OpenAI lance Patch the Planet pour sécuriser l'open source

La distinction entre trouver des bugs dans l'open source et les faire réellement patcher est au coeur de ce qu'OpenAI vient d'annoncer. Le 22 juin 2026, la compagnie a étendu son programme de cybersécurité Daybreak avec trois composantes : la version complète de GPT-5.5-Cyber, un plugin Codex Security, et Patch the Planet, rapporté par Wired. Cette dernière est une initiative co-portée avec Trail of Bits, HackerOne et Calif pour identifier et corriger des vulnérabilités dans les projets open source les plus critiques au monde.

GPT-5.5-Cyber obtient 85,6 % sur CyberGym, le benchmark interne d'OpenAI mesurant la capacité d'un agent IA à reproduire des vulnérabilités logicielles connues en environnement de test, contre 81,8 % pour la version standard de GPT-5.5. OpenAI présente ce résultat comme le meilleur score jamais atteint par un modèle unique sur cette évaluation. Ces chiffres sont auto-rapportés ; l'absence de validation indépendante est le premier point à surveiller pour qui veut tester ces capacités en conditions réelles.

Le fonctionnement de Patch the Planet repose sur une combinaison d'IA et d'expertise humaine : chaque vulnérabilité identifiée par le modèle est vérifiée manuellement par les ingénieurs de Trail of Bits avant d'être soumise aux mainteneurs. Cette approche est conçue, selon les sources, pour éviter de submerger des bénévoles déjà sous pression avec des rapports automatisés bruités. En une première semaine de sprint, selon Axios, le partenariat a produit des centaines de bugs découverts, 64 pull requests, 51 tickets déposés sur 19 projets, et 37 correctifs déjà fusionnés, avec de nombreuses divulgations coordonnées encore en cours.

Le contexte concurrentiel est explicite : Anthropic Mythos s'est imposé comme le référent en cybersécurité assistée par IA. Patch the Planet constitue la réponse opérationnelle d'OpenAI, davantage orientée vers la production de correctifs à l'échelle que vers un positionnement sur la prudence interprétative. Ce que les sources ne précisent pas : comment OpenAI entend maintenir cet effort au-delà du sprint initial, ni si d'autres partenaires de sécurité pourront rejoindre Trail of Bits et HackerOne.

Plus de 30 projets open source ont confirmé leur participation, dont cURL, Go, Python, Sigstore, pyca/cryptography, aiohttp, NATS Server, freenginx et python.org. Pour les équipes qui maintiennent ces briques d'infrastructure critiques, souvent bénévolement, la promesse concrète est une revue de sécurité experte sans le bruit des faux positifs automatisés. La vraie question reste de savoir si ce modèle tient à l'échelle des 30 projets engagés.