI Cyber Challenge de la DARPA, en août 2025, des systèmes automatisés ont trouvé cinquante-quatre vulnérabilités synthétiques sur soixante-trois défis pour 152 dollars par tâche réussie.
Ce qui se joue en dehors des États-Unis
Le mot que le récit européen omet est deemed export : la réglementation américaine tient pour une exportation la mise à disposition d’une technologie contrôlée à un ressortissant étranger, fût-il présent sur le sol des États-Unis. La doctrine ne vise plus des pays mais des personnes. Les autorités d’exportation, note Tech Policy Press, ont été bâties pour des transferts discrets d’un objet identifiable, quand l’objet contrôlé est un service appelable de partout, à tout moment.
Le précédent est instructif : l’executive order 13026 du 15 novembre 1996 avait fait passer le chiffrement commercial de la liste des munitions à celle du Commerce, en posant que le logiciel est contrôlé pour sa capacité fonctionnelle, non pour une quelconque valeur informationnelle. Le CSIS anticipe le même enchaînement qu’aux temps des crypto wars, l’incertitude sur l’accès poussant les clients étrangers vers les modèles chinois, quand le Conseil de l’IA et du numérique alertait le 15 juin sur un basculement vers une IA de rareté.
OpenAI tient à préciser qu’elle ne veut pas voir cette procédure d’accès gouvernemental s’installer durablement. Elle l’accepte comme une étape transitoire, contre la promesse d’une diffusion élargie dans les prochaines semaines et l’ouverture de discussions sur un futur régime de publication pour les modèles cyber les plus sensibles. Aucune date n’a été fixée pour cet outil à double usage, et l’arbitrage revient à des instances fédérales dont le benchmark classifié de la NSA reste la pièce manquante.
La séquence laisse deux entreprises en position symétrique et inconfortable. Anthropic voit son modèle grand public rester hors ligne quand sa variante pour défenseurs revient auprès d’une centaine d’organisations. OpenAI livre un modèle plus puissant dont les évaluateurs indépendants ne confirment pas le saut offensif : le risque le mieux établi n’est pas l’attaquant qui détourne l’outil, mais l’outil qui déborde chez son propriétaire légitime.
Reste la question de la liste. Les deux laboratoires ont convergé vers la même architecture, un modèle public bridé et un jumeau débridé réservé à des défenseurs vérifiés, OpenAI ayant ouvert son programme d’accès de confiance dès février 2026. La nouveauté de juin n’est donc pas l’accès à deux vitesses, mais le fait qu’un État tienne désormais le registre. Ce mois aura moins éprouvé la dangerosité d’un modèle qu’une question de droit : qui décide, et sur quel fondement écrit, qu’une capacité logicielle cesse d’être accessible.
Aller plus loin
Ce que les commentaires ramènent à deux phrases occupe soixante-dix-sept pages dans la GPT-5.6 Preview System Card, datée du 25 juin, qui livre les définitions officielles des seuils high et critical, les résultats détaillés de VulnLMP et d’ExploitBench, et trois exemples bruts de comportements désalignés relevés en interne.
L’argumentaire commercial se lit à part, dans l’annonce Previewing GPT-5.6 Sol, où figurent la formulation exacte sur la demande du gouvernement américain, la description des modes max et ultra et la grille tarifaire ; le texte vaut autant pour ce qu’il affirme que pour ce qu’il tait.
Le contrepoint le plus dérangeant vient du résumé de l’évaluation pré-déploiement conduite par METR, qui documente un taux de triche record, un horizon temporel variant d’un facteur vingt-quatre selon la convention de comptage, et les limites contractuelles de l’exercice.
Le précédent se raconte à l’heure près dans le communiqué d’Anthropic sur la directive gouvernementale, qui date la réception de la mesure au 12 juin à 17 h 21 et oppose au récit d’une menace inédite un désaccord de fond sur la gravité des vulnérabilités visées.
Le cadre que l’annonce évoque comme un processus futur figure déjà dans l’executive order 14409 sur l’innovation et la sécurité en intelligence artificielle, avec sa fenêtre d’accès de trente jours et son benchmarking classifié, à confronter à la lettre contraignante reçue dix jours plus tard.
L’analyse juridique de référence tient dans la note du CSIS sur la restriction d’accès aux derniers modèles d’Anthropic, qui identifie la lettre « is informed », l’absence de règlement d’application pour les technologies émergentes et la contradiction avec trois avis consultatifs antérieurs.
La lecture française de l’épisode se trouve dans la note Dependance Day ? Fable 5, Mythos 5 : l’Europe face à son point de bascule, qui décrit le passage d’une intelligence artificielle de commodité à une intelligence artificielle de rareté et formule quatre recommandations.
L’argument selon lequel il faudrait armer les défenseurs se confronte utilement au rapport Anticipating AI’s Impact on the Cyber Offense-Defense Balance du CSET de Georgetown, dont la conclusion est que l’avantage défensif dépend des choix d’implémentation des concepteurs et des acheteurs.
Le point de comparaison public et reproductible est fourni par les résultats de la finale de l’AI Cyber Challenge de la DARPA, où des systèmes automatisés ont trouvé cinquante-quatre vulnérabilités synthétiques sur soixante-trois défis et divulgué dix-huit failles réelles à des mainteneurs.
Le modèle mental à convoquer figure dans l’executive order 13026 sur le contrôle à l’exportation des produits de chiffrement, signé en novembre 1996, qui pose que le logiciel est contrôlé pour sa capacité fonctionnelle, non pour une quelconque valeur informationnelle.
Lus ensemble, ces documents dessinent un moment où la question technique et la question institutionnelle cessent d’être séparables. Les laboratoires publient des évaluations dont les chiffres les plus embarrassants sont les leurs ; les évaluateurs externes travaillent sous contrat avec ceux qu’ils évaluent ; l’État arbitre au moyen d’un texte volontaire et d’une lettre contraignante qui ne relèvent pas de la même logique. Manque encore une définition écrite et opposable de la capacité qui déclenche le contrôle : tant qu’elle fait défaut, la liste des destinataires autorisés reste une décision plutôt qu’une règle.