Une IA découvre 948 failles Linux et apprend à obtenir les droits administrateur
948 failles de sécurité distinctes dans le noyau Linux. Des programmes capables de les exploiter. Et des propositions de correctifs pour tenter de les éliminer. Le tout réalisé en grande partie par une intelligence artificielle, dans le cadre d'une expérience qui pourrait bien changer la manière dont les logiciels sont sécurisés.
Le 4 novembre 2026, OpenAI a dévoilé les résultats d'une campagne de recherche particulièrement impressionnante. Son système automatisé a examiné plusieurs millions de lignes de code Linux, reproduit 1 724 vulnérabilités et identifié 948 problèmes distincts permettant, dans certaines conditions, d'obtenir les droits administrateur d'un ordinateur.
Et depuis ce jeudi 5 novembre, nous connaissons le nom du modèle responsable de ces découvertes : GPT-6 Cyber, une intelligence artificielle spécialement entraînée pour rechercher des vulnérabilités et aider les spécialistes à les corriger.
Plus de 2 300 problèmes suspects repérés dans Linux
Pour comprendre l'ampleur de l'expérience, rappelons que Linux ne se limite pas aux ordinateurs de quelques passionnés. Son noyau est également utilisé par des serveurs Internet, des équipements réseau, des supercalculateurs et les smartphones Android.
C'est précisément cette importance qui a conduit OpenAI à choisir le noyau Linux comme terrain d'expérimentation.
Les chercheurs ont mis en place plusieurs agents d'intelligence artificielle spécialisés. Certains examinent le code source pour repérer les parties susceptibles de contenir des erreurs. D'autres analysent ces zones, reproduisent les problèmes détectés et vérifient s'ils peuvent réellement avoir des conséquences sur la sécurité.
Lors de la campagne menée à la mi-octobre 2026, le système a sélectionné 5 034 zones à examiner, représentant environ 2,8 millions de lignes de code. Cela correspond à seulement 7 % du noyau Linux : les chercheurs ont privilégié les composants accessibles à des utilisateurs disposant de droits limités.
En douze heures, les agents chargés de l'analyse ont identifié 2 308 problèmes potentiels. Mais détecter quelque chose de suspect dans un programme ne signifie pas nécessairement avoir découvert une véritable faille.
Une deuxième équipe d'agents a donc tenté de reproduire chaque problème dans des machines virtuelles isolées. Résultat : 1 724 vulnérabilités ont effectivement été reproduites, soit près de 75 % des signalements initiaux.
Un taux particulièrement élevé pour une analyse entièrement automatisée de cette ampleur.
948 failles permettant d'obtenir les droits administrateur
Le travail ne s'est pas arrêté là. Les agents ont ensuite tenté de déterminer quelles vulnérabilités pouvaient être utilisées pour obtenir des privilèges plus élevés que ceux normalement accordés à un utilisateur.
Sur Linux, le compte administrateur principal porte le nom de root. Il dispose de permissions très étendues : installer des programmes, modifier des fichiers système, changer des paramètres de sécurité ou accéder à des informations normalement protégées.
Une vulnérabilité dite d'élévation locale de privilèges peut permettre à une personne disposant déjà d'un accès limité à la machine d'obtenir ces autorisations supplémentaires.
Lors des tests d'OpenAI, les agents ont produit 1 169 démonstrations fonctionnelles d'élévation de privilèges. Plusieurs exploitaient toutefois différentes variantes d'un même problème. Après analyse des causes et des correctifs nécessaires, les chercheurs ont retenu 948 vulnérabilités distinctes.
Il faut insister sur un point essentiel : cela ne signifie pas qu'un pirate peut prendre le contrôle de n'importe quel ordinateur Linux directement depuis Internet. Les failles examinées nécessitent un accès local préalable, même limité.
Il s'agit donc d'un scénario différent de celui de la vulnérabilité critique du noyau Linux que nous évoquions fin octobre, pour laquelle des conditions particulières pouvaient permettre une attaque à distance.
Une élévation locale de privilèges n'en reste pas moins dangereuse. Elle peut notamment permettre à un logiciel malveillant déjà présent sur un ordinateur de contourner certaines protections ou à un utilisateur disposant de permissions limitées de prendre davantage de contrôle sur un serveur.
Un coût de 1,2 million de dollars... et dix techniques inédites
Cette campagne a nécessité environ 1,21 million de dollars de crédits API, selon OpenAI. En divisant ce montant par les 948 vulnérabilités distinctes, le coût moyen atteint approximativement 1 279 dollars par faille exploitable.
Un montant important pour un particulier, mais relativement limité à l'échelle des budgets de cybersécurité de grandes entreprises.
À titre de comparaison, OpenAI rappelle que certaines compétitions spécialisées ont proposé des récompenses de 20 000 à 70 000 dollars pour la découverte de vulnérabilités permettant d'obtenir les droits root.
Les chercheurs soulignent cependant que cette comparaison reste théorique. Les 948 découvertes n'ont pas fait l'objet de telles récompenses et ne possèdent pas nécessairement toutes la même gravité.
Plus étonnant encore, l'intelligence artificielle n'a pas seulement réutilisé des techniques d'exploitation déjà connues. En analysant un échantillon de 166 démonstrations, les chercheurs ont identifié au moins dix techniques qu'ils considèrent comme inédites, après consultation d'experts externes.
Autrement dit, le système ne se contente pas de reconnaître des erreurs classiques dans le code : il peut aussi développer de nouvelles approches pour exploiter certaines vulnérabilités.
OpenAI n'a pas publié les détails techniques permettant de reproduire ces nouvelles méthodes.
GPT-6 Cyber découvre également 81 failles dans Firefox
Ce jeudi 5 novembre, OpenAI a dévoilé GPT-6 Cyber, le modèle spécialisé à l'origine de cette campagne de recherche.
Selon l'entreprise, il surpasse nettement son prédécesseur GPT-5.6 Cyber dans plusieurs évaluations de cybersécurité. Dans le test ExploitGym, qui mesure la capacité à exploiter une vulnérabilité précise, son score atteint 48,5 %, contre 32,1 % pour la génération précédente.
Et Linux n'est pas le seul logiciel à avoir bénéficié de ses capacités.
OpenAI annonce également que GPT-6 Cyber a découvert 81 vulnérabilités inédites de gravité élevée dans Firefox, le navigateur de Mozilla. Certaines concernaient des composants déjà examinés par plusieurs générations d'intelligences artificielles.
Les problèmes ont été communiqués à Mozilla avec des propositions de correction, et une partie des correctifs a déjà été publiée.
GPT-6 Cyber n'est toutefois pas accessible à tous les utilisateurs de ChatGPT. Il est initialement réservé à des spécialistes et organisations autorisés, par l'intermédiaire du programme Daybreak Red.
Les développeurs et chercheurs peuvent retrouver les explications sur la page officielle de présentation de GPT-6 Cyber.
Des correctifs proposés, mais pas 948 failles déjà corrigées
Heureusement, cette expérience ne se résume pas à une gigantesque collection de failles de sécurité.
Le système d'OpenAI a également généré des propositions de correctifs. Les résultats sont ensuite examinés par des chercheurs humains avant leur transmission aux responsables des logiciels concernés.
OpenAI indique avoir déjà communiqué 304 découvertes critiques et leurs propositions de correction aux mainteneurs Linux. Le traitement des autres vulnérabilités doit se poursuivre progressivement, en collaboration avec plusieurs partenaires.
Il serait donc incorrect d'affirmer que les 948 problèmes sont déjà corrigés.
Autre nuance : pendant les dix jours de la campagne de recherche, OpenAI a constaté que 61 vulnérabilités avaient déjà été corrigées dans le noyau officiel, que 43 disposaient de correctifs en préparation et que 299 autres faisaient l'objet de discussions publiques.
Ces chiffres illustrent aussi le travail permanent des développeurs Linux et des spécialistes de la sécurité, indépendamment de cette expérience.
Pour les particuliers, il n'existe pas de manipulation spéciale à effectuer à la suite de cette annonce. La meilleure précaution reste de maintenir sa distribution Linux, son navigateur et ses logiciels à jour, tout en évitant d'accorder inutilement des permissions administrateur.
Sur un serveur, la limitation des comptes utilisateurs et l'isolation des services peuvent également réduire les conséquences d'une compromission.
Une nouvelle course entre les chercheurs et les pirates
Au-delà des chiffres, cette démonstration soulève une question majeure pour l'avenir de la cybersécurité.
Pendant longtemps, découvrir une vulnérabilité complexe nécessitait parfois des semaines de recherche. Désormais, des systèmes spécialisés peuvent examiner simultanément plusieurs milliers de portions de code, vérifier leurs résultats et produire des propositions de correctifs.
C'est une avancée considérable pour les équipes chargées de protéger les logiciels. Mais les mêmes progrès techniques pourraient également faciliter le travail d'acteurs malveillants capables de mobiliser des ressources importantes.
OpenAI souhaite donc accélérer la correction des vulnérabilités avant que ces capacités ne deviennent plus largement accessibles. L'entreprise reconnaît toutefois que les vérifications humaines restent indispensables, notamment pour éviter d'introduire de nouveaux problèmes en corrigeant les anciens.
Les résultats détaillés de l'expérience sont disponibles dans le rapport technique publié par OpenAI le 4 novembre.
Après avoir appris à écrire du code, l'intelligence artificielle devient donc capable d'en examiner les faiblesses, de montrer comment certaines peuvent être exploitées et de participer à leur correction. Une évolution spectaculaire qui pourrait transformer en profondeur la sécurité informatique, à condition que les défenseurs puissent conserver une longueur d'avance.