OpenAI freine Astra : ce que son cadre prévoyait au seuil cyber « critique »
OpenAI dit ne plus pouvoir exclure un niveau « critique » en cyber pour Astra. Son propre cadre prévoyait, à ce niveau, d'arrêter le développement.
Le vendredi 7 août 2026, OpenAI a publié un billet intitulé « Responding to the next frontier of critical cyber capabilities ». L'entreprise y écrit que ses évaluations internes d'Astra, un modèle encore en développement, ne lui permettent plus d'exclure des capacités cyber de niveau « Critical » au sens de son Preparedness Framework. Elle annonce des contrôles de sécurité renforcés et la mise en pause des activités internes impliquant Astra qui n'y répondent pas encore.
La reprise a été rapide et à peu près uniforme : OpenAI freine un modèle devenu trop puissant. Le document qui donne son sens à cette phrase, lui, n'a presque pas été lu. C'est un PDF de 22 pages, en version 2 depuis le 15 avril 2025, et il décrit très précisément ce qu'un niveau « Critical » déclenche, qui le constate, et ce qui doit s'arrêter. C'est là que l'annonce devient intéressante.
Après avoir évalué l'un de nos prochains modèles, Astra, nous le traitons comme notre premier modèle « critique » en cybersécurité au titre de notre Preparedness Framework. C'est un scénario que nous avions anticipé, et nous mettons en place des contrôles supplémentaires pour que la poursuite du développement d'Astra se fasse de façon sûre et sécurisée. Nous travaillons dur pour rendre Astra largement disponible et mettre ses capacités cyber avancées entre les mains des défenseurs.Voir le post sur X
Le post et le billet ne disent pas tout à fait la même chose. Le billet écrit que l'entreprise « ne peut pas exclure » le niveau Critical. Le post, publié le même jour à 18 h 52 UTC, écrit qu'elle traite Astra comme son premier modèle « critique ». TechCrunch a retenu la version la plus ferme des trois : le modèle « a atteint son seuil critique de cybersécurité ». Même fait, trois degrés de certitude, et c'est la formulation la plus prudente qui figure dans le document officiel.
Ce que le billet dit, mot pour mot
Le texte est court et daté avec soin. Les évaluations internes portent sur « les derniers jours », la conclusion a été prise « la nuit dernière », et le billet précise que les modèles précédents, y compris GPT-5.6 Sol, avaient été évalués au niveau High et non Critical. Ce point rattache directement l'annonce au dossier que nous avons documenté la semaine dernière, quand GPT-5.6 Sol est sorti du périmètre de test de l'institut britannique.
Deux précisions du billet méritent d'être lues avant tout commentaire. La première est la définition du seuil : un modèle atteint le niveau Critical en cybersécurité s'il peut, sans intervention humaine, identifier et développer des exploits zero-day fonctionnels de tous niveaux de gravité dans de nombreux systèmes critiques durcis du monde réel, ou concevoir et exécuter de bout en bout des stratégies inédites d'attaque contre des cibles durcies à partir d'un simple objectif de haut niveau. La seconde, glissée dans la phrase même qui pose la réserve, est un démenti explicite.
Alors que nous poursuivons l'évaluation et la mesure de ce modèle, nos évaluations préliminaires indiquent des performances suffisamment élevées pour que nous ne puissions pas exclure un niveau de capacité Critical à ce stade. Astra est un modèle à venir, et il n'a pas été impliqué dans l'exploitation de Hugging Face.OpenAI, billet du 7 août 2026
Autrement dit, Astra n'est pas le modèle qui a attaqué l'infrastructure de Hugging Face en juillet. Et rien dans le billet ne l'assimile à une future version de ChatGPT : Astra est présenté comme un modèle à venir, sans nom commercial, sans date et sans tarif, exactement comme lors de l'annonce de ses dix résultats mathématiques du 1er août.
Au niveau « critique », le cadre prévoyait d'arrêter le développement
Le Preparedness Framework range ses catégories suivies en deux paliers seulement. Le niveau High désigne des capacités qui augmentent fortement des vecteurs de risque existants. Le niveau Critical désigne des capacités qui créent un vecteur de menace qualitativement nouveau, sans précédent disponible. Pour la cybersécurité, la colonne des mesures associées au niveau Critical tient en une seule ligne, et elle est sans ambiguïté.
| Ce qu'on compare | Niveau High | Niveau Critical |
|---|---|---|
| Ce que ça désigne | Une forte augmentation de risques existants | Un vecteur de menace nouveau, sans précédent |
| En cybersécurité | Automatiser des opérations de bout en bout contre des cibles raisonnablement durcies | Trouver et exploiter seul des zero-day dans de nombreux systèmes critiques durcis |
| Garde-fous exigés | Avant le déploiement externe | Aussi pendant le développement, quel que soit le plan de sortie |
| Standard de sécurité publié | Oui, annexe C.3 du cadre | — |
| Consigne du cadre | Contrôles de sécurité au standard High | Arrêter le développement jusqu'à ce qu'un standard Critical soit spécifié |
La dernière case est le cœur du sujet. L'annexe C.3 détaille les pratiques de sécurité exigées « pour les modèles de capacité High » : modélisation des menaces, défense en profondeur, moindre privilège, audits indépendants. Elle ne décrit aucun standard Critical. Le cadre le reconnaît lui-même dans sa section 4.4 : « Nous ne possédons actuellement aucun modèle ayant des niveaux de capacité Critical, et nous prévoyons de mettre à jour ce Preparedness Framework avant d'atteindre un tel niveau avec un modèle. » Cette phrase est toujours en ligne dans la version que le billet du 7 août met en lien.
Le même cadre prévoit, en section 4.1, que si un système « semble susceptible de franchir un seuil de capacité », l'entreprise commence à travailler sur les garde-fous « même si une détermination formelle de capacité n'a pas encore été faite ». C'est cette clause d'anticipation, et non la consigne d'arrêt, que décrit le billet du 7 août. La différence tient donc entièrement à un point qu'OpenAI n'a pas rendu public : le niveau Critical a-t-il été formellement constaté, ou seulement jugé non exclu.
Qui décide, et dans quel document
Le cadre confie la constatation d'un seuil à un Safety Advisory Group (SAG), groupe interne dont les membres et le président sont nommés par la direction d'OpenAI pour des mandats d'un an. Le SAG examine un « Capabilities Report », puis recommande. La décision finale revient à la direction, c'est-à-dire au PDG ou à une personne qu'il désigne, et le document précise noir sur blanc que le SAG « n'a pas la possibilité de faire de l'obstruction ». Le comité Sûreté et Sécurité du conseil d'administration peut, lui, annuler une décision. Une procédure accélérée existe pour les risques qui se manifestent brutalement.
Aucun de ces artefacts n'a été publié pour Astra, et le billet ne dit pas si le SAG s'est réuni.
Second point que personne n'a relevé : depuis le 28 mai 2026, le Preparedness Framework n'est plus le seul texte applicable. OpenAI publie aussi un Frontier Governance Framework, présenté comme son cadre légal au titre du Transparency in Frontier AI Act californien et comme son résumé public au titre du code de bonnes pratiques européen sur les modèles à usage général. Il reprend mot pour mot la définition du seuil cyber, mais l'appelle Tier 3, le plus élevé de ses trois paliers.
Le Preparedness Framework définit le préjudice grave comme « la mort ou des blessures graves de milliers de personnes, ou des centaines de milliards de dollars de dommages économiques ». Le Frontier Governance Framework, lui, retient un seuil beaucoup plus bas : plus de 50 morts ou 1 milliard de dollars de dommages sur un seul incident. Les deux textes s'appliquent en même temps, et ils ne mesurent pas la même chose.
Ce que le billet ne dit pas, et ce que personne ne peut vérifier
Le billet annonce cinq mesures : contrôles renforcés (environnements de test isolés, accès réseau et outils restreints, chiffrement et protection des poids, surveillance accrue, exécution en bac à sable), pause des activités internes non conformes, surveillance universelle des actions risquées qui inspecte la chaîne de pensée du modèle, travail avec « les agences gouvernementales concernées » et « certaines organisations de sécurité de l'IA », et transmission de recommandations aux partenaires de test tiers.
Aucun banc d'essai n'est nommé. Aucun système réel n'est nommé. Aucune agence n'est nommée. Aucune organisation de sécurité n'est nommée. Et la leçon apprise sur ce dossier depuis trois semaines, c'est que le rapport du tiers fait foi : au 10 août 2026, ni l'UK AI Security Institute ni le CAISI américain n'ont publié quoi que ce soit sur Astra. La dernière publication cyber de l'institut britannique reste son rapport d'incident du 4 août.
Le plus gênant est ailleurs. La seule mesure publique et indépendante du niveau cyber des modèles de frontière est celle de l'UK AISI, et elle arrive au bout de ce qu'elle sait mesurer.
Surtout, ses deux « cyber ranges » simulent des attaques contre de petits réseaux d'entreprise non défendus, l'accès initial étant déjà acquis. Le seuil Critical, lui, parle de systèmes critiques durcis et d'une attaque menée de bout en bout sans intervention humaine. Il n'existe donc, à ce jour, aucun banc d'essai public qui mesure ce que l'annonce du 7 août invoque. Le lecteur qui voudrait vérifier n'a que la parole d'OpenAI, là où l'évaluation de Kimi K3 reposait, elle, sur deux rapports publics.
Freiner un produit qui n'est pas sorti
TechCrunch relève le fait de communication, et il est juste : les entreprises retiennent régulièrement des produits par prudence, mais elles annoncent rarement cette décision quand le produit n'est pas sorti. Le média note aussi que le geste se lit dans les deux sens, alerte sincère ou démonstration de puissance, tant « dans certains cercles, tout laboratoire disposant d'un modèle capable de cela sera vu comme une avancée impressionnante ».
Les deux lectures se sourcent, et il n'est pas nécessaire de choisir. Du côté de la transparence, le cadre avait effectivement prévu ce cas depuis 2023, et le précédent existe : en juin 2025, quand ses modèles ont approché le seuil High en biologie, OpenAI avait publié un billet du même genre. Du côté commercial, la dernière phrase du post officiel est explicite : l'objectif est de rendre Astra « largement disponible » et de mettre ses capacités cyber « entre les mains des défenseurs ». Ce n'est pas une intention abstraite : l'entreprise vend déjà une offre cyber, Daybreak, avec un modèle dédié réservé à des équipes vérifiées. Et le patron d'OpenAI évoquait fin juillet la possibilité de cadencer le rythme du secteur.
Reste le fait brut, qui suffit : ce n'est pas un modèle qui a été arrêté, ce sont des activités internes qui ne passaient pas les nouveaux contrôles.
Devant ce type d'annonce, la question utile n'est pas « le modèle est-il dangereux » mais « quel document engage l'éditeur, et dans quelle version ». Le billet de blog donne le récit, le cadre daté donne la règle, et c'est l'écart entre les deux qui informe.
Questions fréquentes
Astra est-il ChatGPT 6 ?
Rien ne le dit. OpenAI présente Astra comme « un modèle à venir », sans nom commercial, sans date ni tarif. Les articles qui l'assimilent à une future version de ChatGPT extrapolent.
Astra a-t-il piraté Hugging Face ?
Non, et le billet le dit explicitement : « Astra est un modèle à venir, et il n'a pas été impliqué dans l'exploitation de Hugging Face. » L'incident de juillet impliquait GPT-5.6 Sol et un prototype interne, détaillé dans notre article dédié.
Qu'est-ce que le seuil « critique » en cybersécurité ?
Le niveau le plus élevé du Preparedness Framework : un modèle qui trouve et développe seul des exploits zero-day dans de nombreux systèmes critiques durcis, ou qui conçoit et mène une attaque de bout en bout à partir d'un simple objectif.
OpenAI a-t-il arrêté le développement d'Astra ?
Non. L'entreprise met en pause les seules activités internes qui ne respectent pas ses contrôles de sécurité renforcés. Son cadre, lui, prévoyait un arrêt du développement au niveau Critical, tant qu'aucun standard de sécurité correspondant n'est spécifié.
Quel est le modèle le plus puissant d'OpenAI ?
Parmi les modèles réellement disponibles, GPT-5.6 et sa variante haut de gamme Sol. Astra est plus capable sur plusieurs épreuves, mais il n'est proposé ni dans ChatGPT ni dans l'API.
Les utilisateurs de ChatGPT sont-ils concernés ?
Non. Astra n'est pas déployé, et les mesures annoncées portent sur des environnements de développement et d'évaluation internes.
Qui décide qu'un seuil est atteint chez OpenAI ?
Un Safety Advisory Group interne, nommé par la direction, examine un rapport de capacités et recommande. La décision finale appartient à la direction, et le comité Sûreté et Sécurité du conseil peut la renverser.
