GPT 5.4 Cyber, Open AI réagit à Claude Mythos

Le 7 avril 2026, Anthropic a secoué l'industrie en annonçant Claude Mythos Preview et Project Glasswing.

7 jours plus tard, le 14 avril, Open AI dégaine GPT-5.4-Cyber et scale son programme Trusted Access for Cyber. La coïncidence calendaire n'en est pas une : Open AI réagit. Et la manière dont chaque acteur positionne son modèle dit beaucoup sur la fracture qui se dessine dans l'écosystème de l'IA défensive.

Ce qu'Anthropic a vraiment mis sur la table

Il faut comprendre pourquoi Mythos a créé un tel choc dans l'industrie.

Un modèle qui chaîne les exploits de manière autonome Claude Mythos Preview n'est pas un assistant de sécurité de plus. Selon le post technique de la Frontier Red Team d'Anthropic, le modèle a été déployé dans un scaffold agentique simple: un conteneur isolé, l'accès au code source, et un prompt revenant à « trouve une vulnérabilité ici ».

Le résultat : le modèle lit le code, formule des hypothèses, exécute le programme pour les vérifier, itère avec un débogueur et produit un bug report accompagné d'un exploit fonctionnel.

Trois exemples que j'ai retenus :

OpenBSD: Une vulnérabilité de 27 ans permettant de crasher à distance une machine simplement en s'y connectant. OpenBSD, rappelons-le, a une réputation de système parmi les plus durcis au monde.

FFmpeg: Un bug de 16 ans dans une ligne de code que les outils de fuzzing automatique avaient traversée 5 millions de fois sans rien détecter.

Noyau Linux: Le modèle a enchaîné plusieurs vulnérabilités de manière autonome pour passer d'un utilisateur ordinaire à un accès root complet.

Sur le benchmark CyberGym, Mythos atteint 83,1 % contre 66,6 % pour Opus 4.6. Sur SWE-bench Verified : 93,9 %. Ce n'est pas un incrément linéaire, mais un bond en avant.

La réponse d'OpenAI : GPT-5.4-Cyber et Trusted Access for Cyber

GPT-5.4-Cyber : un variant « cyber-permissif »

GPT-5.4-Cyber n'est pas un nouveau modèle frontière. C'est un fine-tune de GPT-5.4 existant, entraîné à être plus permissif sur les requêtes cyber légitimes.

Là où les modèles standards refusent les demandes sur la recherche de vulnérabilités ou l'analyse de malware, ce variant abaisse son seuil de refus.

Feature phare : le binary reverse engineering. Les analystes peuvent soumettre des binaires compilés — sans accès au code source — pour analyse de malware ou chasse aux vulnérabilités. Utile pour la threat intel et les équipes de red team défensif.

Point à noter : GPT-5.4 est classé « high cyber capability » dans le Preparedness Framework d'OpenAI. Le modèle existe depuis plusieurs mois, le fine-tune arrive maintenant.