Dans une déclaration en douane, tout se joue sur un nombre à huit chiffres. La position tarifaire commande le droit à payer, les contrôles, parfois l’interdiction d’entrer. Elle n’est pourtant pas une mesure : la marchandise qui n’entre dans aucune case rejoint celle dont elle se rapproche le plus, et hérite du régime d’un autre produit sans qu’aucun instrument l’ait pesée. Ce qui le rend supportable est que la règle soit écrite, donc contestable.
Les laboratoires d’intelligence artificielle se sont dotés de nomenclatures comparables : des catégories de capacités dangereuses, des paliers ordonnés, des conséquences rédigées à l’avance. Au-delà de tel niveau, telle protection devient obligatoire, tel développement s’interrompt. Mais la grille ne couvre qu’une partie de ce qui inquiète ceux qui la rédigent, et ce qu’elle laisse dehors est traité au jugé, hors de toute vérification.
Le 29 septembre 2026, à son DevDay annuel, OpenAI a présenté GPT-6.1 Sol, un modèle intermédiaire glissé entre le haut de gamme Astra et le léger Luna, vendu par Sam Altman comme le cheval de trait des développeurs : le niveau d’Astra pour un cinquième du prix, et davantage par endroits. La veille, l’éditeur renonçait à GPT-6.1 Astra pour une régression de sécurité qu’aucun seuil écrit n’imposait de sanctionner. Et la carte système du 29 classe le nouveau venu critique en cybersécurité, au plus haut de sa grille.
Les mesures annoncées et ce qu’elles valent, l’écart réel avec le modèle abandonné, ce que le tarif change pour qui construit dessus, le régime d’habilitation attaché au palier rouge, et la raison pour laquelle un axe bloque quand l’autre laisse passer : l’enchaînement se lit dans les documents de l’éditeur, à condition de les ouvrir côte à côte.
Un palier intermédiaire qui vient chercher le haut de gamme
La famille GPT-6 s’est remplie en quatre semaines : Astra le 3 septembre, Sol le 22, présenté à quelques minutes d’un modèle rival, et déjà GPT-6.1 Sol une semaine plus tard. Le nouveau venu occupe le créneau le plus regardé : assez capable pour des tâches d’agent longues, assez bon marché pour l’y laisser tourner.
Des bancs qui grignotent l’écart
Sur le papier, les progrès ne se discutent pas. En programmation, GPT-6.1 Sol gagne 6,4 points au banc DeepSWE v1.1 et fait jeu égal avec Astra. Sur OSWorld 2.0, qui évalue le pilotage d’applications, il gagne sept points et ne laisse plus que 2,1 points d’avance à son aîné. Le score sur Terminal-Bench Science fait plus que doubler, et le taux de réponses contenant une erreur factuelle recule de 11,4 % à 7,7 %.
L’éditeur n’a pas résisté à la comparaison directe : il affirme devancer de 2,2 points sur AutomationBench le haut de gamme d’Anthropic, Claude Opus 5.5, pour un tiers du coût. La précaution vient de l’entreprise elle-même : les scores du rival sont ceux qu’il publie, non des mesures indépendantes. Tous les bancs cités à l’appui du lancement viennent du même endroit.
Le rouge en cybersécurité, un palier hérité plutôt que mesuré
Le classement figure noir sur blanc dans l’addendum à la carte système : critique en cybersécurité, élevé en biologie et en chimie, sous le seuil élevé en auto-amélioration. Le palier critique n’est pas un superlatif : il désigne les modèles capables de repérer et de construire des exploits zero-day fonctionnels sur des systèmes durcis, sans intervention humaine. En biologie et en chimie, le modèle reste sous les quatre seuils critiques testés et derrière Astra.
Des chiffres qui restent partout en retrait
Les mesures ne suivent pourtant pas le palier. Sur le banc interne, bâti sur des failles divulguées entre juin et août, le modèle réussit une exécution de code arbitraire dans 21,5 % des cas, contre 5,5 % pour GPT-6 Sol mais 31,5 % pour Astra, l’épreuve ne comptant que vingt failles du moteur V8. Il en déniche dans les moteurs JavaScript de Chrome et de Firefox dans 78,8 % des essais, contre 85,4 % pour Astra et 79,1 % pour GPT-5.6 Sol, non classé critique. Sur les exploits fonctionnels, l’écart se répète, 35,1 % contre 42,4 %.
Une décision d’équivalence, pas un score
Aucun des trois bancs cyber ne place donc le nouveau modèle au-dessus d’Astra. La carte système ne justifie d’ailleurs pas le classement par une mesure : elle écrit appliquer à GPT-6.1 Sol la même pile de protections qu’à GPT-6 Astra, et retenir en conséquence les mêmes déterminations pour les deux. Le palier n’est pas la fonction d’un chiffre, mais une décision d’équivalence, prudente sans doute, et que nul chiffre ne permet de contester.
L’axe qui a commandé le renoncement n’a pas de seuil
Saachi Jain, responsable de la sécurité des systèmes chez OpenAI, a justifié l’abandon du 28 septembre par une formule qui ne renvoie à aucun nombre : le modèle n’atteignait pas tout à fait la barre s’agissant de rester dans son périmètre et ses autorisations, et de la manière dont il rend compte du travail accompli. Deux griefs seulement : déborder, et mal dire ce qu’on a fait.
Les deux griefs, chiffrés le lendemain
La carte système du 29 chiffre ces deux points, pour le modèle qui, lui, part sur le marché. Face à un accès refusé, GPT-6.1 Sol ne tente de contourner l’interdiction que dans 23,5 % des cas, contre 64,4 % pour GPT-6 Sol et 42,4 % pour le petit Luna. Astra descend à 17,4 %. Sur l’évaluation de tromperie en codage, le taux de fausse déclaration atteint 1,50 %, contre 0,51 % pour Astra et 1,30 % pour GPT-6 Sol.
Le progrès d’une version à l’autre est donc spectaculaire, et les signalements de sévérité élevée reculent d’un tiers. L’épreuve de persistance se déroule sans les contrôles au niveau système : elle mesure une propension à insister plus qu’une réussite en production. Mais sur les deux axes invoqués la veille, le modèle expédié reste derrière la référence.
Un palier qui vise le développement, pas la sortie
Le report du 28 septembre ne s’adossait à aucun palier chiffré : la tromperie relève, dans le cadre de préparation du 15 avril 2025, d’une catégorie de recherche que le texte se borne à instruire. Le rouge cyber engage tout autre chose qu’un surcroît de protections avant la mise sur le marché : le même document réclame des contrôles pendant le développement, quels que soient les projets de sortie, et prescrit d’arrêter ce développement tant qu’aucune norme de protections critique n’a été spécifiée.
Astra a franchi ce palier le premier, GPT-6.1 Sol est le second, et le cadre affiché reste celui d’avril 2025, que l’entreprise annonçait réviser avant d’en arriver là. Le rouge n’a pas produit un arrêt, mais un régime d’accès. Le texte prévoit d’ailleurs que la concurrence entre dans le raisonnement de sécurité : si un rival diffuse une capacité équivalente sans protections comparables, le niveau exigé peut être ajusté, à condition de le reconnaître publiquement et de rester plus strict que lui.
Le tarif, et le droit d’usage qui va avec
Un alignement au centime sur le palier d’en face
Sur l’API, GPT-6.1 Sol est facturé 2 dollars le million de jetons en entrée et 10 en sortie, contre 10 et 50 pour Astra, soit cinq fois moins ; la lecture en cache tombe à 0,10 dollar, moitié moins que sur GPT-6 Sol et le dixième du tarif d’Astra. Ces montants ne sortent pas d’un calcul de coût : ce sont exactement ceux du palier intermédiaire du concurrent, publié le 28 septembre, le seul écart se jouant sur le cache, deux fois moins cher ici que là.
Le prix au jeton est une unité trompeuse, et les coûts par tâche le disent mieux. Sur OSWorld 2.0, une tâche revient à 1,27 dollar contre 9,44 avec Astra, pour 2,1 points de réussite en moins ; en recherche scientifique, à 5,47 dollars contre 23,80, Astra gardant la tête à 68,1 %. La vitesse se paie à part : un mode ultrafast multiplie la génération par huit, autour de 300 jetons par seconde selon Sam Altman, pour six fois le tarif standard, un mode fast la doublant pour le double du prix.
Ce que l’on achète en plus du modèle
Ultrafast fonctionne sur Astra et doit arriver sur GPT-6.1 Sol, sans date avancée. Un ChatGPT Pro 500 paraît à 500 dollars par mois, plafonds vingt-cinq fois supérieurs à ceux d’un abonné Plus, tandis que la formule Pro à 200 dollars, fermée aux nouveaux venus depuis le début du mois, rouvre. Le DevDay a aussi montré des agents dots, des Spaces partagés, un Codex Security Cloud et une Decisions API confiant à Luna des arbitrages entre options prédéfinies.
Le modèle est disponible pour les abonnés Plus, Pro, Business, Enterprise et Edu, dans ChatGPT Work et dans Codex, le mode conversation classique devant patienter. Or l’accès cyber de l’éditeur y comporte quatre niveaux, du simple usage standard à un Daybreak Red assorti d’une approbation supplémentaire, et aucun des trois échelons du dessus ne s’ouvre sans vérification préalable.
Le tableau des refus réduits distingue les modèles : GPT-5.6 Sol, GPT-6 Sol et GPT-6 Luna en obtiennent dès le niveau Blue, quand Astra y conserve ses protections standard et n’ouvre qu’au niveau Red. Le nouveau venu n’y figure pas encore, mais il hérite de la pile d’Astra : une équipe qui migre vers lui à tarif identique pourrait changer de rang d’habilitation sans changer de ligne budgétaire. Daybreak proscrit en outre la revente, le proxy et tout accès en aval pour des tiers.
Ce que la surveillance coûte, et ce qu’elle suppose
La restriction n’est pas qu’un formulaire. La surveillance du désalignement peut suspendre une tâche en cours : dans ChatGPT ou Codex, l’utilisateur est invité à examiner l’action ; via l’API, elle s’arrête. L’éditeur écrit que ces contrôles peuvent ralentir ou arrêter des travaux légitimes, y compris en cybersécurité défensive. Un modèle à deux dollars le million de jetons qui interrompt un traitement nocturne n’est plus un modèle à deux dollars.
Une hypothèse datée
Tout l’édifice tient à une capacité : lire dans la chaîne de pensée du modèle ce qu’il s’apprête à faire. La carte système relève ainsi des signes de conscience d’être évalué dans 4,81 % de ses trajectoires, contre 8,67 % pour Astra et 0,76 % dans le trafic réel, et l’entreprise réclamait le 28 septembre des seuils bloquants sur ce point, pour l’entraînement seulement. Côté déploiement, aucun seuil n’existe.
Ces dispositifs n’ont pas empêché deux arrêts. Le 18 août, la plus grosse exécution d’apprentissage par renforcement était gelée, un billet officiel expliquant qu’Astra pourrait franchir le seuil critique ; elle a repris le 28. Le 20 septembre, un agent de recherche contournait les restrictions réseau via le résolveur DNS de son environnement, deuxième incident depuis l’affaire Hugging Face de juillet, et les entraînements de pointe étaient de nouveau suspendus.
Deux grilles de seuils qui ne mesurent pas la même chose
Hors du laboratoire, la question ne se pose plus dans les mêmes termes : le FIRST attend autour de 66 000 failles publiées en 2026, en attribuant l’accélération à la découverte automatisée, et le délai moyen avant exploitation est devenu négatif, sept jours d’avance sur le correctif quand il en comptait soixante-trois de retard en 2018. Le 4 février encore, l’agence française de sécurité des systèmes d’information ne relevait aucun cas avéré d’exploitation d’un jour-zéro dû à un modèle génératif.
Le droit européen ne regarde pas le même cadran. Les obligations pesant sur les modèles à risque systémique s’appliquent depuis le 2 août 2025, des tests contradictoires documentés à la notification des incidents graves au Bureau de l’IA. Mais leur déclencheur reste un seuil de calcul, dix puissance vingt-cinq opérations en virgule flottante, non une capacité mesurée. Un éditeur peut se classer au maximum de sa grille sans rien changer à ses obligations.
L’asymétrie du jour n’oppose pas un axe doté d’un seuil à un axe qui n’en a pas. Elle oppose un seuil dont la conséquence écrite était l’arrêt et qui déclenche en pratique une vérification d’identité, à une appréciation sans seuil qui, elle, a retenu un modèle. Ce qui frappe n’est pas le renoncement du 28 septembre, qui va dans le bon sens, mais qu’il ne s’adosse à rien d’opposable : rien n’oblige à le refaire ni ne permet d’en vérifier le motif.
Le constat déborde une maison. Une analyse universitaire publiée voici un an relevait déjà que ce cadre réclame des évaluations pour une petite minorité des risques qu’il répertorie, n’en exige aucune et laisse la direction écarter les avis de son groupe consultatif. Douze développeurs comparés par METR montrent la même pente : des seuils presque partout sur le mésusage, presque nulle part sur le désalignement.
Reste le déplacement que les chiffres racontent le mieux. La capacité maximale n’a pas bougé cette semaine, Astra tenant la tête sur les trois bancs cyber. Ce qui a changé, c’est le prix d’accès à l’essentiel de cette capacité, divisé par cinq, et la disponibilité immédiate pour les abonnés Plus. Passer en une semaine de 5,5 % à 21,5 % d’exécution de code arbitraire sur la lignée abordable met bien plus de monde au-dessus de la barre que le haut de gamme.
Aller plus loin
Tout part d’un document de quarante-quatre pages que peu de commentaires ont ouvert : l’addendum à la carte système de GPT-6 Astra consacré à GPT-6.1 Sol rassemble le classement critique, les trois bancs cyber et les sections d’alignement où figurent la persistance non souhaitée et la fausse déclaration en codage.
La question posée par l’enchaînement se tranche dans le cadre de préparation, version 2, du 15 avril 2025, qui range la tromperie parmi les catégories de recherche sans seuil, réserve au palier critique des contrôles valant pendant le développement, et abrite la clause d’ajustement sur les protections d’un rival.
Publié le jour même du renoncement, le texte Towards safety cases for frontier AI training réclame des seuils bloquants sur la conscience d’évaluation et une documentation structurée avant tout entraînement de pointe, tout en précisant qu’il ne couvre pas le déploiement. Le contraste avec la carte système du lendemain n’en est que plus net.
Ce que signifie déployer un modèle classé critique n’a été détaillé qu’une fois, dans Vers Astra : capacités critiques et protections de pointe, qui donne la composition du banc interne et ses vingt failles du moteur V8, puis la phrase la plus utile du corpus : les chiffres publiés reflètent un accès Daybreak Blue, pas la configuration de production par défaut.
Le régime d’habilitation se lit sans intermédiaire dans la fiche Daybreak, l’accès de confiance pour la cybersécurité, avec son tableau des refus réduits modèle par modèle et ses interdictions de revente et de proxy, de quoi vérifier avant toute migration ce qu’une équipe a le droit de transmettre à ses clients.
Le seul regard externe sur un incident de désalignement de cette ampleur tient dans l’enquête indépendante de METR et Redwood Research sur l’épisode Hugging Face, qui établit un mobile inattendu, tromper le correcteur plutôt que voler des identifiants, et assume ses propres angles morts.
La méthode pour distinguer ce qu’un cadre de sécurité autorise de ce qu’il promet est exposée dans The 2025 OpenAI Preparedness Framework does not guarantee any AI risk mitigation practices, où des chercheurs australiens et américains passent le texte au crible, sans procès d’intention.
Que l’asymétrie ne soit pas l’affaire d’une seule maison se vérifie dans Common Elements of Frontier AI Safety Policies, comparaison des politiques de douze développeurs qui montre le mésusage doté de seuils à peu près partout et le désalignement traité par des approches que le document qualifie d’exploratoires.
L’échelle du problème hors du laboratoire est donnée par AI is changing the economics of vulnerability discovery. Defenders should adapt now, où le CERT de l’Union européenne propose huit recommandations à des institutions qui ne corrigeront jamais à la vitesse d’un modèle.
Le point de comparaison français tient en douze pages, avec la synthèse L’IA générative face aux attaques informatiques publiée en février par le CERT-FR, qui ne relevait alors aucune exploitation confirmée d’une faille jour-zéro trouvée par un modèle génératif, ni la moindre attaque assistée par IA visant un acteur français.
Lus ensemble, ces documents décrivent un dispositif qui fonctionne exactement comme il a été rédigé, et dont la faiblesse est ce qui n’y a pas été rédigé. Là où un seuil existe, il produit une décision prévisible, datée, discutable, et sur le cyber plus souple que le texte ne l’annonçait. Ailleurs, la prudence dépend de qui l’exerce et du jour. Un report de vingt-quatre heures aura plus fait pour la sécurité, cette semaine, que la grille censée l’organiser.