OpenAI a dévoilé le 15 juillet 2026 un modèle d’intelligence artificielle nommé GPT-Red, conçu pour attaquer ses propres systèmes. Les résultats parlent d’eux-mêmes : sur un banc de test d’injection de prompt, ce red-teamer automatisé réussit 84 % des attaques, contre seulement 13 % pour des experts humains. Ce chiffre interpelle. Pourquoi une entreprise qui commercialise des IA construit-elle une IA capable de les pirater ? La réponse tient en un mot : la cybersécurité.
GPT-Red : un red-teamer interne pour renforcer la sécurité des modèles
GPT-Red n’est pas un produit destiné au public. OpenAI l’a développé en interne pour traquer les vulnérabilités de ses propres modèles avant qu’un attaquant ne les exploite. Le modèle fonctionne comme un expert humain en red teaming, mais en version automatisée et bien plus rapide. Il envoie un prompt, observe la réaction du modèle cible, ajuste son attaque et recommence. Ce processus itératif s’appuie sur une puissance de calcul inédite, dédiée exclusivement à la sécurité. L’annonce, publiée sur le blog d’OpenAI, promet également un pré-print détaillé.
Injection de prompt et self-play : le moteur de l’attaque
L’injection de prompt est une technique qui glisse des instructions cachées dans des données lues par un modèle – un mail, une page web, un fichier. Un attaquant peut ainsi détourner le comportement d’un agent IA. GPT-Red est entraîné par apprentissage par renforcement en self-play : il affronte en continu des modèles défenseurs qui apprennent à résister. L’attaquant est récompensé quand il réussit une injection, le défenseur quand il la bloque tout en accomplissant sa tâche. Plus les défenseurs progressent, plus GPT-Red doit innover.
Cette approche a permis de découvrir une famille d’attaques baptisée « Fake Chain-of-Thought ». Sur GPT-5.1, cette technique dépassait 95 % de réussite. Après l’entraînement avec GPT-Red, elle tombe sous 10 % sur GPT-5.6 Sol, selon OpenAI. L’entreprise garde ce modèle strictement interne pour éviter que ses capacités offensives ne tombent entre de mauvaises mains.
Les performances chiffrées : 84 % de succès contre 13 % pour les humains
Le chiffre marquant provient d’un test d’injection de prompt indirecte, repris des travaux de Dziemian et al. (2025). GPT-Red a été confronté à des scénarios inédits contre GPT-5.1. Résultat : 84 % d’attaques réussies, contre 13 % pour des experts humains. OpenAI a également testé son modèle sur un agent autonome réel : Vendy, un distributeur automatique piloté par IA installé dans ses bureaux (produit par Andon Labs). GPT-Red a atteint ses trois objectifs malveillants :
- Faire tomber le prix d’un article coûteux à 0,50 $.
- Commander un article à plus de 100 $ et le proposer à 0,50 $.
- Annuler la commande d’un autre client.
Ces failles ont été signalées et OpenAI teste de nouvelles protections. Autre cible : un agent Codex CLI basé sur GPT-5.4 mini, sur dix scénarios d’exfiltration de données. Face à ce type d’agent déployé en entreprise, GPT-Red s’est montré plus efficace et plus économe en jetons qu’un modèle GPT-5.5 simplement configuré par prompt.
| Cible | Taux de réussite GPT-Red | Taux de réussite humain (expert) |
|---|---|---|
| GPT-5.1 (injection indirecte) | 84 % | 13 % |
| Agent Vendy (production) | 100 % (3/3 objectifs) | N/A |
| Codex CLI (exfiltration) | Supérieur à GPT-5.5 configuré | N/A |
Ce que cela change pour les professionnels de la cybersécurité
Les équipes qui déploient des agents IA sur des mails, des fichiers ou des outils métier doivent prendre conscience que la sécurité numérique d’un système ne repose pas uniquement sur le modèle. GPT-Red montre que les attaques informatiques par injection de prompt sont la menace prioritaire. Deux enseignements clés se dégagent.
Premièrement, la sécurité d’un agent se juge sur tout ce qu’il est autorisé à lire et à exécuter. Un modèle robuste ne suffit pas. Deuxièmement, OpenAI intègre désormais GPT-Red dans l’entraînement de ses modèles de production. GPT-5.6 Sol est présenté comme le modèle le plus résistant aux injections à ce jour, avec six fois moins d’échecs sur le banc le plus dur qu’un modèle sorti quatre mois plus tôt. Pour choisir un modèle, la robustesse à l’injection devient un critère aussi important que la performance brute. Cela ne dispense pas de mettre en place ses propres garde-fous et ses outils de détection des menaces autour de l’agent.
Comme le souligne une analyse récente sur les priorités de la CNIL en matière de cybersécurité, les régulateurs commencent à imposer des exigences de tests adverses. Par ailleurs, OpenAI avec GPT-5.4 avait déjà posé des bases pour une meilleure protection, mais GPT-Red va bien plus loin.
Les limites à garder en tête
Les chiffres avancés proviennent d’OpenAI, sur ses propres bancs de test, et n’ont pas encore été validés par un tiers indépendant. Le pré-print n’était pas disponible au moment de l’annonce. Une IA plus « sûre » peut aussi devenir trop restrictive et refuser des requêtes légitimes. OpenAI affirme avoir vérifié ce point et n’observer aucune perte de capacités ni sur-refus sur GPT-5.6. Mais 0,05 % d’échec n’est pas zéro. Sur des millions d’appels en production, une protection des données insuffisante peut entraîner une fuite. Enfin, le résultat dépend aussi de la configuration de vos prompts et de vos accès. La technologie avancée de GPT-Red est un outil, pas une baguette magique.
La question à se poser : si un attaquant peut piéger un agent via un simple mail ou une page web, quels accès êtes-vous vraiment prêt à confier à vos agents IA en production ?
