Les modèles d’IA ouverts comblent l’écart de capacités cyber avec les systèmes restreints

Les modèles d’IA à poids ouverts se rapprochent des systèmes restreints dans les opérations cyber autonomes, selon un benchmark de Vals AI rapporté par The Decoder. Le GPT-6 Sol Daybreak d’OpenAI a atteint 80,8 % des objectifs d’attaque simulés, tandis que DeepSeek V4.1 Flash, disponible gratuitement, a atteint 72,8 %, pour un coût annoncé d’environ 3 dollars par exécution contre environ 22 dollars pour le système d’OpenAI.

Ce résultat est important, car la distinction sécuritaire entre modèles propriétaires et modèles publiés ouvertement devient un indicateur de moins en moins utile du risque cyber. Les poids d’un modèle rendus publics ne peuvent être rappelés ou restreints de manière centralisée par leur développeur, tandis que leur coût d’exploitation inférieur peut rendre les attaques prolongées plus pratiques pour les chercheurs comme pour les groupes criminels.

Les résultats sont rapportés, mais ne sont pas vérifiés indépendamment dans les sources disponibles. Ils proviennent du benchmark CyberOffense de Vals AI, tel que le décrit The Decoder, et doivent être considérés comme un signal sur les capacités d’un modèle dans le cadre d’un protocole particulier, et non comme la preuve que l’un ou l’autre système peut compromettre de manière fiable des entreprises réelles.

Ce qu’a testé le benchmark de Vals AI

Le benchmark place chaque agent d’IA sur une machine d’attaque isolée et ne lui fournit qu’une adresse web publique. L’agent ne reçoit aucune assistance humaine lorsqu’il tente de se déplacer dans un réseau d’entreprise simulé. Cette configuration vise à déterminer si un modèle peut découvrir des vulnérabilités, obtenir des identifiants, accroître ses privilèges et poursuivre des objectifs à travers des systèmes connectés.

Dans un scénario plus difficile appelé Lighthouse, The Decoder rapporte que GPT-6 Sol Daybreak a pris le contrôle administratif d’une entreprise simulée, extrait des mots de passe et les a utilisés pour accéder à une seconde entreprise. Il a réalisé 27 objectifs sur 31 en moins de trois heures. DeepSeek en a réalisé 21, selon le même rapport.

Ces chiffres ne mesurent pas directement les taux de compromission dans le monde réel. Ils mettent toutefois en évidence une capacité souvent ignorée par les évaluations classiques de chatbots : planifier sur plusieurs étapes et poursuivre ses opérations lorsque les premières actions échouent.

La durée d’exécution et le coût ont changé la comparaison

L’un des détails les plus importants des résultats concerne le rôle de la durée d’exécution. DeepSeek n’aurait obtenu aucun résultat positif au cours de ses 25 premiers millions de tokens et n’aurait réalisé l’essentiel de ses progrès qu’après avoir dépassé 100 millions de tokens. Les évaluations courtes pourraient donc sous-estimer les performances d’un système à poids ouverts autorisé à continuer ses tentatives.

Cela a des conséquences pratiques pour les défenseurs et les équipes chargées des produits d’IA. Un modèle moins efficace à la minute peut malgré tout intéresser un attaquant s’il peut fonctionner à faible coût pendant des heures ou des jours. La comparaison des coûts rapportée par Vals AI — environ 3 dollars pour une exécution de DeepSeek V4.1 Flash contre 22 dollars pour GPT-6 Sol Daybreak — suggère que le prix, et pas seulement la capacité maximale, influencera le déploiement de ces systèmes.

The Decoder a également cité une analyse publiée en juillet par l’AI Security Institute du Royaume-Uni. Celle-ci estimait que l’écart de capacités cyber entre les modèles de pointe ouverts et fermés s’était réduit à quatre à sept mois, contre six à dix mois pendant la majeure partie de 2025. Il s’agit d’une analyse de l’institut rapportée par la publication, et non d’un nouveau résultat du benchmark de Vals.

Les preuves restent limitées et dépendent des sources

Les affirmations les plus fortes de cet article reposent sur des déclarations de benchmark et de fournisseurs, plutôt que sur des résultats reproduits indépendamment. Les éléments disponibles identifient Vals AI comme la source des résultats de CyberOffense, mais ne fournissent ni la méthodologie complète du benchmark, ni les configurations des modèles, ni les prompts, ni les données de réplication. Ces informations sont essentielles pour comparer équitablement les systèmes.

Les résultats peuvent également dépendre de l’accès aux outils, des budgets de tokens, de la conception du réseau, des règles de notation et du temps accordé à chaque agent. Les progrès tardifs de DeepSeek rendent les budgets de tokens et de temps particulièrement importants. Sans compte rendu standardisé, un modèle peut paraître plus faible ou plus fort selon que l’évaluation favorise la progression rapide ou la persévérance.

The Decoder a en outre rapporté qu’une étude d’Anthropic avait conclu que GLM-5-3, disponible gratuitement, était capable de créer des exploits à un niveau presque équivalent à celui d’un modèle interne appelé Mythos. Cette comparaison constitue elle aussi une affirmation propre à une étude et ne doit pas être considérée comme un classement universel des systèmes ouverts et fermés.

Pourquoi les créateurs et les entreprises doivent s’en préoccuper

Pour les équipes de sécurité, l’implication immédiate est que les défenses doivent prendre en compte des flux de travail automatisés et patients, et pas seulement les attaques rapides. La surveillance devrait se concentrer sur les séquences inhabituelles de reconnaissance, d’accès aux identifiants, d’élévation de privilèges et de déplacement latéral. Les tests devraient également inclure des agents fonctionnant longtemps avec un accès réaliste aux outils, car les sessions courtes peuvent manquer le comportement mis en évidence par Vals AI.

Pour les concepteurs d’IA, ces résultats posent un problème d’ingénierie à double tranchant. Les mêmes capacités qui permettent à un agent d’identifier des chemins exploitables peuvent aider à découvrir des vulnérabilités, valider des correctifs et effectuer un triage défensif. Vals AI soutiendrait que les modèles offensifs peuvent aider les entreprises à trouver et corriger les failles en premier. Transformer cette possibilité en produit sûr exige des limites d’autorisation strictes, des environnements isolés, des journaux d’audit et des contrôles empêchant les outils défensifs de devenir des systèmes d’intrusion polyvalents.

Les acheteurs professionnels doivent éviter de considérer automatiquement les API fermées comme plus sûres. Les contrôles et la surveillance du fournisseur peuvent faciliter la gouvernance des modèles restreints, mais le coût et les capacités rapportés des systèmes à poids ouverts signifient que les organisations peuvent rencontrer des modèles cyber puissants échappant au contrôle d’un fournisseur. Les revues d’achat devront examiner non seulement le modèle utilisé par l’entreprise, mais aussi les modèles auxquels peuvent accéder les employés, les sous-traitants et les attaquants.

Ce qu’il faudra surveiller ensuite

Les prochains signaux utiles seront des reproductions indépendantes des résultats CyberOffense de Vals AI, avec des règles de notation complètes et des budgets de tokens égalisés. Les chercheurs devraient également rendre compte des performances sur différentes architectures réseau, permissions d’outils et limites de temps, au lieu de s’appuyer sur un seul score phare.

Les défenseurs devraient surveiller les campagnes d’intrusion assistées par IA de plus longue durée, les nouvelles évaluations de modèles à poids ouverts après une exécution prolongée et les signes que des agents automatisés peuvent passer de réseaux simulés à des environnements de production mal protégés. Du côté des produits, les progrès significatifs incluront de meilleurs contrôles d’autorisation, des pistes d’audit plus claires et des agents défensifs capables de démontrer leur valeur sans accès illimité aux systèmes de l’entreprise.

Point de vue de Creati.ai

L’évolution centrale n’est pas que les modèles ouverts aient définitivement égalé les modèles fermés. C’est que l’écart restant pourrait n’offrir que peu de réconfort lorsqu’un système ouvert est moins cher, persistant et difficile à restreindre une fois publié. Les capacités, le coût d’exploitation et le contrôle deviennent des variables distinctes du risque cyber.

Pour les entreprises d’IA et les équipes d’entreprise, la réponse raisonnable consiste à améliorer les mesures et à renforcer les limites de déploiement, plutôt qu’à paniquer face à un benchmark isolé. Les résultats de Vals constituent un avertissement important, mais leur véritable portée dépendra de la confirmation, par des tests indépendants, que les modèles ouverts peuvent maintenir ces résultats dans des environnements variés et réalistes.