OpenAI Astra atteint le niveau « Critical » : le modèle peut découvrir des zero-day et mener des chaînes d’attaque à leur terme

OpenAI a classé Astra, son modèle le plus récent, au niveau de capacités en cybersécurité « Critical » défini par son Preparedness Framework. C’est la première fois qu’un modèle de l’entreprise atteint ce seuil.

L’information, révélée le 2 septembre 2026, ne concerne pas une vulnérabilité d’Astra, mais ses capacités offensives. Selon les évaluations communiquées par OpenAI, le système peut détecter et exploiter de manière autonome des vulnérabilités zero-day, ou mener une attaque complète contre une cible correctement protégée à partir d’une instruction de haut niveau.

Les tests décrivent également l’évasion d’une sandbox de navigateur, l’enchaînement de plusieurs vulnérabilités et l’obtention de privilèges root. OpenAI ne rendra donc pas immédiatement accessibles à tous les fonctionnalités complètes de cybersécurité du modèle.

Les résultats ont été communiqués par l’entreprise. Aucune vérification indépendante des éléments de preuve n’a été fournie.

Ce que signifie la classification « Critical »

Le niveau « Critical » ne mesure pas uniquement la capacité à générer du code, à analyser des journaux ou à suggérer des techniques de sécurité. Il désigne un système capable d’exécuter de manière autonome des séquences offensives contre des cibles protégées.

Dans le Preparedness Framework d’OpenAI, ce seuil peut être atteint dans au moins deux scénarios. Le premier est la découverte et l’exploitation autonomes de vulnérabilités zero-day sur un grand nombre de systèmes correctement protégés. Le second consiste à mener une attaque contre une cible durcie à partir d’instructions générales.

Astra aurait démontré des capacités correspondant à ces scénarios. Le principal saut qualitatif concerne surtout son autonomie : le modèle ne se contente pas d’assister l’utilisateur lors d’une étape isolée, mais peut enchaîner la reconnaissance, la recherche de vulnérabilités, l’exploitation, l’évasion de l’isolation et l’escalade de privilèges.

Cela réduit le niveau de supervision humaine nécessaire pour transformer une faille logicielle en compromission concrète. Cela peut également raccourcir le délai entre l’identification d’une faiblesse et la production d’un exploit utilisable.

Aucune campagne malveillante n’a toutefois été attribuée à Astra. Aucun groupe criminel, acteur étatique ou autre acteur de la menace n’a été associé au modèle.

Score parfait sur ExploitBench et deux zero-day identifiés

Astra a obtenu le score maximal sur ExploitBench, un benchmark qui évalue la capacité à transformer des vulnérabilités connues en exploits fonctionnels. Ce résultat témoigne d’une compétence opérationnelle en matière d’exploitation, et pas seulement d’une aptitude à expliquer théoriquement une faille.

Un score parfait à ce type de test suggère que le modèle sait interpréter les informations disponibles, identifier les conditions nécessaires à l’attaque et produire une procédure capable d’exploiter le problème. Cela ne démontre toutefois pas, à lui seul, sa capacité à découvrir de nouvelles vulnérabilités.

OpenAI a donc mené une évaluation distincte, fondée sur des vulnérabilités divulguées plus récemment. Dans ce contexte, Astra aurait identifié de manière autonome deux zero-day.

Les produits concernés, les versions affectées, les éditeurs et les identifiants CVE n’ont pas été communiqués. Il est donc impossible de déterminer la nature technique de ces deux failles, de vérifier si elles ont été corrigées ou d’évaluer l’exposition de systèmes réels.

La méthodologie n’a pas non plus été détaillée : la taille de l’échantillon, les conditions opérationnelles, les outils mis à la disposition du modèle et l’éventuel niveau de supervision ne sont pas connus. Ces informations seraient nécessaires pour reproduire les résultats et les comparer à ceux d’autres systèmes.

De la sandbox aux privilèges root

Les tests les plus significatifs portent sur une chaîne d’attaque composée de plusieurs étapes. Astra aurait réussi à s’échapper d’une sandbox de navigateur et à exécuter des commandes sur la machine sous-jacente.

Une sandbox sert à isoler le code du navigateur et à empêcher qu’une compromission du processus ne s’étende au système d’exploitation. Franchir cette limite transforme une vulnérabilité applicative en point d’accès plus large.

Le modèle aurait également enchaîné plusieurs failles au sein d’un système d’exploitation durci, configuré avec des mesures de sécurité et des restrictions supplémentaires. Cette chaîne aurait abouti à un accès doté de privilèges de niveau root.

OpenAI n’a pas précisé le navigateur, le système d’exploitation, les configurations de durcissement ni les vulnérabilités utilisées. Il est donc impossible de déterminer si l’attaque exploitait des erreurs de mémoire, des défauts logiques, des configurations faibles ou d’autres catégories de problèmes.

L’élément important réside dans la combinaison des actions. Lors d’intrusions réelles, une seule vulnérabilité suffit rarement à prendre le contrôle complet d’un environnement bien protégé. Un attaquant doit souvent combiner plusieurs faiblesses pour sortir de l’isolation, contourner les contrôles et élever ses privilèges. Astra aurait précisément automatisé cette séquence.

Une meilleure résistance aux jailbreaks que GPT-5.6 Sol

Ces capacités offensives s’accompagnent d’une amélioration déclarée du comportement de sécurité. Astra aurait refusé 91,5 % des tentatives de jailbreak liées à la cybersécurité utilisées lors des évaluations internes.

Le modèle précédent, GPT-5.6 Sol, n’atteignait que 59 % lors du même type de test. L’écart est de 32,5 points de pourcentage.

OpenAI indique également qu’Astra serait moins enclin à contourner délibérément les restrictions, à attaquer les honeypots déployés pour les tests ou à poursuivre des opérations offensives lorsque l’environnement avait été conçu pour détecter les écarts par rapport aux contrôles.

Le taux de refus ne constitue toutefois pas une garantie absolue. Un taux de 91,5 % signifie que certaines tentatives considérées comme hostiles ne sont pas bloquées dans les conditions de test. De plus, un modèle doté de capacités plus avancées peut avoir des conséquences plus importantes lorsqu’un contrôle échoue.

L’évaluation du risque dépend donc de l’interaction entre deux éléments : la difficulté à inciter le modèle à adopter un comportement dangereux et l’ampleur des dommages qu’il peut causer une fois les protections contournées.

Distribution limitée et accès via Daybreak Blue

OpenAI estime que des mesures de protection supplémentaires sont nécessaires avant le déploiement. Les fonctionnalités complètes de cybersécurité d’Astra seront dans un premier temps accessibles uniquement à un groupe de testeurs, avant une éventuelle extension par l’intermédiaire du programme Daybreak Blue.

Aucune date de disponibilité générale n’a été annoncée. Les critères d’admission au programme et les limites techniques imposées aux utilisateurs autorisés n’ont pas non plus été précisés.

Les contrôles annoncés comprennent des tests ciblés contre les jailbreaks, la surveillance des tentatives de contournement des restrictions, l’utilisation de honeypots et des évaluations dans des environnements contrôlés. L’entreprise envisage également de retarder le déploiement lorsque les protections ne fournissent pas suffisamment d’éléments attestant d’un comportement sûr.

La principale mesure d’atténuation repose donc sur un déploiement progressif, et non sur un correctif ou une mise à jour installable par les utilisateurs. OpenAI affirme que les contrôles doivent accompagner l’ensemble du cycle de vie du modèle, de l’entraînement à l’évaluation, puis au déploiement.

Près de 130 entreprises technologiques et spécialisées en cybersécurité auraient entre-temps soutenu une initiative pilotée par OpenAI visant à renforcer les défenses informatiques. Aucun détail supplémentaire n’a été fourni concernant la contribution de chaque organisation.

Le risque pour les défenseurs, les entreprises et les chercheurs

Un système capable d’automatiser l’exploitation peut aider les équipes de défense à vérifier plus rapidement les correctifs, les applications et les configurations. Cette même capacité peut toutefois accroître la vitesse et l’ampleur des opérations offensives.

Pour les entreprises, la conséquence la plus concrète est une possible réduction du délai disponible pour corriger une vulnérabilité. Si un modèle est capable de produire rapidement des exploits à partir d’informations publiques, la période entre la divulgation et l’exploitation peut se réduire.

La capacité à découvrir des zero-day introduit un risque supplémentaire : les défenseurs peuvent ne pas encore disposer de signatures, de mises à jour ou d’indicateurs de compromission. Dans ces conditions, la segmentation, le principe du moindre privilège, la surveillance comportementale et le contrôle des activités anormales entre le navigateur et le système d’exploitation prennent une importance accrue.

À ce stade, aucun indicateur technique public n’est associé aux tests d’Astra. Aucun hash, domaine, commande, identifiant CVE ou motif réseau n’est disponible pour orienter les recherches.

La classification « Critical » reste une évaluation interne d’OpenAI, fondée sur des résultats qui n’ont pas été vérifiés publiquement. Elle montre néanmoins le seuil que les systèmes d’intelligence artificielle sont en train d’atteindre : ils ne sont plus seulement des assistants pour les analystes et les développeurs, mais pourraient devenir des opérateurs autonomes capables de parcourir l’ensemble d’une chaîne de compromission.