Le 14 avril, OpenAI a annoncé l'extension de l'accès à GPT-5.4-Cyber à « des milliers d'individus et des centaines d'équipes de sécurité ».
Le moment est notable — une semaine plus tôt seulement, Anthropic avait dévoilé Project Glasswing, limitant l'accès à Claude Mythos (le modèle de cybersécurité le plus puissant en interne) à environ 40 entreprises de premier plan.
Deux entreprises, un même problème, des réponses diamétralement opposées.
Ce que GPT-5.4-Cyber peut faire
GPT-5.4-Cyber est la version spécialisée en cybersécurité de GPT-5.4, ajustée pour les scénarios de sécurité. Selon OpenAI, les principales capacités incluent :
- Rétro-ingénierie binaire : Analyse de logiciels compilés pour identifier les codes malveillants, les vulnérabilités et les points faibles de sécurité sans accès au code source
- Recherche et analyse de vulnérabilités : Aide aux chercheurs en sécurité pour la découverte de vulnérabilités, abaissant les barrières techniques
- Flux de travail avancés de défense : Chaînes de tâches conçues à partir des processus opérationnels réels des équipes de sécurité
Les limitations sont réelles. Il faut passer par plusieurs couches de KYC (connaître son client) et de vérification d'identité pour y accéder. OpenAI répartit les autorisations en différents niveaux, les niveaux supérieurs exigeant des vérifications institutionnelles plus strictes.
De l'autre côté, l'approche d'Anthropic
La semaine dernière, Anthropic a annoncé Project Glasswing avec une orientation complètement différente.
Claude Mythos serait capable de découvrir des vulnérabilités vieilles de 27 ans dans le domaine de la cybersécurité. Anthropic estime en interne qu'il est « trop dangereux » pour une diffusion commerciale à grande échelle.
L'approche de Glasswing : sélectionner environ 40 entreprises technologiques de premier plan et leur accorder un accès limité sous surveillance stricte. Si vous n'êtes pas sur la liste, vous n'avez pratiquement aucune chance.
La divergence fondamentale entre les deux philosophies
Derrière ces deux approches se trouvent des jugements de valeur très différents.
La logique d'OpenAI, selon ses propres termes :
Nous ne pensons pas qu'il soit approprié ou réalisable que nous décidions de manière centralisée qui a le droit de se défendre.
Traduit : Les défenseurs ont besoin d'outils au même niveau que les attaquants. Si l'on ne donne des outils puissants qu'à une élite d'institutions, des dizaines de milliers d'équipes de sécurité d'entreprises dans le monde manqueront de capacités équivalentes, et la posture de sécurité globale se détériorera.
Leur solution : Accès large + Vérification forte. Dès que vous passez la vérification d'identité et prouvez que vous êtes un défenseur légitime, l'outil est accordé.
La logique d'Anthropic est inverse : Les modèles de niveau Mythos sont trop puissants. Une fois diffusés, les gains pour les attaquants pourraient dépasser ceux des défenseurs. Mieux vaut une couverture réduite que de s'assurer qu'ils ne tombent pas entre de mauvaises mains.
Les deux entreprises reconnaissent que ces outils peuvent être utilisés de manière bidirectionnelle. La divergence porte sur : Qui fait le gardien et à quel point la porte est ouverte.
Cette divergence est vraiment importante
Pensez à un scénario réel : Une équipe de sécurité d'une entreprise de taille moyenne, avec un budget limité, confrontée à des attaques complexes sur la chaîne d'approvisionnement. Ils ont besoin d'outils puissants d'analyse de vulnérabilités, mais n'entreront peut-être jamais dans la liste des 40 entreprises d'Anthropic.
L'approche d'OpenAI donne à ces équipes une chance d'utiliser les outils. L'approche d'Anthropic demande : Et si la personne qui passe le KYC est un attaquant ?
Ce n'est pas un petit détail technique. Cela représente la question fondamentale à laquelle les outils de sécurité IA doivent répondre en arrivant à maturité.
OpenAI et Anthropic parient sur des distributions de probabilité différentes : La première pense qu'il y a plus de défenseurs et que le système de vérification est suffisant ; la seconde pense que le risque est trop grand et préfère une couverture réduite.
Les chiffres parlent
En termes de nombre de bénéficiaires, l'écart est clair :
| Approche | Couverture | Méthode de vérification | Modèle |
|---|---|---|---|
| Accès de confiance OpenAI | Des milliers d'individus et d'équipes | Vérification KYC par niveaux | GPT-5.4-Cyber |
| Anthropic Glasswing | Environ 40 entreprises | Sur invitation + Surveillance | Claude Mythos |
À court terme, l'approche d'OpenAI gagnera plus de sympathie auprès des professionnels de la sécurité — après tout, il y a bien plus d'équipes en dehors du top 40 qu'à l'intérieur.
Le prochain test
OpenAI indique que GPT-5.4-Cyber continuera d'évoluer, avec des ajustements basés sur les données d'utilisation réelles.
Après cette expansion, le véritable test est : Le système KYC pourra-t-il empêcher les abus ? Dès qu'un cas se produira où quelqu'un passe la vérification et utilise l'outil pour attaquer, la stratégie d'« accès large » subira une forte pression.
Anthropic pourrait observer en attendant.
Quelle voie est la bonne, seuls des événements de sécurité réels pourront peut-être en décider comme arbitre final.
Sources de référence : OpenAI expands Trusted Access for Cyber to thousands for cybersecurity (CyberScoop) ; OpenAI rolls out tiered access to advanced AI cyber models (Axios) ; CocoLoop ; Trusted access for the next era of cyber defense (OpenAI Blog)