L'agence européenne de cybersécurité Enisa a eu recours à un modèle avancé d'OpenAI pour analyser le code d'un projet de l'Union européenne. Ce travail a permis de repérer quatre failles, dont une jugée à haut risque.
L'ENISA et l'équipe technique CERT-UE ont confirmé cette opération à Politico un peu plus tôt ce mois-ci. Il aura fallu des mois de démarches auprès d'OpenAI pour obtenir cet accès aux modèles américains.
ENISA, partenaire d'OpenAI via Daybreak
La faille la plus sérieuse, référencée CVE-2026-73431, touche Vulnerability-Lookup, un logiciel open source de suivi des vulnérabilités, dans ses versions jusqu'à la 5.5.1. Le programme ne vérifiait pas si un lien d'activation ou de récupération de compte avait déjà servi. Un attaquant pouvait donc potentiellement le réutiliser pour réinitialiser le mot de passe et reprendre le contrôle du compte à volonté. Le dossier OpenCVE associé à cette référence lui attribue un score de 8,8/10. Depuis, la vulnérabilité a été corrigée, comme les trois autres failles repérées durant cette analyse.
L'ENISA mène ce travail via Daybreak, le programme d'OpenAI qui donne à certains partenaires un accès à ses modèles dotés de capacités cyber. La France et l'Allemagne bénéficient d'accords similaires. Pour Tom Duff Gordon, responsable des politiques publiques d'OpenAI pour l'Europe, la fenêtre pour repérer une faille avant qu'un attaquant ne l'exploite devient de plus en plus courte.
Reste que les institutions européennes brandissant la souveraineté numérique sont donc dépendantes d'un fournisseur américain. Et l'ironie est d'autant plus marquée quand il s'agit de l'Agence européenne de cybersécurité qui utilise ces outils pour sécuriser ses propres dispositifs de sécurité. Rappelons au passage que l'administration de Trump avait initialement bloqué les accès étrangers au modèle de Mythos d'Anthropic.
Au sujet de ce type de dépendance, Vincent Strubel, directeur général de l'ANSSI, nous expliquait en juin dernier :
C'est une réalité face à laquelle nous construisons des réponses, par exemple avec la qualification SecNumCloud dans le domaine du cloud. Elle permet de contrer certains risques comme le "kill switch" […] Évidemment, cela ne garantit pas l'accès à la technologie elle-même si un gouvernement décide d'en bloquer l'export. On touche là à une problématique plus vaste de dépendance et de nécessité de créer des alternatives nationales ou européennes, sans pour autant tomber dans une logique d'autarcie qui n'aurait aucun sens. C'est un débat qui émerge au niveau européen et c'est une très bonne chose.
L'UE a obtenu un accès à l'outil d'OpenAI en juillet. Depuis le 10 septembre, la Commission confirme que l'ENISA teste Mythos 5 et GPT-6 Astra, sans disposer encore de la toute dernière version de Mythos.
Et ce n'est pas un cas isolé sur le Vieux Continent. Le CERT polonais a publié le 5 septembre six failles touchant RouterOS, le système des routeurs MikroTik, en s'appuyant lui aussi sur des modèles OpenAI avant de vérifier chaque hypothèse sur des systèmes réels. L'entreprise AISLE a de son côté annoncé le 14 septembre avoir audité le code de la nouvelle plateforme de signalement liée au règlement européen sur la cyber-résilience, entrée en service le 11 septembre. L'ENISA et le CERT-UE utilisent par ailleurs des modèles avancés depuis juillet pour surveiller en continu les institutions européennes, en attendant leur propre plateforme de test, en cours de construction avec le Centre commun de recherche.
