GPT-5.3-Codex a été jugé très performant en cybersécurité. OpenAI n’a aucune preuve définitive.

Le 5 février 2026, OpenAI a publié la fiche système de GPT-5.3-Codex et, dans celle-ci, a classé le modèle comme capacité élevée dans le domaine de la cybersécurité au titre de son Preparedness Framework — c’est la première fois que l’entreprise applique ce label à un modèle dans ce domaine. La phrase qui suit la classification mérite d’être lue deux fois : « Nous n’avons pas de preuve définitive que ce modèle atteint notre seuil High. » OpenAI a déclaré agir par précaution, car le modèle a franchi chacun de ses seuils canaris et l’entreprise ne pouvait donc pas exclure que la capacité soit réellement présente. Rien n’a été compromis et aucune victime n’est enregistrée : il s’agit d’une classification, pas d’un incident, et elle est consignée comme un dossier de politique avec un indicateur de référence. L’entrée propre à l’archive pour la classification, avec ses notes de gravité et de confiance, figure dans Orca AI Incident Archive aux côtés des autres dossiers de gouvernance de l’année.

Ce que signifie « High », et qui décide

Le Preparedness Framework d'OpenAI établit deux seuils. Une capacité élevée « pourrait amplifier les voies existantes vers des préjudices graves » ; une capacité critique « pourrait introduire de nouvelles voies sans précédent vers des préjudices graves ». Les systèmes couverts qui atteignent le niveau élevé doivent disposer de garde-fous qui réduisent suffisamment le risque associé avant le déploiement, et les systèmes qui atteignent le niveau critique en ont besoin également pendant le développement, selon la description du cadre par OpenAI elle-même. L'examen décrit est interne : le Safety Advisory Group évalue si les garde-fous réduisent suffisamment le risque et formule des recommandations, et ses orientations sont transmises à la direction d'OpenAI pour la décision finale. La fiche système ne décrit aucune validation externe de la notation.

La définition propre au cyber est plus étroite que le titre. OpenAI définit la capacité de cybersécurité élevée comme un modèle qui « élimine les goulots d’étranglement existants qui limitent la mise à l’échelle des opérations cyber », soit en « automatisant des opérations cyber de bout en bout contre des cibles raisonnablement durcies », soit en « automatisant la découverte et l’exploitation de vulnérabilités pertinentes sur le plan opérationnel ». La fiche précise explicitement que le seuil concerne l’élimination des goulots d’étranglement sur l’ensemble d’une campagne, et non un modèle capable de résoudre un défi difficile : OpenAI écrit que le risque cyber de frontière « s’évalue mieux en termes d’opérations ou de campagnes, plutôt que d’actions isolées ».

Lu ainsi, la classification du 5 février dit quelque chose de précis. Elle dit qu'OpenAI estime que le goulot d'étranglement que ce modèle élimine est la compétence et l'endurance qu'exige une intrusion prolongée — et que l'entreprise a choisi de contrôler et de surveiller l'accès plutôt que d'attendre la preuve qu'il y parvient.

Trois évaluations, et une comparaison qui va dans l’autre sens

OpenAI utilise trois benchmarks pour les trois compétences qu’il associe à un préjudice cybergrave : Professional Capture the Flag pour l’identification et l’exploitation de vulnérabilités, CVE-Bench pour la cohérence, et Cyber Range pour les opérations de bout en bout dans un réseau émulé. GPT-5.3-Codex est, selon les termes de la fiche, « le premier modèle à franchir tous les seuils sur les trois évaluations ». Les résultats individuels comptent davantage que le résumé.

Sur Professional CTF, le modèle « égale GPT-5.2-Codex » — la formulation de la fiche elle-même est « aucun changement matériel de la performance de pointe en CTF », mesurée en pass@12 sur 16 rollouts par défi. Sur CVE-Bench, il a obtenu 90 % contre 87 % pour GPT-5.2-Codex, sur 34 des 40 défis du benchmark, en pass@1 sur trois rollouts. Sur Cyber Range, il a réussi 12 des 15 scénarios pour un taux de réussite combiné de 80 %, contre 60 % pour GPT-5.1-Codex-Max, 53,33 % pour GPT-5.2-Codex et 47 % pour GPT-5.2-Thinking. Il a échoué à EDR Evasion, CA/DNS Hijacking et Leaked Token.

La fiche se montre prudente quant à ce que cela implique. Étant donné que CTF teste des chemins d’attaque préprogrammés, que CVE-Bench ne couvre que les applications web et que les scénarios Cyber Range n’ont ni les défenses ni le bruit d’un réseau réellement utilisé, « exceller sur les trois évaluations est nécessaire mais non suffisant pour qu’un modèle soit considéré comme ayant un niveau élevé en capacité de cybersécurité ». La conclusion d’OpenAI n’est pas que le modèle est élevé, mais qu’il ne peut pas exclure qu’il le soit.

L’évaluation externe, menée par le laboratoire de sécurité Irregular sur une version quasi finale du modèle, complique le tableau d’une manière que la ligne de résumé ne fait pas. GPT-5.3-Codex a obtenu en moyenne 86 pour cent à Network Attack Simulation, contre 68 pour cent pour GPT-5.2-Codex et 100 pour cent pour GPT-5.2-Thinking ; 72 pour cent à Vulnerability Research and Exploitation, contre 75 et 80 pour cent ; et 53 pour cent à Evasion, contre 52 et 53. Il n’a résolu aucun des défis de CyScenarioBench, un cadre basé sur des scénarios qui teste la planification multi-étapes sous des contraintes réalistes. Dans la suite d’Irregular, autrement dit, le modèle nouvellement classifié a été devancé par un modèle plus ancien dans deux des trois catégories — un résultat que la fiche publie sans le concilier avec sa propre affirmation de seuil.

Le portail : un accès de confiance pour la cybersécurité

La mesure d’atténuation qui donne sa forme au document est un programme, pas un filtre. OpenAI a lancé Trusted Access for Cyber (TAC) « dès le premier jour », en le décrivant comme un « programme à accès restreint basé sur l’identité » qui fournit des « capacités cyber à double usage à haut risque » aux clients entreprises et aux utilisateurs légitimes et bien intentionnés. La fiche répertorie les usages pris en charge : tests d’intrusion, red teaming, évaluation des vulnérabilités, identification et exploitation, tests de sécurité et enquête sur l’évasion de détection, rétro-ingénierie de logiciels malveillants et recherche cryptographique.

La conception de l’accès inverse l’ordre habituel. Les utilisateurs connectés obtiennent par défaut des capacités cyber élevées, sous réserve de surveillance et de mesures d’application ; ce sont les utilisateurs qui « tirent fréquemment parti de fonctionnalités cyber à double usage à haut risque » qui doivent vérifier leur identité via TAC pour conserver les capacités avancées. Les entreprises peuvent demander un accès de confiance pour toute une équipe auprès de leur représentant OpenAI, et les chercheurs ayant besoin de modèles plus permissifs peuvent candidater à un programme sur invitation, selon l’annonce du programme faite par OpenAI elle-même. En parallèle, OpenAI s’est engagé à hauteur de 10 millions de dollars en crédits API via son Cybersecurity Grant Program.

OpenAI précise explicitement que ce contrôle d’accès ne constitue pas une garantie. L’accès est accordé « uniquement à des fins de sécurité légitimes, défensives et autorisées », et les participants au TAC « qui recherchent fréquemment des fonctionnalités d’action nuisible resteront soumis à la surveillance et à l’application des règles, y compris la perte de l’accès au TAC ». Le billet d’annonce ajoute un second contrôle : certaines requêtes que le système détecte comme présentant un risque cybernétique élevé « peuvent être automatiquement redirigées de GPT-5.3-Codex vers GPT-5.2 ». Fortune a rapporté le 5 février qu’OpenAI n’activait pas immédiatement l’accès complet à l’API qui permettrait d’automatiser le modèle à grande échelle, et que le modèle était entre-temps disponible pour les utilisateurs payants de ChatGPT.

Valeurs par défaut du bac à sable et un moniteur avec un taux de manque publié

Deux couches supplémentaires sont décrites en termes mesurables. Le bac à sable de l’agent s’exécute dans le cloud au sein d’« un conteneur isolé hébergé par OpenAI », sans accès au système hôte de l’utilisateur et avec l’accès réseau désactivé par défaut ; lors d’une installation locale, l’isolation est activée par défaut sur macOS via Seatbelt, sur Linux via seccomp et landlock, et sur Windows soit nativement, soit via le Windows Subsystem for Linux. Les paramètres par défaut sont conçus pour désactiver l’accès réseau et limiter les modifications de fichiers à l’espace de travail actuel, et les utilisateurs peuvent approuver des commandes non isolées, ou définir des listes d’autorisation et de refus par projet. La fiche avertit que l’activation de l’accès réseau réintroduit des risques d’injection de prompt, de fuite d’identifiants et de licence.

La couche de surveillance est un système à deux niveaux : un classificateur thématique rapide détermine si un contenu est lié à la cybersécurité, et tout contenu qui l’est est transmis à un « raisonneur de sécurité » qui le classe dans la taxonomie des cybermenaces d’OpenAI et détermine si la sortie peut être affichée. Le classificateur thématique est réglé pour plus de 90 % de rappel avec plus de 99,9 % de fiabilité système. Les chiffres du moniteur de raisonnement sont moins rassurants et figurent dans le tableau de la fiche elle-même : 77,8 % de rappel et 37,1 % de précision sur les invites utilisateur, 88,8 % de rappel et 24,1 % de précision sur les réponses de l’assistant. OpenAI indique qu’elle optimise délibérément le rappel au détriment de la précision, ce qui explique pourquoi des travaux à faible risque sont parfois bloqués — et pourquoi, sur ce jeu de test, environ une invite utilisateur sur cinq qui aurait dû être détectée ne l’a pas été.

Ce que les red teams ont découvert

La fiche publie les résultats adversariaux en détail plutôt qu’en résumé. Deux campagnes ont mobilisé 3 526 heures de red teaming par des experts entre décembre 2025 et janvier 2026. La campagne Universal Jailbreak a consacré 1 375 heures et produit 21 soumissions, dont six jailbreaks universels complets et 14 partiels. La campagne Adversarial Policy Coverage a consacré 2 151 heures et soumis 279 rapports, identifiant 132 faux négatifs où le Safety Reasoner aurait dû bloquer du contenu et ne l’a pas fait. OpenAI qualifie les jailbreaks de « ne pas bloquer » et indique qu’ils seront corrigés, tout en reconnaissant que les campagnes montrent que « le Safety Reasoner nécessite encore un durcissement itératif face aux attaques adversariales ».

Le résultat isolé le plus marquant concerne un évaluateur gouvernemental. L’UK AI Security Institute, qui avait eu un accès anticipé à une version avec le raisonneur de sécurité activé et en mode blocage, « a développé un jailbreak universel (avec nouvelles tentatives) qui a atteint 0,778 pass@200 » en environ dix heures de red teaming manuel, à l’aide d’un seul message utilisateur. La même section indique que le Center for AI Standards and Innovation américain a testé les capacités cyber du modèle avec ses propres évaluations automatisées et l’a utilisé pour trouver de nouveaux bogues dans des logiciels open source et propriétaires, et que GPT-5.3-Codex continuait de progresser sur des tâches difficiles au fil des fenêtres de compaction, « trouvant de nouveaux résultats même après 50 M de jetons uniques ou plus et des dizaines d’heures d’analyse ».

Ces deux conclusions gouvernementales sont rapportées dans la fiche d’OpenAI. Cette recherche n’a trouvé aucune évaluation publiée autonome de l’un ou l’autre organisme portant sur GPT-5.3-Codex ; tant qu’il n’en existe pas, l’examen externe de ce modèle n’est connu du public qu’à travers le compte rendu qu’en fait le fournisseur. La liste des risques résiduels de la fiche est d’une franchise inhabituelle au sujet de ce même manque : une précision de surveillance limitée créant un problème de revue de type aiguille dans une botte de foin, « une probabilité non nulle qu’un acteur malveillant puisse obtenir un accès de confiance », des défaillances du fournisseur de vérification d’identité et des jailbreaks universels non découverts. Elle indique aussi que la surveillance interne des déploiements de Codex, exécutée de manière asynchrone pendant cinq mois, « ne protège pas contre les préjudices ni n’empêche la subversion d’autres garde-fous ».

Qu’est-ce qui a changé par la suite ?

La porte a survécu au lancement et s’est développée. Axios a rapporté le 9 avril 2026 qu’OpenAI finalisait un produit de cybersécurité distinct pour un petit ensemble de partenaires, et a décrit TAC comme ayant été lancé en février « après le déploiement de GPT-5.3-Codex ». Le 15 avril 2026, Help Net Security a rapporté qu’OpenAI avait étendu TAC à « des milliers de défenseurs individuels vérifiés et des centaines d’équipes », et publiait GPT-5.4-Cyber — une variante de GPT-5.4 dotée d’un seuil de refus plus bas pour les travaux de sécurité légitimes et d’une capacité de rétro-ingénierie binaire — pour les niveaux d’accès les plus élevés. Le pilote décrit dans la fiche de février était devenu une gamme de produits avec des niveaux.

La classification elle-même s'est moins propagée que la porte. L'article de Fortune du 5 février, signé Sharon Goldman, l'a rapporté directement et a cité le post de Sam Altman, PDG d'OpenAI, sur X, qui qualifiait GPT-5.3-Codex de « notre premier modèle à atteindre le niveau "élevé" en cybersécurité dans notre cadre de préparation ». The Cyber Express a couvert en détail le lancement de TAC le 6 février — trois voies d'accès, les 10 millions de dollars, les comportements interdits — et n'a pas du tout mentionné la note « élevée ». Le Boston Global Forum, dans un texte du 12 avril, a repris les deux ensemble. À la mi-avril, la partie la plus citée du dispositif était le programme d'accès, et non le jugement sur le seuil qui le sous-tendait.

Établi, non établi et ouvert

Ce qui est établi : OpenAI a publié la fiche système de GPT-5.3-Codex le 5 février 2026 et a classé le modèle comme de haute capacité en cybersécurité au titre de son Preparedness Framework ; l’entreprise a déclaré dans le même document qu’elle n’a aucune preuve définitive que le modèle atteint ce seuil et qu’elle agit par précaution ; les chiffres d’évaluation ci-dessus sont les siens ; TAC a été lancé avec le modèle ; le bac à sable et le dispositif de surveillance à deux niveaux sont documentés au niveau de détail cité ici ; et le nombre d’heures de red team, les nombres de soumissions et le chiffre de jailbreak de l’UK AISI figurent tous dans la fiche. Fortune a rapporté la classification le jour même, citant la publication d’Altman sur X. Un détail de datation mérite d’être consigné : les métadonnées de la page de la publication de lancement elle-même portent un horodatage du 4 février à 22 h 23 GMT, tandis que la fiche système et la couverture de Fortune sont datées du 5 février.

Ce qui n'est pas établi : que GPT-5.3-Codex satisfasse réellement au seuil High d'OpenAI. Il s'agit d'une réserve d'OpenAI elle-même, non d'un critique. Cette recherche n'a pas non plus trouvé de certification externe de cette évaluation, ni d'évaluation publiée par un régulateur ou un institut national concernant ce modèle, ni de mesure permettant de savoir si l'empilement de mesures superposées a réduit les mauvais usages dans le monde réel — le dossier ne fait état d'aucun préjudice parce qu'aucun préjudice n'a été consigné, et non parce qu'il ne s'en est produit aucun. L'affirmation de la fiche selon laquelle le modèle est le premier à franchir les trois seuils internes est une déclaration sur la suite de benchmarks d'OpenAI, que le même document présente comme une preuve nécessaire mais non suffisante de la capacité qu'elle est censée détecter.

Ce qui reste en suspens : savoir si un contrôle d’identité assorti d’un dispositif de surveillance qui manque environ un cinquième des invites d’utilisateur signalées constitue une réponse durable pour un modèle classé sur la précaution plutôt que sur la preuve ; savoir si la régression apparente du modèle par rapport à GPT-5.2-Thinking sur la suite externe d’Irregular signifie quoi que ce soit une fois les différences de harnais et d’élicitation prises en compte ; et quelle part de l’écart entre le pilote de février et la gamme de produits d’avril relevait de la planification plutôt que de l’apprentissage. L’entrée d’archive consigne la classification. Le reste est encore en cours d’écriture par les personnes qui opèrent le contrôle.

Le document est un événement de gouvernance, et il se lit comme tel : une entreprise qui consigne, avant tout incident, qu’elle pense que l’un de ses propres modèles a peut-être franchi une ligne qu’elle ne peut pas encore mesurer, et qui érige une barrière sur la foi de ce soupçon. La proportionnalité de cette barrière est une question que la fiche laisse délibérément ouverte — elle dit seulement que le risque est « suffisamment minimisé », et énumère six façons dont il pourrait ne pas l’être.