Pendant des décennies, les outils d’intrusion informatique ont relevé du droit des États. Washington rangeait la cryptographie forte parmi les munitions soumises à licence, et l’arrangement de Wassenaar ajoutait en décembre 2013 les logiciels d’intrusion à ses listes de biens à double usage. Le principe ne variait pas: une capacité offensive circule sous autorisation, et l’autorisation émane d’une administration.
Le 3 septembre 2026, OpenAI a publié la fiche système de GPT-6 Astra. Pour la première fois dans ses déploiements, un modèle atteint le palier critique en cybersécurité du Preparedness Framework: en laboratoire, privé des garde-fous de production, il identifie seul des vulnérabilités zero-day et assemble des chaînes d’exploitation contre navigateurs et systèmes d’exploitation. Qui peut employer cette capacité se décide dans un formulaire d’éligibilité, chez un acteur privé.
Le coup de frein d’août sur l’entraînement d’Astra laissait la suite en suspens: le seuil ne pouvait plus être écarté, restait à savoir ce qui suivrait son franchissement. Le calendrier de ce seuil, ce que mesurent vraiment les scores annoncés, la contrepartie architecturale consentie pour les obtenir et le goulot qu’ils viennent engorger méritent d’être repris un à un.
Un seuil défini seize mois avant d’être atteint
Le texte qui définit ce palier n’a rien d’improvisé. La version 2 du Preparedness Framework, du 15 avril 2025, décrit le niveau critique comme la capacité d’« identifier et développer des exploits zero-day fonctionnels de tous niveaux de sévérité dans de nombreux systèmes critiques réels durcis, sans intervention humaine ». Il se distingue du niveau élevé en amont: les garde-fous s’imposent dès le développement, hors de tout plan de déploiement.
La chronologie et la seule case qui change de couleur
Quatre dates résument l’affaire: le 15 avril 2025 pour la définition, le 10 août 2026 pour l’annonce qu’on ne pouvait plus écarter des capacités cyber critiques chez Astra, le 3 septembre pour la confirmation, le 4 septembre pour la mise sur le marché. Le classement élevé du modèle en risque biologique et chimique, relayé comme une information, n’en est pas une: GPT-5.6 Sol y figurait déjà. Seule la cybersécurité change de couleur.
Ce que mesurent réellement les scores cyber
Astra obtient 100 % sur ExploitBench, contre 78,5 % pour Sol. Publié en mai 2026 par deux chercheurs de Carnegie Mellon, ce banc d’essai porte sur 41 bugs N-day, donc déjà corrigés, du moteur V8 de Chromium: y exceller signifie remonter une faille documentée jusqu’à l’exécution de code, sans rien attester d’une découverte. La vraie mesure tient en deux unités: les deux vulnérabilités inédites trouvées pendant l’évaluation.
SRE-Bench, saturé trois semaines après sa publication
L’acronyme prête à confusion: SRE-Bench désigne un Software Reverse Engineering Benchmark, de la rétro-ingénierie de binaires, avec 1 572 tâches sur 262 instances et cinq mille heures d’expertise. Publié le 11 août 2026, il donnait 61,4 % au meilleur des cinq modèles alors testés; les 88 % revendiqués par Astra dès la première tentative arrivent trois semaines plus tard.
La puissance agentique et l’échelle de ses chiffres
La promesse dépasse l’amélioration incrémentale: absorber des tranches entières du métier d’ingénieur et du travail de bureau, clavier et souris tenus à la place de l’opérateur, navigateur mené de site en site, outils métier enchevêtrés conduits à leur terme. Sur OSWorld 2.0, Astra revendique 72,6 % de réussite sur le sous-ensemble hors ligne du banc d’essai, en 47 % de temps de moins que Sol, là où le meilleur agent en résolvait 20,6 % sur l’ensemble complet fin juin 2026.
Sur ARC-AGI-3, le modèle affiche 99,9 %. « Sur ARC-AGI-3, Astra a dépassé notre niveau de référence d’efficacité d’action humaine sur 96 % des niveaux, atteignant pratiquement la parité humaine sur le benchmark », relève Greg Kamradt, de l’Arc Prize Foundation. L’épreuve mesure l’acquisition de compétences dans des environnements tous résolubles par des humains: y exceller signifie gagner aussi vite qu’une personne.
L’ingénierie suit le même mouvement. Sur BenchCAD, en conception assistée par ordinateur, Astra devance ses concurrents avec 95,9 % de chevauchement géométrique, pour un coût d’interface applicative inférieur de 43 % à Sol, et le routage d’une carte électronique sous KiCad comme la modélisation 3D sous Blender passent en pilotage automatique. Il tient de même la charte graphique d’une entreprise sur présentations, feuilles de calcul et rapports structurés, sans y verser de données hors sujet. « Il exécute nos workflows créatifs les plus complexes en consommant jusqu’à 20 % de tokens en moins que les autres modèles testés », témoigne Alex Mashrabov, directeur général et cofondateur de Higgsfield AI.
La contrepartie architecturale de la puissance
La fiche système signale une baisse de surveillabilité de la chaîne de pensée: le modèle raisonne plus loin sans le verbaliser. La cause est nommée, la recurrent depth, une récurrence qui repasse la même requête en boucle dans les mêmes couches du réseau, sans texte intermédiaire. Une métrique chiffre le basculement: la contrôlabilité de la chaîne de pensée, l’aptitude à piloter ce que la trace donne à lire, passe de 16,1 % pour Sol à 60,9 % pour Astra, qui sait échapper aux moniteurs à la demande.
Une recommandation sectorielle prise à rebours
La fiche formule elle-même l’échéance: « si nous continuons à observer des dégradations de monitorabilité comparables dans les générations suivantes, il semble probable que nous aurions bientôt une confiance nettement réduite dans notre capacité à détecter de nombreuses formes de comportement désaligné ». Sept mois plus tôt, le Frontier Model Forum recommandait l’inverse aux laboratoires.
Les objections nommées et le contrepoids de l’alignement
Buck Shlegeris, à la tête de Redwood Research, se dit « extrêmement préoccupé » par ce recours à la récurrence opaque, et Ryan Greenblatt craint que le raisonnement opaque disparaisse des canaux visibles. Zvi Mowshowitz estime que la technique « joue avec le feu » et redoute une course vers le bas appelant le législateur. Jakub Pachocki répond qu’OpenAI travaille à préserver le monitoring depuis ses premiers modèles.
Le tableau n’est pas univoque pour autant. Astra réduit par quatre les taux de fausses déclarations sur son propre travail, et sur cinquante-quatre mille tâches d’ingénierie internes simulées, il a produit 53 % de signalements en moins pour des comportements non alignés de sévérité élevée. Les garde-fous suivent, de la surveillance des trajectoires de raisonnement au cloisonnement des environnements internes.
Le régime de restriction, une politique d’exportation privée
Devant un compte ordinaire, Astra refuse dès qu’il s’agit d’écrire une preuve de concept d’exploitation: cette part défensive de ses capacités n’est ouverte qu’aux acteurs vérifiés du programme Trusted Access for Cyber. L’accès est en outre désactivé par défaut, un administrateur devant l’activer pour son espace de travail. Le dispositif avait été scindé le 10 août entre Daybreak Blue, pour la défense au sens large, et Daybreak Red, pour les tests d’intrusion autorisés.
Les exclus du 19 août
Un régime d’éligibilité produit des inéligibles, et l’on sait à quoi ils ressemblent. Le 19 août 2026, au moins cinq chercheurs en sécurité ont vu leur accès au programme révoqué; tous résidaient hors des États-Unis et d’Europe, et OpenAI a évoqué une erreur technique avant de leur demander de se réidentifier. Trois laboratoires appliquent cette architecture, chacun selon ses critères.
La doctrine inverse d’Anthropic
Le précédent a cinq mois et mène à la décision opposée. Le 7 avril 2026, Anthropic tirait de son évaluation de Claude Mythos Preview, capable de moissonner des zero-days par milliers, une conclusion sans ambiguïté: « nous ne prévoyons pas de rendre Mythos Preview généralement disponible ». Le modèle est resté cantonné à une cinquantaine de partenaires d’industrie critique, plus de 99 % de ses trouvailles attendant un correctif. Deux doctrines de confinement s’affrontent sans arbitre.
Le goulot d’étranglement s’est déplacé vers l’aval
Un modèle qui trouve mille failles dans un écosystème incapable d’en corriger cent produit un stock d’armes, pas de la sécurité. Plus de 48 000 CVE ont été publiées en 2025, en hausse de 21 %, et neuf bases auditées sur dix embarquent des composants périmés depuis quatre ans. La fenêtre du défenseur s’est refermée: 771 jours de médiane entre divulgation et exploitation en 2018, quelques heures en 2024, et 67 % des CVE exploitées en 2026 le sont avant divulgation.
Un écosystème de mainteneurs au bord de la rupture
L’aval repose sur des bénévoles: 60 % des mainteneurs open source ne sont pas payés, 61 % d’entre eux travaillent seuls, 44 % invoquent l’épuisement, et le nombre de projets activement maintenus a reculé de 18 % en un an. Le canal de signalement s’était bouché avant le seuil critique: curl a fermé son programme de primes fin janvier 2026, noyé sous les rapports générés par IA. « Nous devons agir pour assurer notre survie et préserver notre santé mentale », écrivait Daniel Stenberg. Les primes supprimées, la bouillie cessait d’être un problème: le carburant était la récompense.
Le milliard défensif et ce qu’il laisse aux entreprises
Le 3 septembre, avec la fiche système, OpenAI annonçait Daybreak for Frontline Defenders: un milliard de dollars d’accès subventionné, sur six mois, pour les opérateurs d’eau et d’électricité, les collectivités locales, les banques mutualistes et les mainteneurs open source. « Nous nous dirigeons peut-être vers un monde où les pannes d’infrastructure critique seront simplement une donnée de la vie courante », justifie Greg Brockman. Tatyana Bolton, de Monument Advocacy, juge l’initiative excellente, sans que des crédits règlent les systèmes hérités ni le manque d’effectifs, et la chiffre à vingt à quatre-vingt-cinq fois les dotations fédérales comparables. Le taux de remise et le tarif au-delà des six mois manquent.
Ce que le déploiement impose aux directions informatiques
Astra est proposé aux abonnés ChatGPT Plus, Pro, Business et Enterprise, ouvert par l’interface de programmation d’OpenAI à dix dollars le million de tokens en entrée et cinquante en sortie, catalogué chez Microsoft Azure comme chez AWS Bedrock. Sanchit Vir Gogia, de Greyhound Research, pointe l’absence de télémétrie côté client pour vérifier la monitorabilité annoncée; Amit Kumar Jena, de Kanerika, relève la perte de granularité des journaux d’audit quand des agents agissent.
Une coïncidence de calendrier a rappelé la fragilité de l’édifice. Le 3 septembre, ChatGPT et Codex ont connu une erreur de routage vers 7 h 43 heure du Pacifique, rétablie vers 8 h 17; Claude a subi une panne partielle de trois heures et six minutes; Grok était affecté depuis 6 h 30, SpaceX invoquant son centre de calcul de Memphis. Trois pannes en quatre-vingts minutes, sans cause commune reconnue, la veille du jour où l’on demande aux décideurs de fonder leur gouvernance sur l’observabilité d’un modèle distant.
Bruxelles, un compte à rebours à sept jours
Les pouvoirs d’exécution de la Commission européenne sur les modèles à usage général courent depuis le 2 août 2026, et l’article 55 du règlement sur l’intelligence artificielle impose déjà tests adverses et signalement des incidents graves sans délai indu. Le 11 septembre, le règlement sur la cyberrésilience rendra obligatoire la déclaration des vulnérabilités activement exploitées, sous vingt-quatre heures, auprès du CSIRT national et de l’ENISA. Un modèle qui trouve seul deux failles inédites arrive donc sept jours avant ce compte à rebours.
Le seuil franchi n’est ni une surprise ni un accident: défini seize mois plus tôt, annoncé impossible à écarter trois semaines avant d’être confirmé, publié la veille du produit. Ce qui manque n’est pas le système d’alerte, mais l’étage suivant: hors du laboratoire concerné, personne n’a les moyens de vérifier ce qu’avance la fiche système, ni l’autorité pour en discuter les conclusions.
La contrepartie architecturale mérite plus d’attention que le seuil lui-même. Un modèle qui raisonne dans ses couches plutôt que dans son texte est plus capable et moins lisible, et le compromis a été consenti sept mois après qu’un consortium d’industriels a recommandé l’inverse. La lisibilité du raisonnement passait pour une occasion fragile; elle devient une variable d’ajustement.
Le régime d’acteurs vérifiés transforme par ailleurs une entreprise en autorité d’exportation, décidant qui, sur la planète, emploie une capacité offensive de premier rang. Reste le maillon faible, ni modèle ni formulaire: la découverte s’automatise, la correction dépend de bénévoles épuisés, et un milliard de crédits ne recrute personne. Tant que la remédiation reste humaine, chaque gain offensif s’inscrit au passif.
Aller plus loin
Tout part d’un document qu’il vaut mieux lire en entier, et la fiche système de GPT-6 Astra contient bien davantage que le franchissement du seuil: les deux zero-days découverts en évaluation, les chiffres de contrôlabilité de la chaîne de pensée et l’avertissement qu’OpenAI s’adresse à lui-même sur la génération suivante.
Ce que mesure vraiment ce score de 100 % se trouve dans ExploitBench: A Capability Ladder Benchmark for LLM Cybersecurity Agents, où Seunghyun Lee et David Brumley décrivent leurs 41 bugs N-day de V8 déjà corrigés face à une build durcie, et consignent l’état de l’art de mai 2026, quand l’exécution de code arbitraire échappait aux modèles publics.
La vitesse à laquelle un banc d’essai se sature apparaît dans The Next Challenge for Agentic Cybersecurity: A Realistic, Contamination-Free Reverse Engineering Benchmark, qui détaille les 1 572 tâches, les 262 binaires et les cinq mille heures d’expertise de SRE-Bench, et publie trois semaines avant Astra un point de comparaison à 61,4 %.
L’échelle réelle des scores agentiques se prend dans l’article de présentation d’OSWorld 2.0, qui chiffre ses 108 flux de travail: 1,6 heure de médiane pour un humain, 318 appels d’outils en moyenne pour un agent, 20,6 % de tâches bouclées par le meilleur d’entre eux, et une conclusion sur la distance restant à parcourir.
L’explication de la récurrence opaque se lit dans OpenAI’s new reasoning technique alarms AI safety experts, qui rassemble les prises de position nominatives de Buck Shlegeris, Ryan Greenblatt et Zvi Mowshowitz, avec la réponse de Jakub Pachocki sur l’antériorité des efforts de monitoring.
La recommandation prise à rebours figure dans le briefing du Frontier Model Forum sur la monitorabilité de la chaîne de pensée, publié en janvier 2026, qui demandait de privilégier les architectures exigeant une chaîne de pensée et de traiter cette lisibilité comme une caractéristique de sûreté.
Le mécanisme se mesure dans Quantifying the Necessity of Chain of Thought through Opaque Serial Depth, où Jonah Brown-Cohen, David Lindner et Rohin Shah définissent la longueur du plus long calcul menable sans étape interprétable, en comparent les familles d’architectures et établissent qu’au-delà d’un certain seuil une cognition sérielle doit repasser par la chaîne de pensée.
La doctrine opposée s’expose dans Assessing Claude Mythos Preview’s cybersecurity capabilities, où Anthropic documente ses 181 exploits Firefox contre 2 et son bug OpenBSD vieux de vingt-sept ans, avant d’annoncer dans le même mouvement qu’il ne prévoit pas de rendre le modèle généralement disponible.
La seule contre-expertise publique disponible reste l’évaluation des capacités cyber de Claude Mythos Preview par l’AI Security Institute, remarquable autant par ses résultats que par ses réserves: pas de défenseur actif, aucune pénalité pour les actions déclenchant des alertes, un échec assumé sur la simulation industrielle.
Toute l’arithmétique du goulot d’étranglement en aval tient dans Vulnpocalypse: AI, Open Source, and the Race to Remediate, qui aligne les 48 000 CVE de 2025, l’effondrement du délai d’exploitation de 771 jours à quelques heures et l’état d’un écosystème de mainteneurs dont six sur dix ne sont pas rémunérés.
Lus ensemble, ces documents déplacent la question. La capacité offensive d’un modèle n’est plus l’inconnue: elle est définie à l’avance, mesurée, datée et annoncée par ceux-là mêmes qui la produisent. Ce qui manque se tient de part et d’autre: un tiers capable de vérifier les mesures sans y engloutir des dizaines de milliers de dollars, et un écosystème capable d’absorber ce que la découverte automatisée déverse. Entre les deux, un formulaire d’éligibilité tient lieu de politique publique.