OpenAI lance Daybreak, des outils de sécurité qui testent les applications et préparent leurs correctifs

OpenAI a dévoilé le 12 novembre deux produits de sa plateforme de cybersécurité Daybreak lors de sa conférence « Cyber at the Frontier » : Daybreak Red Team et Daybreak Defense Factory, qui mettent des agents d'IA au service des deux faces de la sécurité — trouver les failles et les corriger — tout en gardant un examen humain dans la boucle.

Red Team : des tests d'intrusion automatisés qui prouvent la faille

Red Team est désormais en accès anticipé et ouvert aux candidatures. Des équipes d'agents d'IA testent ensemble une même application web : ils lisent le code source et le contexte de l'application, cartographient les chemins d'attaque possibles, puis vérifient si une faiblesse peut réellement être exploitée et si un correctif fonctionne. Nancy Wang, qui dirige l'IA appliquée à la cybersécurité chez OpenAI, l'a décrit lors de la conférence comme un « test d'intrusion surhumain, à l'échelle d'un balayage continu automatisé ».

Defense Factory : remonter à la cause et rédiger le correctif

Defense Factory s'occupe de l'autre moitié du travail. Ses agents prennent un résultat — issu de Red Team ou d'outils déjà utilisés par l'équipe — en retracent la cause dans le code et préparent une proposition de correctif accompagnée de tests, que les ingénieurs examinent avant toute fusion ; la plateforme ne déploie pas elle-même les correctifs. Elle exploite les résultats de Wiz, Snyk et Endor Labs, se connecte aux dépôts GitHub et est disponible sous forme d'extension en avant-première dans ChatGPT pour les espaces de travail disposant déjà d'un accès Daybreak.

Les modèles sous-jacents, et la question du prix

Les deux produits reposent sur les modèles spécialisés d'OpenAI en cybersécurité, dont GPT-6 Cyber, lancé le 5 novembre et premier modèle d'OpenAI classé Critique pour le risque de cybersécurité dans le cadre de préparation de l'entreprise, aux côtés du défensif Daybreak Blue et de l'offensif Daybreak Red. OpenAI n'a annoncé aucun prix : Red Team s'obtient par une demande d'accès anticipé, Defense Factory par un entretien commercial. La plateforme Daybreak elle-même a été lancée le 22 juin.

L'automatisation des deux côtés de l'attaque

Ce lancement signifie qu'une même entreprise vend désormais des agents d'IA aux attaquants comme aux défenseurs : Red Team trouve les failles automatiquement, Defense Factory les corrige automatiquement. OpenAI souligne que l'examen humain reste le passage obligé avant toute fusion de correctif — mais à mesure que les agents accèdent à des bases de code complètes et fonctionnent longtemps sans supervision, la façon dont les entreprises délimitent leurs autorisations et auditent leurs actions deviendra la question clé pour les utilisateurs.

(Sources : OpenAI ; The Register ; SecurityWeek ; GBHackers.)