Accès cyber d’OpenAI : la passkey matérielle devient le vrai ticket d’entrée

D’ici au 1er septembre 2026, les membres individuels devront activer la sécurité avancée de leur compte avec une passkey adossée au matériel pour conserver l’accès aux modèles de pointe d’OpenAI les plus performants en cybersécurité. À défaut, ils retrouveront l’accès par défaut, conformément aux conditions d’accès publiées pour GPT‑5.6.

Cette passkey constitue donc un prérequis technique, mais elle ne garantit pas l’approbation de Trusted Access for Cyber. Deux contrôles distincts sont à préparer : la protection du compte, puis l’examen de l’identité, de l’autorisation et du cas d’usage.

Ce que l’exigence matérielle change

L’obligation vise les membres individuels qui souhaitent conserver l’accès aux capacités cyber de pointe. Les organisations disposent d’un parcours de demande destiné à leurs équipes : la procédure applicable à un compte individuel ne doit pas être transposée automatiquement à un espace de travail organisationnel.

La formulation publique exige une passkey adossée au matériel sans fournir de matrice exhaustive des appareils et authentificateurs acceptés. La présence du mot « passkey » dans un gestionnaire d’identifiants ne suffit donc pas à établir la conformité : il faut connaître le mode de stockage de la clé privée et vérifier que le parcours de sécurité avancée accepte l’authentificateur choisi.

Avant tout enregistrement, identifiez précisément le compte, l’organisation ou l’espace de travail auxquels l’accès cyber est rattaché. Une passkey ajoutée à une autre identité OpenAI protège cet autre compte, sans répondre à l’exigence appliquée au membre autorisé.

Passkey synchronisée, liée à l’appareil ou clé de sécurité

Une passkey est un identifiant cryptographique FIDO fondé sur une paire de clés : le service conserve la clé publique, tandis que l’authentificateur utilise la clé privée pour répondre au défi de connexion. Ce mécanisme résiste à l’hameçonnage, que la passkey soit synchronisée ou liée à un appareil.

La passkey synchronisée devient disponible sur plusieurs appareils par l’intermédiaire d’un fournisseur de passkeys. La passkey liée à un appareil ne quitte jamais le dispositif où elle réside. La typologie technique de la FIDO Alliance précise également que la synchronisation est chiffrée de bout en bout et qu’une clé de sécurité FIDO peut héberger une passkey liée à l’appareil.

Une clé de sécurité externe est ainsi un exemple explicite d’authentificateur matériel, mais ce n’est pas l’unique possibilité. Un ordinateur ou un téléphone peut disposer d’un authentificateur intégré conservant l’identifiant sur le dispositif. Inversement, une empreinte digitale ou une reconnaissance faciale ne prouve pas que la passkey est liée au matériel : la biométrie peut seulement servir à déverrouiller localement une passkey synchronisée.

« Synchronisée » ne signifie donc pas « non sécurisée ». La différence pertinente pour l’exigence d’accès porte sur le lieu de conservation de l’identifiant et sur son mécanisme de récupération, non sur la seule résistance à l’hameçonnage.

Configurer le bon moyen d’authentification

1. Vérifiez le périmètre. Connectez-vous au compte individuel auquel l’accès cyber doit être rattaché et relevez l’organisation ou l’espace de travail utilisé.
2. Inventoriez les passkeys existantes. Déterminez, à partir de la documentation du gestionnaire d’identifiants, si elles sont synchronisées par un service ou confinées à un appareil ou à une clé de sécurité.
3. Choisissez un authentificateur identifiable. Pour une clé de sécurité, vérifiez la prise en charge des passkeys FIDO. Pour un authentificateur intégré, établissez si la passkey reste liée au dispositif.
4. Lancez l’enregistrement depuis le bon compte. Activez la sécurité avancée dans le parcours prévu et sélectionnez l’authentificateur retenu. La création d’une passkey dans un autre compte ou un autre service ne suffit pas.
5. Contrôlez le résultat. Vérifiez que l’enregistrement est achevé dans le compte concerné. Si le parcours ne permet pas de déterminer le caractère matériel de l’identifiant, ne le déduisez pas de la seule réussite d’une connexion.
6. Préparez la récupération. Si le service autorise plusieurs authentificateurs conformes, enregistrez un moyen de secours et conservez-le séparément du dispositif principal.

Dans une équipe, chaque authentificateur devrait rester attribué à une personne identifiée. Une clé partagée rend l’attribution des connexions ambiguë et ne remplace pas le provisionnement individuel des utilisateurs approuvés.

Pourquoi l’authentification ne vaut pas approbation

La passkey démontre le contrôle d’un moyen de connexion. Trusted Access for Cyber détermine séparément si une personne et son workflow peuvent bénéficier d’un niveau d’accès donné. Un compte correctement protégé peut donc ne pas être approuvé ou recevoir un niveau qui n’inclut pas toutes les capacités spécialisées.

La documentation de Trusted Access for Cyber précise que les demandes sont examinées avant activation et que l’approbation n’est pas automatique. L’évaluation peut porter sur l’identité et les éléments de confiance, le risque, le cas d’usage prévu, l’organisation ou l’espace de travail et la contribution attendue à l’écosystème de cybersécurité.

Le programme est réservé aux utilisateurs internes et aux workflows internes approuvés. Les travaux doivent concerner des systèmes possédés ou exploités par le demandeur, ou pour lesquels celui-ci dispose d’une autorisation explicite. L’organisation ou l’espace de travail choisi ne doit pas servir parallèlement des applications destinées aux clients, du trafic produit en aval ou l’accès de tiers.

Une approbation pour des workflows défensifs ne garantit pas davantage l’accès à chaque modèle cyber spécialisé. Les travaux avancés, notamment certains tests d’intrusion, exercices de red teaming ou développements d’exploits de démonstration, peuvent nécessiter une approbation et des contrôles supplémentaires.

La liste de vérification avant la demande

• Type de passkey : préciser si elle est synchronisée ou liée à un appareil.
• Authentificateur : identifier la clé de sécurité ou le dispositif intégré et documenter son mode de stockage.
• Enregistrement : confirmer que la passkey a été ajoutée au compte individuel auquel l’accès cyber est rattaché.
• Continuité : prévoir un authentificateur de secours ou la procédure de récupération autorisée.
• Identité et confiance : fournir des informations cohérentes et vérifiables sur le demandeur et son organisation.
• Autorisation : pouvoir établir le droit de tester ou d’analyser chaque système inclus dans le périmètre.
• Usage : décrire les tâches cyber, les utilisateurs internes, les contrôles humains et les limites du workflow.
• Espace de travail : réserver l’environnement concerné aux travaux de sécurité internes approuvés.
• Niveau demandé : distinguer l’accès défensif du niveau spécialisé éventuellement soumis à un examen supplémentaire.

La passkey matérielle ouvre la première porte, celle de l’authentification du compte. L’accès cyber reste conditionné à une seconde décision portant sur l’identité, l’autorisation, l’environnement et la justification du workflow.

À lire aussi:

• GPT‑5.6‑Cyber s’ouvre aux défenseurs, mais exige une identité vérifiée