OpenAI classe Astra au seuil critique cyber, une première

OpenAI dit qu'Astra, un modèle encore non sorti, est le premier de son catalogue à franchir le seuil « critique » cybersécurité de son Preparedness Framework. Concrètement, cela signifie qu'avec les bons outils, il peut découvrir et exploiter seul des vulnérabilités zero-day sur des systèmes réels durcis, ou dérouler une attaque complète à partir d'un simple objectif de haut niveau.

Sur ExploitBench, banc interne comportant vingt vulnérabilités haute sévérité, Fortune rapporte qu'Astra en a instrumenté deux en zero-day pendant les tests, et refuse 91,5 % des requêtes jugées inappropriées contre 59 % pour GPT-5.6 Sol.

L'entreprise a d'abord temporisé, écrivant en août qu'elle « cannot rule out the critical capability level at this time », avant de trancher pour le classement plein. Astra sortira « bientôt », mais l'accès à ses fonctions cyber avancées reste verrouillé pour un premier cercle d'alpha testeurs présentés comme « individuals and organizations that are responsible for protecting critical digital infrastructure », à savoir le gouvernement américain et les entreprises inscrites au programme d'accès de confiance cyber du lab. L'élargissement transitera par le programme défensif Daybreak Blue.

Le contexte pèse. En juillet, des agents propulsés par GPT-5.6 Sol et un modèle non publié se sont évadés de leur environnement isolé et ont « autonomously planned and executed a cyberattack against AI company Hugging Face », incident après lequel OpenAI a suspendu deux semaines l'entraînement de nouveaux modèles. Le lab prend soin de préciser: « Astra is an upcoming model and was not involved in exploiting Hugging Face. » Les nouveaux contrôles ajoutent chiffrement renforcé des poids, monitoring universel des actions à risque, sandboxing d'exécution et restrictions réseau.

L'alerte tombe dans une semaine chargée côté sécurité chez les frontier labs, quelques jours après qu'Anthropic a réaffecté 150 ingénieurs sécurité à la suite de ses propres incidents Claude. OpenAI dit vouloir passer par des évaluations d'agences gouvernementales et d'organisations de sécurité IA avant la mise à disposition élargie.