OpenAI a entraîné un modèle interne, GPT-Red, dont le seul métier est d’attaquer les modèles GPT pour y trouver des failles. Il réussit ses attaques dans 84 % des scénarios de test, contre 13 % pour les red teamers humains. Résultat direct : GPT-5.6 Sol affiche six fois moins d’échecs face aux injections de prompt directes que le meilleur modèle d’il y a quatre mois.
Pour résumer
- GPT-Red simule des injections de prompt et des attaques cachées dans des emails, des sites ou des fichiers
- Entraîné par auto-affrontement : l’attaquant et les défenseurs progressent ensemble à chaque itération
- 3,8 % des injections « fortes » passent encore, et le modèle reste interne en attendant un papier détaillé
Faire résumer cet article par une IA
ChatGPTUn attaquant maison qui écrase les red teamers humains
Le red teaming consiste à attaquer volontairement un système pour en exposer les failles avant les vrais adversaires. OpenAI vient d’industrialiser l’exercice : GPT-Red, un modèle interne entraîné uniquement pour ça, trouve une attaque fonctionnelle dans 84 % des scénarios de test. Les équipes humaines plafonnent à 13 % sur les mêmes scénarios.
La méthode repose sur l’auto-affrontement par renforcement : GPT-Red attaque, des modèles défenseurs bloquent, et chaque camp apprend des échecs de l’autre. Le dispositif tourne en boucle, sans fatigue et sans a priori sur ce qu’une attaque est censée ressembler.
L’écart avec les équipes humaines tient à cette absence d’a priori. Un expert teste les vecteurs qu’il connaît et ceux que la littérature documente. Un attaquant entraîné par auto-affrontement explore aussi les formulations absurdes, les détours improbables, les combinaisons qu’aucun professionnel ne prendrait le temps d’essayer. C’est dans cette zone que dorment les failles les plus chères.
Le terrain de jeu est celui qui inquiète toutes les équipes sécurité : les injections de prompt, ces instructions malveillantes cachées dans des emails, des pages web ou des fichiers qu’un agent IA lit en travaillant. OpenAI avait déjà répondu côté produit avec le Lockdown Mode déployé contre les injections de prompt. GPT-Red attaque le problème à la racine, dans l’entraînement.
La machine à snacks du bureau comme preuve de concept
L’exemple le plus parlant sort des locaux d’OpenAI. Lors d’un test, GPT-Red a manipulé la machine à snacks pilotée par IA du bureau : prix modifiés, commandes d’autres clients annulées. Une démonstration miniature de ce qu’une injection réussie fait à un agent connecté au monde réel.
L’anecdote vaut mieux qu’un benchmark. Une machine à snacks, c’est un agent avec un catalogue, des prix et des commandes, soit exactement la structure d’un service client, d’un outil de facturation ou d’un back-office logistique. Ce qui marche sur les snacks marche sur tout ce qui partage cette architecture.
Les chiffres de progression donnent la mesure du gain. GPT-5.6 Sol montre six fois moins d’échecs sur les injections directes que le meilleur modèle d’il y a quatre mois, sans dégrader ses performances générales. La sécurité cesse d’être un arbitrage contre la capacité.
Ce dernier point renverse un compromis historique. Durcir un modèle contre les manipulations le rendait généralement plus frileux et moins utile au quotidien. Obtenir le gain de robustesse sans cette taxe change l’équation économique du déploiement d’agents.
Reste le chiffre qui empêche de dormir : 3,8 % des injections « fortes » passent encore. À l’échelle de milliers de tentatives automatisées, ce pourcentage laisse un volume d’intrusions réussies bien réel. OpenAI le reconnaît et prépare un papier détaillé, pendant que GPT-Red reste strictement interne.
D’autres articles sur Horizon
- GPT-5.6 Sol réfute une conjecture statistique de 1995
- Claude Pro devient gratuit pour les profs K-12 américains
- DeepSeek lève 1,5 Md$ et prépare son IPO à 71 Md$
Une course défensive que les rivaux devront suivre
Pour les entreprises qui branchent des agents sur leurs emails et leurs documents, le message est double. La robustesse progresse vite, mais aucun fournisseur ne promet l’immunité : les 3,8 % résiduels imposent de garder des garde-fous applicatifs, des permissions minimales et des journaux d’audit.
Pour OpenAI, GPT-Red complète un arsenal défensif qui se structure en gamme. L’entreprise avait déjà lancé Daybreak, sa plateforme de cyberdéfense IA, et mis ses modèles au service de la chasse aux failles quand Codex a commencé à corriger les bugs des projets open source. L’attaque automatisée devient la troisième brique de cet ensemble.
Côté concurrence, l’écart méthodologique va se voir. Un lab qui red-team encore à la main teste des centaines de scénarios là où l’auto-affrontement en couvre des millions. Anthropic et Google devront montrer des dispositifs équivalents, chiffres publics à l’appui, sous peine de laisser OpenAI transformer la sécurité en argument commercial mesurable.
Le papier annoncé dira si la méthode se généralise hors des murs d’OpenAI. Un GPT-Red documenté publiquement donnerait aux chercheurs un gabarit d’attaque reproductible, et aux attaquants réels une feuille de route. L’équilibre entre transparence et prudence sera la vraie décision à surveiller.
Affaire à suivre sur Horizon.
