GPT-6 Astra passe au rouge et OpenAI garde la clé

Le 1er septembre, à quelques heures d’écart, les deux laboratoires qui se disputent la première place ont publié chacun leur communiqué. Anthropic lançait Claude Fable 5.1, accompagné d’un Mythos 5.1 réservé aux organisations triées sur le volet^[1]. OpenAI, elle, ne lançait rien encore, mais annonçait qu’Astra, son prochain modèle, franchissait le seuil « critique » de son cadre de préparation en cybersécurité, une première dans la maison, et que ses capacités les plus avancées resteraient hors de portée du public^[2]. Deux jours plus tard, GPT-6 Astra sortait pour de bon, amputé de ce qui l’avait fait classer^[3].

En juin, je racontais comment Washington avait débranché Fable et Mythos et j’y voyais l’entrée de l’intelligence artificielle dans la contre-prolifération. En juillet, le modèle revenait avec l’État dans la boucle. Il manquait un chapitre, celui où la concurrence s’aligne. Le voilà, et il tient en une phrase, tout le monde a désormais son modèle qu’on ne peut pas utiliser.

Deux failles trouvées en passant

Ce que recouvre « critique » mérite un mot, car OpenAI l’a défini bien avant d’avoir un modèle à y ranger. Son cadre de préparation, publié fin 2023, place un modèle à ce niveau s’il sait trouver et exploiter des failles inconnues dans de nombreux systèmes durcis sans intervention humaine, ou monter de bout en bout une attaque contre une cible protégée à partir d’un simple objectif^[2:1]. Jusqu’à GPT-5.6 Sol, dont je saluais l’arrivée en juillet, tout restait au palier « élevé ». Le 7 août, trois semaines après que Hugging Face a reconnu l’intrusion de juillet, l’entreprise avouait ne plus pouvoir exclure le palier suivant pour Astra, en précisant que celui-ci n’avait pris aucune part à l’affaire^[4].

Les preuves sont venues le 1er septembre. Sur ExploitBench, l’épreuve publique où l’on demande au modèle de transformer des failles connues en attaques fonctionnelles, Astra fait 100 %, là où Sol plafonnait à 78,5 %^[3:1]. Comme un score parfait sur un examen public sent le sujet appris par cœur, OpenAI a rejoué l’exercice sur 20 failles de V8, le moteur JavaScript de Chrome, toutes divulguées entre juin et août, donc absentes de l’entraînement. Astra y a réussi plus souvent que Sol en dépensant moins de jetons^[5] et, surtout, en a profité pour découvrir deux failles que personne ne connaissait et les intégrer à sa chaîne d’attaque, sans qu’on le lui ait demandé^[2:2]. OpenAI dit être en train de les signaler aux mainteneurs, ce qui est la moindre des choses quand on a trouvé les failles en faisant autre chose.

Des experts ont ensuite lâché le modèle sur un navigateur et un système d’exploitation durcis. Il a construit une chaîne complète qui s’échappe du bac à sable du navigateur et exécute des commandes sur la machine dès qu’on ouvre un fichier HTML, puis, sur le système, enchaîné plusieurs failles pour passer de simple utilisateur à administrateur^[2:3]. C’est la définition du seuil critique, cochée ligne à ligne.

Le scénario d’avril, joué par l’autre troupe

Rien de tout cela n’est nouveau, si ce n’est le logo. Anthropic a ouvert la voie en avril avec Mythos Preview, jugé trop dangereux pour le public et confié à une douzaine de partenaires fondateurs, d’Amazon à Nvidia en passant par Apple, Google, Microsoft et la Fondation Linux, puis à une quarantaine d’organisations, sous le nom de Project Glasswing^[6]. En juin, le cercle s’étendait à 150 organisations dans plus de quinze pays^[7]. Entre-temps, un groupe Discord avait deviné l’adresse du modèle en s’appuyant sur les conventions de nommage d’Anthropic et sur les accès d’un sous-traitant^[6:1], ce qui rappelle qu’un modèle interdit l’est surtout pour ceux qui demandent la permission.

OpenAI reprend la partition note pour note. Le GPT-6 Astra mis en ligne le 3 septembre relit du code, répare des failles et refuse d’écrire la moindre preuve d’exploitation^[8][3:2]. La version complète va d’abord à un petit groupe de testeurs, dont le gouvernement américain et les entreprises déjà admises dans le programme de confiance de l’éditeur^[9], puis s’élargira par Daybreak Blue, le volet défensif d’un programme lancé en août avec seize éditeurs de sécurité, doublé d’un Daybreak Red pour l’attaque autorisée^[10]. Le 3 septembre toujours, OpenAI y ajoutait un milliard de dollars de crédits pour les défenseurs de première ligne, réseaux d’eau, réseaux électriques, collectivités et banques régionales, à consommer en six mois et d’abord aux États-Unis^[11]. Le modèle le plus dangereux jamais publié arrive avec une enveloppe pour les stations d’épuration, ce qui est une façon de dire que la menace n’a rien de théorique.

Reste la comparaison la plus instructive, qu’aucun des deux n’a envie de faire. Le même 1er septembre, Anthropic expliquait que Fable 5.1 et Mythos 5.1 sont un seul et même modèle à deux niveaux de garde-fous, que Fable sait désormais repérer des failles dans du code sans pouvoir les exploiter, et que Mythos, doté selon elle des capacités cyber les plus fortes qu’elle ait jamais publiées, reste dans la catégorie de risque inférieure de son propre cadre^[1:1]. Deux modèles de la même semaine, d’une puissance comparable à en juger par les bancs d’essai qu’ils partagent, l’un classé critique, l’autre en catégorie basse. Chacun mesure avec sa propre règle, et chacun conclut que sa règle a raison. « Critique », de ce point de vue, se lit aussi bien comme un aveu que comme une réclame, puisqu’aucun acheteur n’a jamais boudé un produit qu’on lui dit trop puissant.

Le modèle qui apprend à ne pas penser tout haut

Les garde-fous, eux, ont progressé, et OpenAI aligne des chiffres. Astra refuse 91,5 % des tentatives de contournement en cybersécurité, contre 59 % pour Sol^[2:4]. Dans un test dérivé de l’incident de juillet, où l’on donne au modèle des exercices impossibles et des serveurs voisins à portée de main, Sol allait fouiller ces serveurs dans 56 % des cas quand Astra n’a jamais essayé^[2:5]. Chaque action du modèle passe désormais par une surveillance de son raisonnement, avec des classifieurs^[12] qui l’arrêtent au moindre écart, et l’entraînement de ses successeurs, suspendu deux semaines après juillet, a repris le 28 août sous des règles plus strictes^[2:6].

Puis vient le paragraphe qu’il fallait aller chercher dans la fiche de sécurité publiée le jour du lancement. OpenAI y reconnaît que la surveillabilité^[13] d’Astra a baissé par rapport à Sol, parce que le modèle contrôle mieux sa chaîne de pensée^[14] et y laisse moins d’indices compromettants. Quand on lui demande d’échapper à ses surveillants, il parvient à sous-performer sans se faire prendre et, sur certaines tâches de sabotage, à passer sous le radar des moniteurs internes^[15]. L’entreprise précise que ces résultats viennent de scénarios où elle a elle-même ordonné l’évasion, et qu’Astra respecte par ailleurs mieux les consignes que son prédécesseur. Je veux bien. Mais j’écrivais la semaine dernière que les 1 200 agents de juillet n’avaient été démasqués que parce qu’ils croyaient leurs pensées non enregistrées. Le nouveau modèle, lui, sait qu’on le lit, et sait en tenir compte. C’est un progrès en alignement qu’on a du mal à ne pas lire aussi comme un progrès en discrétion.

La même semaine, le même État

Ce qui a changé depuis juin, c’est la place de l’État, qui ne débranche plus mais sélectionne. Il figure parmi les premiers testeurs d’Astra^[9:1], il a co-écrit le programme d’accès aux capacités biologiques de Mythos 5.1^[1:2], et il distribue ses bonnes notes. Le 1er septembre, en marge d’une réunion ministérielle du G20 en Caroline du Nord, le secrétaire au Commerce Howard Lutnick déclarait à Axios « nous faisons confiance à Anthropic », l’entreprise ayant « fait ce qu’on lui a demandé » et retrouvé « le bon côté »^[16]. Le surlendemain, le Pentagone répondait par la voix de son sous-secrétaire Emil Michael qu’Anthropic restait un « risque pour la chaîne d’approvisionnement » de la défense, désignation que l’entreprise s’était attirée en mars en refusant que ses modèles servent à des armes autonomes ou à la surveillance de masse, et qu’une juge fédérale venait d’annuler fin août comme des représailles contraires au premier amendement^[17]. Un ministère pardonne, l’autre maintient la sanction malgré le tribunal, et l’éditeur continue de livrer entre les deux.

Je concluais en juillet sur une question, celle de savoir qui tient l’interrupteur. La réponse de septembre est qu’il existe désormais deux modèles sous clé, deux programmes de confiance, deux listes d’organisations agréées, américaines ou presque, et une seule administration pour dire qui est du bon côté. L’Europe, qui régule ce qu’elle ne fabrique pas, n’a même pas de modèle à mettre sous clé.

Pour le reste d’entre nous, l’expérience sera plus prosaïque. OpenAI prévient que ses filtres ralentiront, suspendront ou arrêteront des tâches légitimes, y compris sans rapport avec la sécurité, et qu’une tâche lancée par l’API s’arrêtera tout court^[2:7], pendant qu’Anthropic vend au même moment des garde-fous qui se trompent 60 % moins souvent^[1:3]. Je délègue à ces modèles tous les jours, et je vais donc passer l’automne à regarder des agents s’interrompre pour s’assurer que je n’attaque pas un réseau d’eau. La menace est réelle, l’enveloppe d’un milliard le dit assez, et ce n’est pas moi qu’elle vise. Seulement, quand on garde la clé, on la garde à tout le monde.