La prochaine fois que vous lancez une campagne, analysez vos stats ou surveillez votre taux de conversion, gardez ça en tête : plus de la moitié du trafic de bots qui circule en ce moment sur Internet ne vient pas d’humains. Ce n’est pas une hypothèse ou une projection. C’est le constat du rapport Bad Bot 2026 de Thales, qui analyse l’intégralité du trafic web de l’année 2025. Et franchement, les chiffres donnent à réfléchir.
Ce que GPT-5.5-Cyber sait vraiment faire.
Les détails techniques restent rares, mais les benchmarks sont là. L’AI Security Institute britannique — une agence gouvernementale — lui a soumis des exercices de type Capture The Flag classés par niveau de difficulté. Sur les tâches de niveau expert, GPT-5.5-Cyber atteint un taux de réussite moyen de 71,4 %, devançant Mythos (68,6 %) et largement son prédécesseur GPT-5.4-Cyber (52,4 %).
Ce n’est pas qu’une question de score. Le modèle a réussi à compléter une simulation d’attaque en réseau d’entreprise en 32 étapes, une opération qu’un humain mettrait environ 20 heures à mener. Il devient ainsi le deuxième modèle à franchir ce cap, juste derrière Mythos. L’agence a conclu que GPT-5.5 est l’un des modèles les plus performants testés sur les tâches cyber. Ce qui n’est pas anodin quand on sait que ces tâches sont précisément celles qu’utilisent les attaquants réels.
Et c’est là que ça se corse. Un outil capable de mener une cyberattaque simulée en quelques minutes, dans les mains de n’importe qui, c’est une perspective qui rend tout le monde nerveux — y compris son créateur.
Le programme TAC : accès restreint, sésame obligatoire.
OpenAI a créé pour l’occasion le programme Trusted Access for Cyber (TAC). Seules les organisations opérant sur des infrastructures critiques peuvent postuler, via un formulaire disponible sur le site d’OpenAI, en détaillant leur cas d’usage. GPT-5.5-Cyber ne remplace pas GPT-5.4-Cyber — les deux modèles coexistent dans ce programme réservé, pour les défenseurs avec des besoins légitimes.
OpenAI n’a pas communiqué sur le nombre d’organisations qui y auront accès au final. Anthropic, de son côté, avait limité Mythos à une cinquantaine de partenaires, dont Microsoft, Apple et Amazon. Le périmètre d’OpenAI sera probablement plus large, mais la logique est exactement la même : des capacités trop puissantes pour une diffusion générale.
Cette réalité illustre bien le chantier que représente la gouvernance des agents IA autonomes pour les organisations : quand un modèle peut simuler une attaque complète en moins de temps qu’il ne faut pour boire un café, les règles d’accès deviennent un enjeu de sécurité nationale à part entière.
Daybreak : quand l'IA passe de la détection à la correction.
En parallèle de GPT-5.5-Cyber, OpenAI a annoncé Daybreak, un système qui va plus loin que la simple détection de failles. L’idée : transformer GPT-5.5-Cyber en chaîne complète — détection, correction et validation des vulnérabilités. Le modèle ne se contente plus de pointer ce qui cloche, il propose un patch, et peut en théorie valider que la correction est efficace.
C’est une évolution significative. La cybersécurité défensive a longtemps souffert d’un écart béant entre la vitesse d’identification des failles et la vitesse de remédiation. Daybreak tente de combler cet écart. Pour les équipes de sécurité qui gèrent des parcs informatiques étendus, c’est potentiellement un changement de paradigme.
Mais ça soulève aussi des questions. Donner à un modèle la capacité de modifier du code d’infrastructure de manière autonome, c’est ouvrir une nouvelle surface d’attaque si le modèle lui-même est compromis ou manipulé. Ce n’est pas une raison de ne pas avancer — c’est une raison d’avancer avec méthode. Ce que la sécurité informatique augmentée par l’IA exige avant tout, c’est précisément cette rigueur dans le déploiement.
La course à la cyberdéfense IA n'en est qu'à ses débuts.
GPT-5.5-Cyber arrive dans un contexte de compétition accélérée entre labs. OpenAI et Anthropic développent tous les deux des modèles spécialisés cyber, avec des benchmarks proches — et des approches similaires sur la restriction d’accès, quoi qu’en disent leurs dirigeants publiquement. La vraie question n’est plus de savoir si l’IA va transformer la cybersécurité. C’est déjà fait. Elle est de savoir qui contrôle ces outils, dans quelles conditions, et avec quelles garanties.
Pour l’instant, OpenAI parie sur un écosystème encadré, avec un programme d’accréditation. C’est raisonnable. Mais à mesure que ces modèles gagnent en puissance, les garde-fous devront suivre le rythme — et ce n’est pas le point fort historique de l’industrie tech.
