OpenAI a détaillé un nouveau système de sécurité interne appelé GPT-Red, le présentant comme un moyen d’automatiser l’une des parties les plus difficiles du déploiement de modèles : trouver les failles avant les utilisateurs. Dans un article publié par OpenAI, l’entreprise a indiqué que GPT-Red est un modèle automatisé de red teaming entraîné pour découvrir des vulnérabilités, en particulier des faiblesses liées à l’injection de prompts, puis utilisé pour renforcer de nouveaux modèles pendant l’entraînement.

Cette annonce est importante car l’injection de prompts reste l’un des obstacles les plus évidents au déploiement d’agents IA et de modèles utilisant des outils dans des flux de travail réels. À mesure que les modèles se connectent à des navigateurs, des applications, des fichiers et des outils externes, ils deviennent plus utiles, mais aussi plus exposés à des instructions hostiles dissimulées dans des e-mails, des pages web, des dépôts de code ou des sorties logicielles. L’argument d’OpenAI est qu’un red teaming uniquement humain ne peut pas suivre le rythme de ces risques, et que le travail de sécurité lui-même doit désormais être automatisé.

Selon OpenAI, GPT-Red a déjà été intégré à l’entraînement de GPT-5.6, et le résultat est un modèle que l’entreprise qualifie de plus robuste à ce jour face à l’injection de prompts. Ces affirmations de performance proviennent des tests internes d’OpenAI et doivent être considérées comme des déclarations du fournisseur, sauf réplication indépendante. Néanmoins, la publication offre l’un des aperçus les plus clairs à ce jour de la manière dont un laboratoire de pointe tente de transformer les tests adversariaux d’un processus de revue manuel en une boucle d’entraînement évolutive.

Ce qu’OpenAI dit que GPT-Red fait

OpenAI décrit GPT-Red comme son meilleur modèle automatisé actuel de red teaming de sécurité. Plutôt que d’agir comme un benchmark statique, GPT-Red se comporte davantage comme un attaquant actif : il envoie des prompts, observe comment les modèles cibles répondent et itère vers une condition d’échec. Dans la vision d’OpenAI, cela le rapproche davantage d’un red teamer humain que d’un jeu d’évaluation classique.

L’entreprise a indiqué que le système avait été entraîné grâce à l’apprentissage par renforcement en self-play. GPT-Red attaque, tandis qu’un ensemble de modèles défenseurs tente de résister à l’attaque tout en accomplissant la tâche prévue. GPT-Red est récompensé lorsqu’il parvient à déclencher un échec valide, comme une injection de prompts réussie, tandis que les défenseurs sont récompensés pour rester concentrés sur la tâche et résister à la manipulation. À mesure que les défenseurs s’améliorent, a précisé OpenAI, GPT-Red doit trouver des stratégies d’attaque plus fortes et plus variées.

Cette configuration est importante parce que de nombreux tests publics de robustesse perdent de la valeur une fois que les meilleurs modèles s’y suradaptent ou les saturent tout simplement. OpenAI a explicitement indiqué que les évaluations de robustesse couramment utilisées avaient déjà été saturées par ses derniers modèles. GPT-Red est présenté comme une réponse à ce problème : au lieu de tester contre un ensemble fixe de prompts, OpenAI tente de générer en continu de nouvelles attaques.

L’entreprise a également indiqué avoir entraîné GPT-Red à une échelle de calcul comparable à celle de certains de ses plus grands runs de post-entraînement, qualifiant cela de quantité de compute sans précédent consacrée uniquement à l’amélioration de la sécurité. OpenAI n’a pas fourni de chiffre concret de compute dans le matériel fourni, de sorte que l’ampleur est indicative plutôt qu’indépendamment mesurable à partir de la seule annonce.

Pourquoi l’injection de prompts est au centre

La publication se concentre sur l’injection de prompts parce que c’est l’un des problèmes de sécurité les plus concrets pour les systèmes d’IA utilisant des outils. OpenAI a noté que les modèles interagissent de plus en plus avec des données tierces via des navigateurs, des applications connectées, des fichiers locaux et d’autres outils. Ces intégrations créent une vraie utilité, mais elles offrent aussi aux attaquants de nouvelles surfaces d’influence.

Dans l’exemple donné par OpenAI, une instruction malveillante pourrait être intégrée dans une page web, un e-mail, une réponse d’outil ou un fichier de dépôt, puis orienter le modèle vers un comportement dangereux, comme l’envoi de données sensibles ailleurs. Pour les équipes produit qui développent des agents IA, ce n’est pas un problème abstrait. Une fois qu’un LLM peut lire des systèmes externes et prendre des actions, une instruction cachée peut entrer en concurrence avec les règles voulues par le développeur.

Cela explique en partie pourquoi OpenAI relie GPT-Red non seulement à l’évaluation, mais directement à l’entraînement du modèle. L’entreprise a indiqué avoir utilisé GPT-Red pour générer des injections de prompts pour l’entraînement adversarial de GPT-5.6. Autrement dit, le système ne se contente pas de découvrir des failles pour un rapport de sécurité ; il produit des données d’entraînement destinées à rendre les futurs modèles plus difficiles à manipuler.

OpenAI a également indiqué qu’elle maintient GPT-Red séparé des modèles qu’elle déploie. La raison invoquée est d’éviter d’intégrer des capacités malveillantes délibérément entraînées dans des systèmes largement accessibles, tout en transférant les bénéfices défensifs aux modèles de production. Cette séparation est notable pour les acheteurs d’IA d’entreprise qui craignent que des outils de test de sécurité plus puissants ne deviennent eux-mêmes des outils d’attaque à double usage s’ils sont largement exposés.

Les affirmations de performance, et ce qui est vérifié

Les affirmations de performance les plus fortes de la publication proviennent d’OpenAI elle-même. L’entreprise a indiqué que les modèles précédents étaient très vulnérables aux attaques d’injection de prompts de GPT-Red, et que GPT-5.6 Sol était devenu son modèle le plus robuste à ce jour après un entraînement adversarial avec GPT-Red.

Plus précisément, OpenAI a indiqué que GPT-5.6 Sol avait obtenu six fois moins d’échecs sur son benchmark d’injection de prompts directe le plus difficile que son meilleur modèle de production d’il y a quatre mois. C’est une affirmation importante si le benchmark est stable et représentatif, mais l’annonce ne fournit pas suffisamment de détails dans les éléments transmis pour évaluer la conception du benchmark, la taille de l’échantillon ou la manière dont le résultat se transpose aux charges de travail clients. Par conséquent, ce chiffre est à comprendre surtout comme un signal de progrès interne, et non comme une norme à l’échelle du marché.

OpenAI a également déclaré que GPT-Red peut casser presque tous les modèles sur lesquels il est testé, y compris des modèles internes et de production jusqu’à GPT-5.5. Là encore, il s’agit d’une affirmation rapportée par le fournisseur. Elle souligne la valeur de GPT-Red au sein du pipeline de sécurité d’OpenAI, mais les observateurs externes ne disposent pas encore de suffisamment de détails pour en juger indépendamment l’étendue ou la reproductibilité.

L’une des affirmations les plus intéressantes concerne la généralisation. OpenAI a indiqué avoir testé GPT-Red dans une version reproduite d’une arène d’injection de prompts indirecte décrite par Dziemian et al. (2025), en utilisant des environnements et des objectifs distincts des scénarios d’entraînement de GPT-Red. Dans cette évaluation, l’entreprise a indiqué que GPT-Red avait trouvé des attaques réussies dans 84 % des scénarios, contre 13 % pour des red teamers humains attaquant GPT-5.1. Si cela est exact, cela suggère que la recherche adversariale automatisée pourrait déjà surpasser les tests manuels dans certains environnements limités. Mais comme l’expérience est décrite par OpenAI plutôt que par un évaluateur externe dans le matériel source, elle reste dans la catégorie du benchmark rapporté par le fournisseur.

Preuves, limites et ce qui reste flou

Les faits essentiels de cette histoire proviennent de l’annonce officielle d’OpenAI. Le lot comprenait également un article de type dépêche Google News pointant vers le même développement, mais sans éléments de fond supplémentaires. Cela signifie que les affirmations les plus importantes ici — échelle de calcul, taux de réussite des attaques, gains sur les benchmarks et généralisation — sont principalement attribuées à OpenAI.

Ce que l’annonce établit clairement, c’est le processus : OpenAI a construit un système interne automatisé de red teaming, l’a entraîné avec du self-play, s’est fortement concentré sur l’injection de prompts et l’a utilisé pour entraîner adversarialement GPT-5.6. Ce qui reste moins clair à partir des preuves disponibles, c’est la validité externe.

OpenAI ne fournit pas, dans le matériel transmis, de méthodologie détaillée pour son benchmark le plus difficile, de distributions exactes des modèles de menace, de compromis de coût, ni de surcharge opérationnelle liée à l’exécution de GPT-Red à grande échelle. L’entreprise ne montre pas non plus comment les performances tiennent face à des organisations de red teaming totalement indépendantes ou dans des workflows d’agents de production à long horizon. Elle indique toutefois qu’elle continuera d’utiliser GPT-Red en parallèle avec le red teaming humain et tiers, des protections en couches et une surveillance en temps réel. C’est un rappel utile qu’OpenAI ne présente pas GPT-Red comme un substitut complet à des contrôles de sécurité plus larges.

Ce que cela signifie pour les constructeurs et les équipes IA d’entreprise

Pour les développeurs IA, l’enseignement pratique est que la sécurité évolue d’une évaluation statique vers un entraînement adversarial continu. Les équipes qui lancent des agents IA, des produits d’assistant de code ou des systèmes d’automatisation de flux de travail pourraient avoir besoin de leur propre équivalent interne de GPT-Red, même à plus petite échelle. Un benchmark de sécurité figé est moins utile une fois que les modèles apprennent le test. La génération dynamique d’attaques pourrait devenir une composante de la pile standard.

Pour les acheteurs d’IA d’entreprise, l’annonce souligne où doivent aller les prochaines questions d’approvisionnement. Il ne suffit plus de demander si un fournisseur de modèles dispose d’une politique de sécurité. Les acheteurs devraient demander comment le fournisseur teste l’injection de prompts dans des contextes d’utilisation d’outils, si ces tests incluent des attaques indirectes provenant de contenus tiers, comment les découvertes adversariales alimentent l’entraînement, et quelle surveillance d’exécution reste en place après le déploiement.

La publication renforce aussi un point de concurrence dans l’IA d’entreprise. Les fournisseurs de modèles veulent de plus en plus être adoptés dans des environnements où les systèmes peuvent naviguer, lire des documents, déclencher des outils et agir sur des données d’entreprise. Cela rend la robustesse face à l’injection de prompts commercialement importante, pas seulement intéressante sur le plan académique. Si OpenAI peut montrer que GPT-5.6 et GPT-5.6 Sol sont nettement plus difficiles à manipuler dans des environnements d’outils réalistes, cela pourrait compter pour les acheteurs qui comparent des modèles de pointe pour des flux de travail sensibles.

En même temps, l’approche d’OpenAI soulève une question de coût. Entraîner des modèles d’attaque internes à grande échelle de post-entraînement est plausible pour un laboratoire de pointe, mais bien plus difficile pour des fournisseurs de modèles plus petits ou des startups applicatives. Cela pourrait creuser l’écart d’infrastructure de sécurité entre les fournisseurs de plateforme et l’écosystème construit au-dessus d’eux.

Ce qu’il faut surveiller ensuite

Le prochain signal à surveiller est la validation indépendante. Si des chercheurs externes, des sociétés de red teaming tierces ou des clients commencent à signaler que GPT-5.6 montre une résistance nettement meilleure à l’injection de prompts dans des workflows d’agents en conditions réelles, l’annonce gagnera en poids.

Un autre signal clé sera de savoir si OpenAI publie des détails méthodologiques plus approfondis sur GPT-Red, notamment la conception de l’évaluation, les performances de transfert au-delà de l’injection de prompts et l’efficacité des coûts. Son utilisation de l’apprentissage par renforcement en self-play suggère un schéma réutilisable pouvant s’étendre à d’autres catégories de sécurité, mais cela reste non démontré à partir des preuves présentées ici.

Il sera également utile de surveiller si OpenAI commercialise indirectement une partie de ce travail via des contrôles d’entreprise, des outils d’évaluation ou des API, même si GPT-Red reste interne. Si les développeurs qui bâtissent sur OpenAI peuvent accéder à de meilleurs cadres de test ou à des diagnostics plus clairs d’injection de prompts, l’impact de GPT-Red s’étendra au-delà de l’entraînement des modèles d’OpenAI.

Enfin, la question plus large est de savoir si d’autres laboratoires suivront la même voie. Si le red teaming automatisé devient une composante normale du développement des modèles de pointe, les comparaisons entre systèmes de type GPT-Red pourraient devenir aussi importantes que les comparaisons entre les modèles de base eux-mêmes.

Perspective Creati.ai

L’annonce d’OpenAI concerne moins une fonctionnalité de sécurité unique qu’un changement de philosophie de développement. L’entreprise soutient que l’alignement et la robustesse ne peuvent pas reposer uniquement sur des tests artisanaux et des revues humaines périodiques lorsque les modèles opèrent à travers des outils et des données externes. GPT-Red représente une tentative d’industrialiser la découverte des défaillances.

Cela ne signifie pas que le problème est résolu. Les gains mis en avant autour de GPT-5.6 et GPT-5.6 Sol sont ceux d’OpenAI, et l’injection de prompts reste une cible mouvante. Mais pour les équipes qui construisent de l’IA d’entreprise, des produits d’assistant de code et des agents IA, la leçon stratégique est claire : les systèmes robustes seront de plus en plus entraînés contre des attaquants actifs, et non simplement vérifiés à l’aide de grilles statiques. En ce sens, GPT-Red pourrait être surtout important comme signe de la direction que prend l’ingénierie de la sécurité des modèles, et pas seulement comme projet interne d’OpenAI.