Plusieurs chercheurs en cybersécurité ont signalé avoir soudainement perdu l’accès au programme Trusted Access for Cyber (TAC) d’OpenAI, un programme limité qui permet à des chercheurs ayant fait l’objet d’une vérification d’utiliser les modèles de l’entreprise avec moins de restrictions que celles imposées aux utilisateurs ordinaires lorsqu’ils mènent des recherches en sécurité. OpenAI a confirmé que les annulations résultaient d’une erreur technique de son côté.
Les utilisateurs concernés ont vu s’afficher des messages indiquant qu’il était impossible de vérifier leur identité ou que leurs comptes n’étaient pas admissibles pour le moment, lorsqu’ils ouvraient la page Cyber dans ChatGPT. Cinq chercheurs interrogés par TechCrunch ont déclaré avoir rencontré le problème, tandis que le nombre de personnes touchées et l’étendue géographique de la défaillance restent flous.
Que s’est-il passé pour les utilisateurs ?
Un message envoyé par OpenAI à l’un des chercheurs expliquait que l’accès au niveau Daybreak Blue avait été annulé en raison d’un problème technique ayant touché un nombre limité d’utilisateurs. Dans une réponse publiée sur son forum officiel et dans une publication sur la plateforme X, l’entreprise a également indiqué que l’accès à ce niveau n’était plus actif pour certains utilisateurs et qu’ils devaient procéder à une nouvelle vérification pour le conserver.
OpenAI a demandé aux chercheurs concernés de présenter une nouvelle demande pour le programme et d’achever la procédure de vérification d’identité. Tous les chercheurs interrogés par TechCrunch ont déclaré résider en dehors des États-Unis et de l’Europe, ce qui pourrait indiquer que le problème est lié à certaines régions, mais l’entreprise ne l’a pas confirmé et n’a pas fourni d’explication définitive concernant l’étendue géographique des annulations.
Que propose le programme TAC ?
L’adhésion au TAC nécessite de fournir des documents d’identité et de se soumettre à une évaluation menée par OpenAI. Le programme vise à fournir à des défenseurs de confiance des modèles plus performants afin de les aider à détecter les vulnérabilités et à les signaler aux entreprises, ce qui pourrait accélérer la correction des failles. En parallèle, ce mécanisme cherche à empêcher les cybercriminels d’utiliser ces mêmes modèles pour développer des méthodes d’intrusion ou exploiter des vulnérabilités dans les entreprises.
Daybreak Blue est le niveau le plus récent destiné aux chercheurs individuels, lancé par OpenAI le 10 août. Il donne accès à des modèles généraux avancés, notamment GPT-5.6 Sol, avec des contrôles adaptés aux activités autorisées de défense en matière de sécurité, telles que la détection des vulnérabilités, l’examen du code, l’analyse des logiciels malveillants, la réponse aux incidents et la vérification des correctifs.
L’entreprise a lancé au même moment un niveau supérieur appelé Daybreak Red, qui donne accès à des modèles conçus pour la recherche en cybersécurité, notamment la recherche autorisée sur les vulnérabilités, la validation des exploitations et les tests de sécurité.
Pourquoi cette défaillance est-elle importante ?
Ce type de programme repose sur la distinction entre une utilisation défensive autorisée et une utilisation malveillante. Par conséquent, le retrait accidentel de l’accès n’affecte pas seulement des comptes individuels, mais perturbe aussi les chercheurs qui utilisent les modèles dans le cadre de procédures de test et de signalement de sécurité. Le fait de demander aux utilisateurs de procéder à une nouvelle vérification montre également que l’accès aux capacités avancées des modèles en cybersécurité reste lié au maintien des procédures de contrôle, même après l’acceptation du chercheur dans le programme.
Cette affaire survient alors que des chercheurs en défense et en attaque critiquent les contrôles imposés par OpenAI et Anthropic, affirmant que certaines restrictions peuvent entraver des activités de sécurité légitimes. Anthropic propose un programme similaire appelé Cyber Verification Program (CVP).