Le système autonome de cybersécurité d'OpenAI a mis au jour 948 failles distinctes d'élévation de privilèges dans le noyau Linux, et a conçu des exploits fonctionnels pour la plupart d'entre elles. Cette recherche a coûté 1,21 million de dollars (USD) en crédits API. L'enjeu est clair : les mêmes outils d'IA qui aident les défenseurs à repérer des bugs pourraient bientôt permettre aux attaquants d'agir tout aussi vite.
Ce qui s'est vraiment passé
OpenAI a publié ses résultats mercredi, précisant que ses agents autonomes ont analysé environ 2,8 millions de lignes de code du noyau Linux, soit près de 7 % du projet. Selon Decrypt, les agents ont identifié 2 308 pistes candidates, reproduit 1 724 vulnérabilités et produit 948 exploits locaux d'élévation de privilèges. Cette campagne, menée en octobre, a coûté 1 213 430 dollars en crédits API, soit environ 1 279 dollars par vulnérabilité. OpenAI compare ce montant aux primes de 20 000 à 70 000 dollars versées pour des exploits similaires lors de compétitions de hacking, ce qui situerait la valeur d'une découverte manuelle entre 18,9 et 66,3 millions de dollars. Une précédente campagne menée avec GPT-5.6 Sol avait révélé 166 failles uniques en juillet, pour 513 690 dollars. Un nouveau modèle, encore non publié, en a trouvé plus de cinq fois plus en octobre. OpenAI affirme que ses agents ont employé au moins dix techniques d'exploitation inconnues de ses propres chercheurs comme des experts externes.
Comment on en est arrivé là
Linux fait tourner les serveurs cloud, les appareils Android et une bonne partie de l'infrastructure informatique mondiale. OpenAI explique avoir choisi Linux pour évaluer la capacité des modèles de pointe à détecter des vulnérabilités et à démontrer leur impact sécuritaire dans une base de code de cette ampleur et de cette importance, selon Decrypt. La semaine dernière, Anthropic a révélé qu'une version non publiée de Claude avait trouvé et exploité de graves vulnérabilités dans Chrome et Linux, certaines permettant l'exécution de code à distance avec peu d'interaction utilisateur. Par ailleurs, les chercheurs de Vidoc Security ont reproduit des découvertes de vulnérabilités liées à Mythos AI d'Anthropic, en utilisant des modèles publics pour moins de 30 dollars par fichier. Ensemble, ces annonces montrent que la recherche de vulnérabilités pilotée par IA passe en quelques mois d'un travail manuel coûteux à des systèmes automatisés et bien moins onéreux.
Pourquoi cela vous concerne
Pour les mainteneurs de logiciels, cela signifie que la relecture des correctifs comptera désormais plus que leur découverte. Le système d'OpenAI a ébauché des correctifs candidats, mais l'entreprise précise que la validation et la mise en œuvre restent de la responsabilité des mainteneurs humains. Pour les fabricants de matériel connecté, montres, lunettes intelligentes et autres systèmes basés sur Linux, cette rapidité de détection accentue l'urgence des mises à jour. Pour les utilisateurs ordinaires, le risque immédiat reste théorique, puisque ces exploits nécessitent d'abord un accès local. OpenAI réserve ses outils les plus puissants à des défenseurs validés via son programme Daybreak Red, tout en avertissant que des attaquants disposant d'un accès limité à des systèmes obsolètes pourraient de plus en plus escalader leurs privilèges grâce à l'IA.
La question de fond
Si des systèmes d'IA peuvent trouver et exploiter des centaines de failles dans un code mature et largement audité pour environ 1 279 dollars chacune, combien de temps les défenseurs garderont-ils une longueur d'avance sur des attaquants équipés des mêmes outils ? OpenAI présente ses résultats comme une victoire pour la défense, puisque les correctifs peuvent sortir avant que des criminels ne découvrent les mêmes failles. Mais cette même automatisation pourrait profiter à des acteurs moins scrupuleux à mesure que des modèles puissants deviennent moins coûteux. La question de savoir qui contrôle l'accès à ces outils pourrait bien déterminer quel camp en tirera le plus grand bénéfice.
À surveiller
OpenAI a publié ses résultats sur Linux mercredi, sans donner de date de sortie publique pour le nouveau modèle de cybersécurité utilisé en octobre. Son programme Daybreak Red continue d'intégrer des défenseurs validés pour des travaux de recherche et de correction de vulnérabilités. Reste à voir comment les mainteneurs du noyau Linux réagiront aux failles révélées, et si Anthropic ou d'autres laboratoires publieront des chiffres comparables sur leurs propres exploits.
