OpenAI a octroyé à l'Union européenne l'accès à une version spécialisée de son modèle, GPT-5.5-Cyber, spécifiquement conçue pour les enjeux de cybersécurité. Plus que le simple partage de l'outil, ce sont les détails de son architecture remaniée et les méthodes d'évaluation choisies qui marquent une rupture nette avec la stratégie, plus prudente, adoptée par Anthropic.
Le modèle repose sur une architecture de mélange d'experts totalisant environ 1 200 milliards de paramètres, au sein de laquelle 12 experts actifs de 120 milliards de paramètres chacun sont dédiés à des catégories de menaces spécifiques. Sa phase d'ajustement fin s'est appuyée sur des jeux de données d'attaques synthétiques calqués sur le cadre MITRE ATT&CK, en utilisant une variante du RLHF optimisée par des agents analystes spécialisés. En conséquence, le modèle affiche un taux de précision de 94,7 % en zero-shot sur le benchmark de détection MITRE, soit une progression de 11 points par rapport à la version GPT-5 précédente.
La méthodologie d'évaluation suscite toutefois des interrogations, les tests ayant été réalisés principalement sur des jeux de données internes à OpenAI plutôt que sur des banques de données publiques et indépendantes. L'absence d'études d'ablation détaillant la contribution réelle de chaque composant de l'ajustement fin est également à noter. Ce manque de transparence rend difficile de déterminer si ces performances découlent d'une véritable spécialisation en cybersécurité ou simplement de l'augmentation globale de la puissance de calcul.
Face aux travaux menés en parallèle par Anthropic sur son modèle Mythos, dévoilé en avril 2026, les approches divergent fondamentalement. Alors qu'Anthropic privilégie une vérification constitutionnelle à plusieurs niveaux et publie des rapports exhaustifs sur les modes de défaillance, OpenAI se contente de fournir des indicateurs agrégés. Cette différence illustre deux visions opposées de la transparence requise pour les modèles destinés aux infrastructures critiques.
Le déploiement de GPT-5.5-Cyber au sein de l'UE permet aux régulateurs et aux opérateurs d'infrastructures stratégiques d'éprouver le modèle sur des scénarios réels, sans exporter de données brutes hors du territoire européen. Une telle initiative crée un précédent en matière d'accès contrôlé aux modèles de pointe, susceptible d'influencer les futurs accords sur l'usage transfrontalier de l'intelligence artificielle.
Néanmoins, la résistance du modèle face à des attaques adaptatives ciblant spécifiquement ses briques de sécurité reste à démontrer. La communauté scientifique devrait donc se concentrer sur l'audit indépendant de sa vulnérabilité aux injections de commandes et sur la réplication de ces résultats via des jeux de données ouverts.
En conclusion, si l'accès à GPT-5.5-Cyber offre à l'Union européenne un levier pour accélérer l'élaboration de ses propres normes d'évaluation, il impose également des investissements accrus dans des processus de vérification souverains et indépendants.
