Il y a quelques semaines, Sam Altman moquait publiquement Anthropic pour avoir limité l’accès à Mythos, son modèle spécialisé en cybersécurité, à une cinquantaine d’organisations triées sur le volet. « Marketing fondé sur la peur », avait-il lâché. Puis OpenAI a annoncé GPT-5.5-Cyber — et devinez quoi, l’accès en est lui aussi strictement contrôlé. On appellera ça de la cohérence par l’expérience.
Le 30 avril 2026, Sam Altman annonce sur X le déploiement imminent de GPT-5.5-Cyber auprès des « défenseurs critiques » de la cybersécurité. Variante spécialisée de GPT-5.5, ce modèle « frontière » est conçu pour faire ce que la plupart des outils de sécurité font mal : identifier et exploiter des vulnérabilités, analyser le code de logiciels malveillants, et conduire des tests d’intrusion automatisés. En clair, une boîte à outils pour pentesteurs — mais version IA, donc beaucoup plus rapide.
Ce que GPT-5.5-Cyber sait vraiment faire.
Les détails techniques restent rares, mais les benchmarks sont là. L’AI Security Institute britannique — une agence gouvernementale — lui a soumis des exercices de type *Capture The Flag* classés par niveau de difficulté. Sur les tâches de niveau expert, GPT-5.5-Cyber atteint un taux de réussite moyen de 71,4 %, devançant Mythos (68,6 %) et largement son prédécesseur GPT-5.4-Cyber (52,4 %).
Ce n’est pas qu’une question de score. Le modèle a réussi à compléter une simulation d’attaque en réseau d’entreprise en 32 étapes, une opération qu’un humain mettrait environ 20 heures à mener. Il devient ainsi le deuxième modèle à franchir ce cap, juste derrière Mythos. L’agence a conclu que GPT-5.5 est l’un des modèles les plus performants testés sur les tâches cyber. Ce qui n’est pas anodin quand on sait que ces tâches sont précisément celles qu’utilisent les attaquants réels.
Et c’est là que ça se corse. Un outil capable de mener une cyberattaque simulée en quelques minutes, dans les mains de n’importe qui, c’est une perspective qui rend tout le monde nerveux — y compris son créateur.
Le programme TAC : accès restreint, sésame obligatoire.
OpenAI a créé pour l’occasion le programme Trusted Access for Cyber (TAC). Seules les organisations opérant sur des infrastructures critiques peuvent postuler, via un formulaire disponible sur le site d’OpenAI, en détaillant leur cas d’usage. GPT-5.5-Cyber ne remplace pas GPT-5.4-Cyber — les deux modèles coexistent dans ce programme réservé, pour les défenseurs avec des besoins légitimes.
OpenAI n’a pas communiqué sur le nombre d’organisations qui y auront accès au final. Anthropic, de son côté, avait limité Mythos à une cinquantaine de partenaires, dont Microsoft, Apple et Amazon. Le périmètre d’OpenAI sera probablement plus large, mais la logique est exactement la même : des capacités trop puissantes pour une diffusion générale.
Cette réalité illustre bien le chantier que représente la gouvernance des agents IA autonomes pour les organisations : quand un modèle peut simuler une attaque complète en moins de temps qu’il ne faut pour boire un café, les règles d’accès deviennent un enjeu de sécurité nationale à part entière.
Daybreak : quand l'IA passe de la détection à la correction.
En parallèle de GPT-5.5-Cyber, OpenAI a annoncé Daybreak, un système qui va plus loin que la simple détection de failles. L’idée : transformer GPT-5.5-Cyber en chaîne complète — détection, correction et validation des vulnérabilités. Le modèle ne se contente plus de pointer ce qui cloche, il propose un patch, et peut en théorie valider que la correction est efficace.
C’est une évolution significative. La cybersécurité défensive a longtemps souffert d’un écart béant entre la vitesse d’identification des failles et la vitesse de remédiation. Daybreak tente de combler cet écart. Pour les équipes de sécurité qui gèrent des parcs informatiques étendus, c’est potentiellement un changement de paradigme.
Mais ça soulève aussi des questions. Donner à un modèle la capacité de modifier du code d’infrastructure de manière autonome, c’est ouvrir une nouvelle surface d’attaque si le modèle lui-même est compromis ou manipulé. Ce n’est pas une raison de ne pas avancer — c’est une raison d’avancer avec méthode. Ce que la sécurité informatique augmentée par l’IA exige avant tout, c’est précisément cette rigueur dans le déploiement.
La course à la cyberdéfense IA n'en est qu'à ses débuts.
GPT-5.5-Cyber arrive dans un contexte de compétition accélérée entre labs. OpenAI et Anthropic développent tous les deux des modèles spécialisés cyber, avec des benchmarks proches — et des approches similaires sur la restriction d’accès, quoi qu’en disent leurs dirigeants publiquement. La vraie question n’est plus de savoir si l’IA va transformer la cybersécurité. C’est déjà fait. Elle est de savoir qui contrôle ces outils, dans quelles conditions, et avec quelles garanties.
Pour l’instant, OpenAI parie sur un écosystème encadré, avec un programme d’accréditation. C’est raisonnable. Mais à mesure que ces modèles gagnent en puissance, les garde-fous devront suivre le rythme — et ce n’est pas le point fort historique de l’industrie tech.
