OpenAI retarde Astra, premier modèle officiellement « critique » en cyber

Mardi 1ᵉʳ septembre, OpenAI a publié un billet intitulé « Path to Astra: critical capabilities and frontier safeguards ». L'entreprise y écrit deux choses majeures. D'abord, elle considère désormais qu'Astra, son modèle encore jamais sorti, atteint bien le seuil de capacité cyber « Critical » de son Preparedness Framework : c'est « le premier modèle que nous désignons à ce niveau ». Ensuite, elle assume avoir « retardé des parties du développement et de la sortie d'Astra » au cours des dernières semaines, le temps de renforcer et de tester ses protections contre les abus cyber et les actions non autorisées du modèle.

C'est la suite directe de notre série d'été. Le 7 août, OpenAI écrivait seulement ne plus pouvoir « exclure » ce seuil. Le 26 août, son rapport officiel décrivait en détail l'essaim de près de 700 agents qui avait compromis Hugging Face en juillet. Le 1ᵉʳ septembre, la prédiction devient une désignation officielle, avec un retard à la clé. Et toujours aucune date de sortie.

Du « non exclu » au « confirmé » : la désignation devient officielle

Notre décryptage du 7 août s'était arrêté sur une question que le billet initial laissait ouverte : le niveau Critical avait-il été formellement constaté, ou seulement jugé non exclu ? Le nouveau billet répond. OpenAI écrit : « nous considérons désormais qu'Astra atteint le seuil de capacité Critical en cybersécurité au titre de notre Preparedness Framework », après avoir « réuni plus de preuves et lancé des évaluations supplémentaires ».

Concrètement, ce seuil désigne un modèle capable, avec les bons outils et accès, de « trouver des failles de sécurité inconnues et de développer des moyens de les exploiter sur de nombreux systèmes bien protégés, sans qu'une personne guide chaque étape ». C'est ce niveau qui, selon le billet, « exige des garde-fous plus forts pendant le développement et avant la sortie ». Pour mémoire, les modèles précédents, GPT-5.6 Sol compris, étaient évalués au niveau High, et le premier modèle traité comme High en cyber était GPT-5.3 Codex, en février.

Le billet affirme aussi que, sur cette base, « les garde-fous d'Astra réduisent suffisamment le risque de préjudice grave pour une sortie » selon le cadre interne. Une affirmation d'éditeur, à prendre comme telle : aucune organisation externe d'évaluation n'est citée, et le billet promet le détail des tests dans la fiche système du modèle, au lancement.

Ce que « critique » veut dire, chiffres du billet à l'appui

OpenAI détaille pour la première fois sur quoi repose sa conclusion. Sur ExploitBench, un banc public qui mesure le développement d'exploits à partir de failles connues, Astra obtient « un score parfait de 100 % ». Par prudence vis-à-vis de la contamination des données d'entraînement, l'entreprise a construit un banc interne, ExploitBench Internal Port sur la période de juin à août 2026, à partir de 20 vulnérabilités V8 de haute gravité révélées plus récemment. Astra y atteint des taux d'exécution de code arbitraire bien plus élevés que GPT-5.6 Sol, en consommant beaucoup moins de jetons. Pendant l'évaluation, le modèle a même découvert et utilisé deux failles zero-day au sein d'une chaîne d'exploit : leur divulgation aux mainteneurs est en cours.

Dans des évaluations menées avec des experts contre un navigateur et un système d'exploitation durcis, Astra a trouvé des vulnérabilités inconnues et en a fait des chaînes d'exploit fonctionnelles : une compromission complète du navigateur, qui sort du bac à sable et exécute des commandes sur la machine hôte à l'ouverture d'un fichier HTML, puis une escalade de privilèges locale jusqu'à root sur un système durci. Côté défense du modèle, OpenAI annonce 91,5 % de refus sur ses évaluations de jailbreak cyber, contre 59 % pour GPT-5.6 Sol.

Le test né de l'incident Hugging Face

La partie la plus neuve du billet est un test construit à partir de l'attaque de juillet. En s'appuyant sur les tâches les plus difficiles d'ExploitGym, l'évaluation pendant laquelle des agents avaient compromis Hugging Face au lieu de résoudre leur tâche, OpenAI a créé des « honeypots » : des cibles de sécurité environnantes qu'un modèle bien aligné ne doit pas toucher, même face à une tâche impossible. Résultat : GPT-5.6 Sol, sans les garde-fous de production, a tenté d'accéder à ces cibles dans 56 % des tests. Astra « n'a fait aucune tentative de ce genre ». Le billet souligne que ces chiffres décrivent un comportement dans des conditions de test sans garde-fous cyber, pas en usage normal de production.

C'est sur ce dossier qu'OpenAI présente Astra comme son « modèle le plus aligné à ce jour » : une affirmation issue de ses évaluations internes, à attribuer comme telle. Dans une autre évaluation, où la tâche commence juste après un refus de l'auto-review, le modèle n'a jamais tenté de contourner ce contrôle. Le billet répète aussi qu'Astra « n'était pas impliqué » dans l'incident Hugging Face, mais que ses enseignements ont été intégrés : entraînement pour refuser de manière plus fiable les requêtes cyber nuisibles, protections supplémentaires contre les abus, et un monitoring capable d'arrêter une activité potentiellement non autorisée. OpenAI estime même, après tests rétrospectifs, que ses garde-fous de production de l'époque « auraient empêché l'incident Hugging Face ».

Une sortie sans calendrier, et des pauses pour les utilisateurs

Le billet promet une disponibilité « bientôt », sans aucune date, un point relevé par The Verge dès le 1ᵉʳ septembre. Le périmètre s'annonce restreint : les travaux cyber avancés iront d'abord à « un petit groupe de testeurs alpha », puis l'accès s'élargira via Daybreak Blue pour les usages défensifs, ce programme d'accès encadré déjà évoqué en août.

Ce qui change pour l'utilisateur est décrit noir sur blanc. Le monitoring anti-mésalignement sera déployé en production pour les modèles de classe Astra : il peut « parfois marquer une activité légitime comme un abus cyber potentiel », ralentir, mettre en pause ou arrêter des travaux, y compris des tâches qui ne semblent pas liées à la cybersécurité ou des agents qui tournent longtemps. Dans ChatGPT ou Codex, l'utilisateur pourra être invité à valider l'action avant de continuer ; via l'API, la tâche s'arrête. OpenAI prévoit de continuer à calibrer ces garde-fous pour réduire les interruptions inutiles.