OpenAI n’a pas pu exclure une capacité cyber critique dans Astra et n’a suspendu qu’une partie de ses travaux

Le vendredi 7 août 2026, OpenAI a publié un message indiquant que ses dernières évaluations internes d’Astra, l’un de ses prochains modèles, faisaient état de « avancées significatives en codage agentique et en cybersécurité », et qu’elle ne pouvait pas exclure que le modèle atteigne Critical — le plus haut niveau cybernétique de son Preparedness Framework. La conclusion a été tirée « hier soir », indique le message, après plusieurs jours de tests. Rien n’a été endommagé : le message décrit des évaluations, pas une intrusion, et OpenAI a déclaré qu’Astra « n’était pas impliqué dans l’exploitation de Hugging Face ». Ce qui a changé était interne — le développement qui ne satisfaisait pas aux contrôles de sécurité renforcés a été mis en pause, tandis que les travaux qui y satisfaisaient ont continué. Les personnes les plus directement concernées sont les développeurs d’OpenAI, ainsi que les testeurs et les défenseurs qui finiraient par obtenir l’accès. La décision est consignée sous forme d’une entrée dans l’archive des incidents liés à l’IA, qui contient les sources de cet incident, sa notation et les entrées voisines.

Pour un événement de gouvernance, le plus frappant est le peu que le billet revendique. Il ne rapporte aucun score, aucun résultat de test, aucune transcription et aucun évaluateur externe nommé. Il rapporte un jugement : que, au vu des éléments disponibles, OpenAI ne pouvait pas exclure un niveau de capacité qu’elle n’avait encore jamais attribué à aucun de ses modèles. Cela rend le document digne d’être lu sous deux angles à la fois — une divulgation au sujet d’un modèle, et un test visant à savoir si le cadre de sécurité d’une entreprise change ce que cette entreprise fait.

Que signifie « Critical » dans le cadre d’OpenAI ?

Le Preparedness Framework, publié pour la première fois en décembre 2023 et révisé dans la version 2 le 15 avril 2025, couvre trois catégories : les capacités biologiques et chimiques, la cybersécurité et l’auto-amélioration de l’IA. Chacune comporte deux niveaux de capacité, High et Critical. Le seuil cyber est formulé en termes presque identiques dans le cadre et dans l’article d’OpenAI d’août : un modèle atteint le niveau Critical s’il peut « identifier et développer des exploits zero-day fonctionnels de tous les niveaux de gravité dans de nombreux systèmes critiques durcis du monde réel, sans intervention humaine », ou s’il peut « concevoir et exécuter des stratégies inédites de bout en bout pour des cyberattaques contre des cibles durcies, en ne disposant que d’un objectif souhaité de haut niveau ».

« High » est le niveau inférieur. La publication d’OpenAI indique que les modèles précédents, « y compris GPT-5.6 Sol », ont été évalués au regard des capacités cyber de pointe et classés au niveau High plutôt que Critical. Cette distinction compte parce que le cadre attache des obligations différentes à chacun. Pour un modèle qui atteint Critical, le cadre exige des garde-fous qui « minimisent suffisamment les risques associés pendant le développement, indépendamment des projets de déploiement ». Sa table relative à la cybersécurité est plus directe : « Tant que nous n’avons pas défini de normes en matière de garde-fous et de contrôles de sécurité qui répondraient à un standard Critical, suspendez tout développement ultérieur. »

La formulation du 7 août n’est pas une désignation. La publication indique que ses « évaluations préliminaires indiquent une performance suffisamment solide pour que nous ne puissions pas exclure le niveau de capacité Critique pour le moment ». L’entreprise effectuait encore des évaluations comparatives, et elle l’a dit.

Ce qu’OpenAI a fait, et ce que la pause a englobé

Le billet énumère cinq mesures internes, toutes présentées comme des conditions pour poursuivre le travail plutôt que comme des raisons de l’arrêter :

Des contrôles de sécurité plus stricts pour les modèles à capacités supérieures et les activités associées : « environnements de test isolés, accès réseau et aux outils restreints, protections et chiffrement renforcés des poids des modèles, capacités supplémentaires de surveillance et de détection, et exécution en bac à sable. »

• Mise en pause des « activités internes impliquant Astra qui ne répondent pas encore à ces exigences renforcées en matière de contrôles de sécurité ». Les travaux qui satisfaisaient à ces exigences pouvaient se poursuivre.

• « Surveillance universelle des actions à risque et des désalignements dans toutes les applications agentiques d’Astra, y compris l’entraînement et l’évaluation », avec des moniteurs qui lisent la chaîne de pensée du modèle et déclenchent une réponse de sécurité pour examiner et interrompre les activités à haut risque.

• Tests avec « les agences gouvernementales concernées et certaines organisations de sécurité de l’IA ».

• Contrôles de sécurité recommandés pour les partenaires de test tiers réalisant des évaluations et des charges de travail à haut risque.

OpenAI a décrit elle-même ce précédent. « En juin 2025, alors que nos modèles approchaient du seuil de capacités élevées pour la biologie au titre du Preparedness Framework, » indique l’article, l’entreprise a présenté les mesures destinées à renforcer les garde-fous, élargir les tests, travailler avec des experts externes et ajouter des contrôles de sécurité, et elle « appliquait le même principe ici ». Le détail à retenir est le niveau : le propre compte rendu d’OpenAI situe ce cas de biologie de juin 2025 au niveau Élevé, un échelon inférieur à l’évaluation cyber qu’elle divulguait désormais.

La lecture immédiate de la presse fut qu’un laboratoire avait freiné. The Next Web, publiant à 17 h 36 UTC le 7 août, a décrit une pause de « certains travaux internes » tandis que les tests se poursuivaient, et a rapporté que Axios l’a qualifiée de « peut-être la première fois qu’un laboratoire de pointe a ralenti l’un de ses propres modèles en raison d’un risque cyber ». C’est une description juste de l’annonce. Ce n’est pas la même chose qu’un arrêt, et la publication ne prétend pas qu’il s’agit d’un arrêt.

Ce que la publication du 7 août n’établit pas

L’écart entre « ne pas pouvoir exclure » et « avoir atteint » constitue toute l’incertitude du dossier, et la publication ne cherche pas à le combler. Elle ne donne aucun nom de benchmark, aucun taux de réussite, aucun nombre de vulnérabilités trouvées, aucune description des systèmes testés, aucune transcription, aucune évaluation indépendante et aucune date de publication. Elle ne précise pas laquelle des deux conditions Critical Astra approchait, ni de combien. Elle dit seulement que les preuves étaient suffisamment solides pour que l’entreprise ne puisse pas exclure le niveau le plus élevé.

Ainsi, le dossier, à cette date, établit une divulgation et une réponse — non une capacité mesurée. Le jugement sur la capacité est celui d’OpenAI, fondé sur des évaluations internes qu’elle n’avait pas publiées ; OpenAI n’a nommé aucun évaluateur externe, et aucun laboratoire extérieur n’avait publiquement testé Astra au regard de la définition de « Critical ». L’entrée est classée au niveau de confiance le plus élevé, marquée comme non contestée et consignée comme n’ayant causé aucun préjudice réel, ce qui correspond à ce que contient réellement la publication : une déclaration d’entreprise, non un rapport d’incident.

Que s'est-il passé ensuite ?

Au 1er septembre 2026, la formulation provisoire avait changé. Dans un article de suivi intitulé « La voie vers Astra : capacités critiques et garde-fous de pointe », OpenAI a écrit : « Nous estimons désormais qu’Astra franchit le seuil de capacité critique en cybersécurité prévu par notre Preparedness Framework... C’est le premier modèle que nous désignons à ce niveau. »

La même publication fournissait les précisions que la divulgation d'août avait omises. Elles méritent d'être distinguées par catégorie :

• Tests de référence. Astra a obtenu un score de 100 % sur ExploitBench, un test de référence public visant à transformer des vulnérabilités connues en exploits. En raison de préoccupations liées à la contamination, OpenAI a également créé un portage interne contenant 20 vulnérabilités V8 de haute gravité divulguées entre juin et août 2026 ; sur cet ensemble, le billet indique qu’Astra a découvert et utilisé « deux vulnérabilités zero-day dans le cadre d’une chaîne d’exploitation », ce qu’OpenAI a déclaré être en cours de divulgation aux mainteneurs.

• Évaluations menées par des experts. Face à un navigateur renforcé, Astra a construit une chaîne qui lui a permis de s’échapper du bac à sable et d’exécuter des commandes sur l’hôte ; la fiche système indique que le succès initial a nécessité 29 heures face à une version que les experts ont jugée dépourvue de certaines mesures d’atténuation de production, et que l’adaptation de l’exploit à la version stable officielle a demandé 12 heures supplémentaires. Face à un système d’exploitation renforcé, Astra a combiné des vulnérabilités pour obtenir une élévation de privilèges locale, depuis un utilisateur non privilégié jusqu’à root, en 12 heures.

• Taux de refus. Dans les évaluations de jailbreak cyber d’OpenAI, Astra a refusé 91,5 % des requêtes, contre 59 % pour GPT-5.6 Sol — un chiffre que la fiche système reprend.

• Une vérification indépendante, avec une limite. La fiche système, publiée le 3 septembre 2026 pour le modèle qu'OpenAI a publié ce jour-là sous le nom de GPT-6 Astra, comprend une évaluation externe réalisée par le laboratoire de sécurité Irregular. Irregular a constaté qu'Astra avait résolu 86 des 226 défis FrontierCyber, contre 34 des 226 pour GPT-5.6 Sol, y compris des vulnérabilités zero-day affectant les navigateurs, les téléphones mobiles et les bases de données cloud. Il a également indiqué n'avoir « observé aucune attaque réussie contre des cibles entièrement durcies », et aucun des deux modèles n'a résolu l'un des sept défis Elite.

Le billet du 1er septembre a également dévoilé les contours de la pause. OpenAI a indiqué avoir « retardé certaines parties du développement et du lancement d'Astra » au cours des dernières semaines, et avoir « relancé la grande campagne d'entraînement RL à la frontière qui avait été mise en pause » le 28 août 2026, une fois les nouvelles exigences de sûreté et de sécurité mises en place. L'accès se faisait par paliers : les travaux avancés en cybersécurité seraient d'abord confiés à un petit groupe de testeurs, le programme Daybreak Blue venant ensuite.

Établi, provisoire et non établi

• Établi. OpenAI a publié la divulgation le 7 août 2026 et a déclaré qu'elle ne pouvait pas exclure une capacité cyber critique dans Astra ; elle a énuméré les contrôles et la pause partielle décrite ci-dessus. The Next Web a rapporté l'article le même jour, et Axios l'a couvert comme un ralentissement lié au risque cyber.

• Établi ultérieurement. Le 1er septembre 2026, OpenAI a désigné Astra comme atteignant le seuil Critique — le premier modèle qu’elle ait désigné à ce niveau — et a publié les résultats des benchmarks et de l’évaluation par des experts. La fiche système du 3 septembre contient le même taux de refus et l’évaluation externe Irregular.

• Provisoire et auto-évalué. Le constat de capacité est celui d'OpenAI, fondé sur les évaluations d'OpenAI. Au 7 août, aucun laboratoire externe n'avait testé publiquement le modèle au regard de la définition Critical, et l'article ne nommait aucun évaluateur externe. La vérification externe ultérieure, menée par Irregular, est plus étroite que la désignation et a explicitement constaté qu'aucune attaque n'avait réussi contre des cibles entièrement durcies.

• Non établi. Qu’Astra ait réellement atteint le seuil critique le 7 août ; la publication indique seulement que l’entreprise ne pouvait pas l’exclure. Qu’un système réel ait été compromis : le registre ne consigne aucun préjudice, et OpenAI a déclaré qu’Astra n’était pas impliqué dans l’incident Hugging Face. Il n’est pas non plus établi que la pause partielle ait satisfait à la formulation du cadre lui-même, « cesser tout développement ultérieur » — OpenAI a poursuivi des travaux conformes à ses nouveaux contrôles, et l’entreprise, et non un organisme extérieur, a jugé de la suffisance de ces contrôles.

La question de gouvernance que le dossier laisse ouverte

Le cadre est un instrument d’auto-engagement. Il engage OpenAI à des seuils et à des garanties, et laisse l’évaluation et la décision sur la suffisance à OpenAI, avec un examen interne par son Safety Advisory Group et la supervision du conseil d’administration. La publication du 7 août décrit une consultation — des agences gouvernementales et « certaines organisations de sécurité de l’IA » testeraient le modèle — mais elle ne nomme aucun régulateur, ne publie aucun critère et ne fixe aucune date. Rien au dossier n’indique qu’une partie extérieure vérifie cette décision.

Ce que le dossier montre bel et bien, c’est que l’appareil s’est mis en mouvement. Une évaluation des capacités a modifié les pratiques internes en l’espace d’une journée : les contrôles ont été renforcés, certains travaux ont été arrêtés, la surveillance a été élargie à la formation et à l’évaluation, et l’accès aux fonctions les plus performantes a ensuite été réservé aux testeurs. C’est plus qu’un communiqué de presse, et moins qu’une vérification externe.

Ce que le cadre ne peut trancher seul reste en suspens. « Ne peut exclure » porte sur les preuves, non sur la capacité, et il revient à l’entreprise de décider combien de preuves suffisent avant de reprendre. OpenAI a relancé l’entraînement à grande échelle le 28 août, classé le modèle « Critical » le 1er septembre et l’a publié sous le nom de GPT-6 Astra le 3 septembre. Chaque étape est documentée. Savoir si chaque étape aurait dû avoir lieu au moment où elle a eu lieu est une appréciation que le dossier consigne sans y répondre.