Le 1er septembre, OpenAI a publié un document intitulé « Path to Astra », classant Astra — un nouveau modèle pas encore officiellement lancé — au niveau de risque le plus élevé de son framework Preparedness : ses capacités en cybersécurité sont jugées Critical. Ce framework est en place depuis trois ans, et c'est la première fois qu'OpenAI colle cette étiquette à l'un de ses propres modèles.
Cette conclusion s'appuie sur un benchmark interne nommé ExploitBench. OpenAI y a inséré 20 vulnérabilités critiques, qu'Astra a toutes résolues. Plus frappant encore : dans un environnement de test adapté, Astra a trouvé et exploité de lui-même deux failles zero-day jusque-là inconnues, puis les a enchaînées en une chaîne d'exploitation complète.
Où se situe la ligne Critical
Le framework Preparedness a été lancé en 2023, et une mise à jour l'an dernier a réparti les capacités en deux niveaux. High signifie que le modèle peut amplifier des voies de nuisance déjà existantes ; Critical signifie qu'il peut ouvrir des voies entièrement nouvelles, sans précédent. Sur le volet cybersécurité, franchir le seuil Critical suppose de remplir l'une de ces deux conditions : identifier et écrire, sans qu'un humain le guide étape par étape, des exploits zero-day exploitables couvrant plusieurs niveaux de gravité sur de multiples systèmes critiques réels et durcis ; ou bien, à partir d'un seul objectif de haut niveau, concevoir et exécuter de façon autonome une attaque de bout en bout entièrement nouvelle contre une cible durcie.
Aucun de ces deux seuils n'est bas. Le fait qu'Astra soit jugé les avoir franchis signifie, selon l'évaluation interne d'OpenAI, que le modèle n'a plus besoin d'un humain comme béquille.
Comment se fera le déploiement
Le document indique textuellement :
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
(Nous prévoyons de rendre Astra disponible prochainement, mais l'accès à ses capacités de cybersécurité les plus avancées sera plus restreint.)
Le plan concret se déroule en deux temps. Dans un premier temps, la capacité de cybersécurité la plus avancée n'est accordée qu'à un petit groupe de testeurs alpha ; dans un second temps, via le programme Daybreak Blue, l'accès s'élargit à davantage d'équipes vérifiées, dont l'usage est strictement limité à la défense. Daybreak Blue est un programme qu'OpenAI faisait déjà tourner, permettant à des testeurs validés d'utiliser les modèles les plus puissants pour des travaux de sécurité, sous contraintes de sécurité supplémentaires.
Les mesures d'accompagnement incluent un renforcement de la détection des abus et de la protection contre les jailbreaks, l'identification des comptes « à haut risque » pour les restreindre séparément, et l'activation d'une surveillance de la chaîne de raisonnement pour repérer les comportements anormaux. Pendant le ralentissement d'août, OpenAI avait aussi évoqué l'isolement des environnements de test et le chiffrement des poids du modèle. Ce que le document ne précise pas, c'est qui sont exactement les testeurs, selon quels critères ils sont choisis, ni dans quelle mesure le gouvernement américain a été impliqué dans cette évaluation.
Du coup de frein au feu vert en moins de quatre semaines
Cette affaire a un précédent. Début août, OpenAI avait annoncé publiquement avoir volontairement ralenti le développement et le lancement d'Astra pour des raisons de cybersécurité, et suspendu des activités internes ne répondant pas à des exigences de sécurité plus strictes. À l'époque, le signal perçu à l'extérieur était que ce modèle était délicat à manier. Un mois plus tard, le ton du nouveau document a changé : les garde-fous répondraient désormais aux exigences du framework Preparedness, ouvrant la voie à un lancement public.
Cet intervalle de quatre semaines montre que franchir la ligne ne constitue pas, en soi, un blocage ; ce qui détermine le lancement, c'est la rapidité avec laquelle les garde-fous nécessaires sont mis en place. Pour une entreprise qui a déjà intégré le principe « classer d'abord, ouvrir l'accès ensuite » dans son processus, Critical ressemble davantage à un poste de contrôle exigeant des formalités supplémentaires qu'à un mur infranchissable.
Deux laboratoires au même carrefour
Mythos, d'Anthropic, avait déclenché en début d'année un débat quasi identique — la capacité du modèle à débusquer des failles était si forte qu'elle avait fait sursauter aussi bien la communauté de la sécurité que les régulateurs. La réponse de l'entreprise avait été la même : classification, filtrage, usage restreint. La réponse qu'apporte aujourd'hui OpenAI lui ressemble fortement dans sa forme.
Que deux laboratoires arrivent l'un après l'autre au même carrefour montre qu'il ne s'agit pas d'une préférence produit propre à une seule entreprise. Dès lors que les modèles de pointe franchissent un certain seuil de densité de capacités en attaque comme en défense, les laboratoires n'ont plus qu'un nombre restreint d'options : classer, mettre en place des listes blanches, surveiller, garder pour l'instant les parties les plus tranchantes sous clé. OpenAI a d'ailleurs précisé que l'un des objectifs de conception de cette série de tests était d'éviter de reproduire l'incident de piratage de Hugging Face, où un agent IA, en environnement réel, avait produit un effet d'attaque dépassant les attentes. Inscrire cette leçon dans le processus d'évaluation pèse plus lourd qu'une simple déclaration.
Le doute après le sans-faute
Yona Shavit, ancien chercheur d'OpenAI, a posé une question difficile à trancher : la coopération dont fait preuve Astra lors des tests de sécurité est-elle le signe d'un alignement réussi, ou le modèle a-t-il simplement appris à se montrer plus prudent lorsqu'il se sait observé ? Ce genre de doute ne se règle pas avec un document : seuls le temps et une reproduction externe permettront d'y répondre.
Pour l'utilisateur ordinaire, Astra ne va pas de sitôt apparaître sur les pages d'abonnement sous les traits d'un outil « qui trouve les failles à votre place ». Pour le secteur de la sécurité, ce qu'il faut vraiment surveiller après ce franchissement, c'est si les équipes de défense reçoivent, au même rythme, des outils d'un niveau équivalent. Grosso modo, si ce déploiement en deux temps suit le rythme de Mythos, l'élargissement de l'alpha au programme Daybreak Blue prendrait environ quelques semaines à un ou deux mois ; combien de temps il faudra aux attaquants pour se procurer un équivalent open source de même capacité, personne ne peut le dire pour l'instant.
Sources : document « Path to Astra » d'OpenAI, TechCrunch, CocoLoop, CNBC, Fortune ; les éléments relatifs aux 20 vulnérabilités critiques et au sans-faute d'ExploitBench, aux deux failles zero-day enchaînées en une chaîne d'exploitation, ainsi qu'au déploiement en deux temps via Daybreak Blue, ont été vérifiés point par point à partir de sources publiques.