Pourquoi tous les laboratoires ont soudain leur modèle « Cyber »

Google vient de sortir Gemini 3.5 Flash Cyber, une version affinée de Gemini 3.5 Flash, conçue spécifiquement pour trouver et corriger des vulnérabilités logicielles. Elle est arrivée le 21 juillet 2026, le jour même où Sakana AI publiait Fugu-Cyber, la déclinaison cybersécurité de son orchestrateur Fugu. Deux mois et demi plus tôt, le 7 mai, OpenAI sortait déjà GPT-5.5-Cyber. Trois laboratoires de pointe, trois modèles « Cyber », le tout en un été. Cela mérite qu'on s'y arrête.

La même forme, trois fois

Alignez les trois, et la tendance saute aux yeux :

• GPT-5.5-Cyber (OpenAI, 7 mai) : 85,6 % sur CyberGym, intégré à l'initiative « Trusted Access for Cyber » / Daybreak d'OpenAI, réservé aux équipes de cybersécurité vérifiées.
• Fugu-Cyber (Sakana AI, 21 juillet) : 86,9 % sur CyberGym, déclinaison spécialisée de son orchestrateur multi-modèles, accessible uniquement sur demande examinée à la main.
• Gemini 3.5 Flash Cyber (Google, 21 juillet) : 83,2 % sur CyberGym — juste derrière GPT-5.5-Cyber malgré un modèle de base bien plus petit et moins coûteux — réservé aux gouvernements et aux partenaires de confiance, via l'agent CodeMender de Google.

Chacun de ces modèles est, premièrement, une version affinée ou une déclinaison spécialisée d'un modèle généraliste existant, et non un modèle entraîné de zéro ; deuxièmement, évalué sur la même poignée de benchmarks de sécurité — CyberGym en tête, parfois accompagné de CTI-REALM ou d'ExploitGym ; et troisièmement, délibérément absent de l'API publique. Tous les laboratoires ont retenu la même stratégie : prendre le modèle phare, le spécialiser, le mettre sous clé.

Pourquoi verrouiller du tout

Un modèle doué pour trouver de vraies failles dans du vrai code est, par construction, tout aussi doué pour trouver des failles exploitables à des fins offensives. Les trois laboratoires traitent le problème de la même manière, au lieu de faire comme s'il n'existait pas : accès restreint — équipes vérifiées, gouvernements et partenaires uniquement, ou examen manuel des demandes — et, chez Sakana, un point de contrôle inscrit dans l'architecture, une découverte devant passer par une validation humaine avant d'être tenue pour réelle. Aucun de ces modèles n'est proposé en téléchargement libre ni derrière une clé d'API en libre-service.

Ce que cela dit de la direction que prend la course

L'intéressant n'est pas qu'un de ces modèles impressionne en particulier : c'est que « proposer une déclinaison durcie, verrouillée et spécialisée en sécurité de son modèle phare » soit devenu, à la mi-2026, une case obligatoire pour un laboratoire de pointe — exactement comme « proposer un mode de raisonnement » l'était un an plus tôt. Trouver et corriger des vulnérabilités à la vitesse de la machine devient une capacité sur laquelle les laboratoires se concurrencent frontalement, et non plus un simple effet secondaire de l'intelligence générale. Reste à voir si la prochaine vague fera descendre cette capacité jusqu'aux modèles à poids ouverts, comme ce fut le cas pour le raisonnement, ou si les déclinaisons « cyber » resteront un palier verrouillé à demeure, précisément parce que l'enjeu de sécurité est cette fois d'une autre nature.

Mise à jour : l'exception qui trace la frontière

Le jour même de la publication de cet article, l'équipe Foundation AI de Cisco a discrètement publié Antares — de petits modèles de sécurité (350 M/1 Md) sous Apache 2.0, entièrement ouverts, téléchargeables, sans verrou. Cela contredit-il la tendance ? Pas vraiment : cela la précise. Antares fait de la localisation de vulnérabilités : à partir d'un CVE déjà publié, il identifie précisément quels fichiers d'une base de code contiennent la faille. Il ne découvre pas de failles inédites et n'écrit pas d'exploits, ce qui explique exactement pourquoi Cisco a pu le publier ouvertement là où OpenAI, Google et Sakana ont tous choisi de verrouiller. La ligne vers laquelle converge le secteur n'est donc pas « les modèles de sécurité sont verrouillés », mais : trouver de nouvelles failles reste sous clé, trier les failles connues est offert. (Le gain d'efficacité mériterait à lui seul un article : sur cette tâche, Antares-1B bat GLM-5.2 et ses 753 milliards de paramètres, pour environ un cent-soixante-dixième du coût de GPT-5.5 par évaluation.)

Mise à jour — 27 juillet 2026 : Microsoft publie un tableau de scores

Six jours plus tard, Microsoft annonçait MAI-Cyber-1-Flash, en faisant ce qu'aucun autre n'avait fait : publier l'ensemble du plateau sur un seul et même axe.

Douze points d'écart. Tous les modèles évoqués ici tenaient dans une fourchette de 83 à 87 % ; celui de Microsoft en sort. Mais lisez attentivement la colonne de gauche, car l'affirmation intéressante n'est pas dans le score : elle est dans le signe plus.

Le produit, c'est le routage

MAI-Cyber-1-Flash n'est pas un modèle plus gros. C'est un modèle compact, dérivé de la lignée MAI-Thinking-1, et Microsoft précise explicitement qu'il a été « conçu pour traiter efficacement jusqu'à 90 % de toutes les tâches » afin que MDASH puisse réserver GPT-5.4 pour « les 10 % de tâches exceptionnellement difficiles qui en ont réellement besoin ». Les 95,95 % appartiennent au système routé, pas au modèle.

Le résultat marquant n'est donc pas « notre modèle cyber est meilleur que le vôtre », mais « un spécialiste bon marché doublé d'une voie d'escalade vers le haut du panier bat chacun des deux pris isolément, pour moitié moins cher ». Microsoft revendique 50 % d'économie par rapport à sa propre meilleure configuration MDASH antérieure — GPT-5.4 + 5.4 mini + 5.3 codex —, et non par rapport à un concurrent. L'entreprise s'est optimisée contre elle-même.

Voilà qui déplace la tendance décrite dans cet article. Les trois premiers laboratoires ont traité le « cyber » comme un problème de capacité : prendre le modèle phare, le spécialiser, le verrouiller. Microsoft le traite comme un problème économique. Sa justification mérite d'être citée, car c'est elle qui se généralise : « vu l'énorme volume d'attaques entrantes, le coût en tokens est désormais la véritable contrainte pour les défenseurs ». Pas la capacité. Le coût.

Le pari est réellement différent, et c'est celui vers lequel Antares pointait déjà depuis l'autre extrémité. Cisco a fait petit et ouvert parce que le tri est un travail peu coûteux ; Microsoft a fait petit et routé parce que l'essentiel du travail de sécurité est peu coûteux. Les deux affirment que le modèle de pointe est surdimensionné pour la majeure partie de la tâche ; ils divergent seulement sur qui doit se réserver les 10 % restants.

Le rempart, ce sont les données, pas le modèle

Microsoft décompose son avantage en trois volets — modèle, données, dispositif — et reconnaît sans détour que le deuxième est le seul réellement défendable : 100 000 milliards de signaux de sécurité par jour, couvrant identités, terminaux, cloud et réseau ; l'historique des exploits réels et de leurs correctifs, tenu par le Microsoft Security Response Center ; et la télémétrie de 1,6 million de clients. L'entreprise décrit une boucle d'apprentissage par renforcement en continu, où chaque action est reliée à son résultat : ce qui était exploitable, ce qui a été contenu, ce qui a effectivement fonctionné.

« Personne ne peut fabriquer cet historique » est une affirmation forte, et globalement juste. Elle sous-entend aussi que la course aux modèles cyber ne se gagnera peut-être pas sur la seule qualité du modèle — conclusion inconfortable pour les laboratoires dont le modèle est le seul actif.

Ce que cela fait à la question du verrouillage

Cet article se terminait sur une question : les déclinaisons « cyber » resteront-elles un palier verrouillé à demeure ? La réponse de Microsoft est la plus restrictive à ce jour, et elle emprunte une autre voie. MAI-Cyber-1-Flash n'est verrouillé ni derrière une vérification, comme GPT-5.5-Cyber, ni derrière un statut de partenaire, comme Gemini 3.5 Flash Cyber. Il n'est tout simplement pas disponible en tant que modèle : on l'obtient en achetant MDASH, avec cloisonnement des clients, contrôles par rôles, traçabilité et exécution en bac à sable sans accès à internet.

La ligne dégagée par Antares tient toujours — trouver de nouvelles failles reste sous clé, trier les failles connues est offert —, mais un second axe apparaît : ce qu'on verrouille glisse du modèle vers le système. Sakana a verrouillé un orchestrateur. Google est passé par CodeMender. Microsoft livre un dispositif de plus de cent agents et ne vendra pas le modèle qu'il contient. Pour une capacité à ce point ambivalente, le dispositif constitue peut-être un meilleur point de contrôle que les poids : on peut le journaliser, le confiner, le révoquer.

L'évolution est discrète mais lourde de sens pour qui espérait voir cette capacité se démocratiser comme le raisonnement. Le raisonnement est devenu bon marché et ouvert parce qu'il était une propriété des modèles. Si la capacité cyber devient une propriété des systèmes, ce moment pourrait ne jamais venir.

Mise à jour — 4 août 2026 : l'autre moitié de la frontière, et elle est grande ouverte

Tous les modèles de ce billet effectuent jusqu'ici un travail à potentiel offensif : trouver la vulnérabilité, écrire l'exploit, ou trier celle qu'un autre a déjà trouvée. Shieldstral, de Mistral, fait un autre métier de la sécurité — la classification de sûreté de contenu, décider si un prompt, une réponse ou une image enfreint une politique — et il éclaire, depuis l'autre versant, la frontière que ce billet trace depuis le début.

Il sort sous Apache 2.0, 3 milliards de paramètres, sur un seul GPU de 16 Go. Aucune vérification préalable, aucun statut de partenaire, aucun harnais à acheter. La publication la plus permissive de tout ce billet, et de loin.

Le plus révélateur n'est pourtant pas Shieldstral lui-même, mais la liste des modèles auxquels il a été comparé :

Deux sous-domaines contemporains de la sécurité, et tous les acteurs sérieux du premier sont verrouillés quand tous ceux du second sont téléchargeables. OpenAI verrouille GPT-5.5-Cyber et ouvre les poids de GPT-OSS-Safeguard. Google verrouille Gemini 3.5 Flash Cyber et ouvre les poids de ShieldGemma. Les mêmes laboratoires tranchent en sens inverse selon le côté de la ligne où tombe la capacité.

Voilà qui clôt la question posée en ouverture. « Les déclinaisons cyber resteront-elles un palier verrouillé à demeure ? » était mal posée, car le « cyber » n'a jamais formé un palier unique. Le secteur a trié son outillage de sécurité selon le potentiel de double usage avec plus de rigueur qu'on ne le lui accorde : la capacité qui peut attaquer est verrouillée ; la capacité qui ne peut que défendre est non seulement ouverte, mais ouverte de façon concurrentielle, avec une demi-douzaine de laboratoires qui courent sur les mêmes benchmarks.

Deux précisions sur les mises à jour précédentes. D'abord, la ligne dégagée par Antares — trouver de nouvelles failles reste sous clé, trier celles déjà connues est offert — vaut au-delà du seul travail sur les vulnérabilités : le critère réel est le potentiel offensif, et si Antares est ouvert, c'est parce que le tri n'en a aucun, pas parce que le modèle est petit. Ensuite, le constat tiré de Microsoft — ce qu'on verrouille glisse du modèle vers le système — s'inverse ici. La capacité défensive, elle, glisse du système vers un modèle que l'on peut insérer n'importe où. Shieldstral pousse la logique le plus loin : sa politique est un texte en langage courant fourni au moment de l'inférence, et non une propriété gravée dans les poids, si bien qu'un seul checkpoint s'adapte aux règles de n'importe quel déploiement.

Il y a aussi un signal institutionnel : Shieldstral est sorti avec Mistral comme membre fondateur de l'Open Secure AI Alliance, aux côtés de NVIDIA et d'autres. L'ouverture défensive s'appuie désormais sur un consortium, au lieu de dépendre de la bonne volonté de chaque fournisseur publication après publication : c'est le type de structure qui inscrit une norme dans la durée.

La question de la démocratisation, sur laquelle se terminait ce billet, appelle donc une réponse à deux faces. La capacité offensive ne s'est pas diffusée comme l'a fait le raisonnement et, au vu des éléments disponibles, ne le fera pas. La capacité défensive, elle, l'a déjà fait — plus vite et plus complètement que le raisonnement n'y est jamais parvenu. Et gratuitement.

Mise à jour — 7 août 2026 : le verrou se referme sur un modèle entier, pas sur une variante

Chaque mise à jour ci-dessus portait sur une variante — un fine-tune spécialisé, détaché du modèle phare et verrouillé pendant que celui-ci continuait de sortir normalement. Le 7 août, OpenAI a annoncé quelque chose de catégoriquement différent : les évaluations internes d'Astra, un futur modèle de pointe — pas une déclinaison cyber d'un modèle existant — ont montré des capacités cyber et de codage agentique assez fortes pour qu'OpenAI ne puisse « pas exclure » le seuil critique de cybersécurité au sens de son propre Preparedness Framework. Les modèles précédents, y compris GPT-5.6 Sol, avaient été évalués au niveau élevé (« High »). Astra est le premier à mettre le niveau critique en jeu, tout court.

Critique, dans ce cadre, désigne un modèle capable d'identifier et de développer des exploits zero-day fonctionnels, de toute gravité, sur de nombreux systèmes critiques réels et durcis, sans intervention humaine — ou de concevoir et d'exécuter des stratégies d'attaque de bout en bout, entièrement nouvelles, contre une cible durcie, à partir d'un seul objectif de haut niveau. C'est une affirmation d'une autre nature que tout ce qui figure ailleurs dans ce billet. GPT-5.5-Cyber, Fugu-Cyber et Gemini 3.5 Flash Cyber sont tous des variantes spécialisées et verrouillées, à côté d'un modèle phare normalement disponible. Astra, c'est le modèle phare, et OpenAI restructure désormais la façon dont ce modèle lui-même est construit — environnements de test isolés, accès réseau et aux outils restreint, chiffrement des poids, exécution en bac à sable — et a mis en pause les activités internes sur Astra qui ne satisfont pas encore ces contrôles renforcés. Le verrou n'est plus « quel modèle publions-nous », mais « comment autorisons-nous celui-ci à continuer d'être entraîné ».

Une phrase de la divulgation fait un travail discret et délibéré : « Astra est un modèle à venir, et n'a pas été impliqué dans l'exploitation de Hugging Face. » OpenAI répond à une question avant qu'on la pose — désamorçant la lecture selon laquelle cette divulgation et la brèche d'évaluation survenue deux semaines et demie plus tôt seraient une seule et même histoire. Ce n'est pas le cas, mais le réflexe de le préciser explicitement, sans qu'on le demande, en dit long sur la probabilité que les deux soient lues ensemble.

Le Preparedness Framework n'avait franchi un tel seuil qu'une seule fois auparavant : la biologie, en juin 2025, qu'OpenAI cite ici comme précédent pour le même plan d'action — renforcer les garde-fous, élargir les tests par des tiers, ajouter des contrôles de sécurité, continuer à livrer plutôt que s'arrêter. Surveillance universelle de la chaîne de raisonnement pour les comportements agentiques risqués ou désalignés, agences gouvernementales et instituts de sécurité conviés à tester directement la capacité, contrôles de sécurité recommandés publiés à l'intention des testeurs tiers. Rien de tout cela n'est un nouveau dispositif ; c'est la réponse au seuil biologique, réutilisée.

Ce qui est nouveau, c'est la catégorie. Le seuil critique en biologie porte sur un modèle qui aide quelqu'un d'autre à causer un dommage hors du monde numérique. Le seuil critique en cyber, chez un modèle aussi capable en codage agentique, est une affirmation sur un système qui pourrait agir de façon autonome contre d'autres systèmes informatiques — y compris, dans le fil que ce billet suit depuis juillet, le genre d'infrastructure que deux brèches d'évaluation ont déjà atteinte par accident ces trois dernières semaines, avec une capacité bien plus faible. La question ouverte que ce billet suit depuis juillet — la capacité cyber à double usage descendra-t-elle vers le grand public, comme l'a fait le raisonnement — a désormais une complication en amont. La pointe elle-même pourrait arriver verrouillée au niveau du modèle, le même laboratoire traçant cette ligne pour la première fois sur son propre modèle phare, et non sur une déclinaison qu'il pouvait se permettre de restreindre.