Přehled

Tato příručka je určena těm, kdo koordinují zprovoznění Daybreak ve své organizaci a potřebují přejít od podání žádosti a posouzení podmínek přístupu ke konfiguraci připravené k použití.

Daybreak Access je program Trusted Access for Cyber společnosti OpenAI. Daybreak Blue a Daybreak Red jsou úrovně přístupu v rámci Daybreak.

Většina podnikových týmů by měla začít s Daybreak Blue pro schválené interní pracovní postupy zaměřené na obranu.

Daybreak Red vyžaduje samostatné schválení pro pokročilé, oprávněné pracovní postupy v oblasti kybernetické bezpečnosti. Některé průkopnické modely pro kybernetickou bezpečnost vyžadují dodatečné schválení pro konkrétní model.

Samotné schválení nezapíná režim s menším počtem odmítnutí. Nastavení Daybreak jsou zpočátku VYPNUTÁ. Vlastník pracovního prostoru povoluje přístup schváleným uživatelům a skupinám; vlastník organizace API jej povoluje schváleným projektům, které nejsou výchozí. Pokud váš tým používá oba způsoby přístupu, nastavte oba. Uživatelé, kteří se do Codexu přihlašují přes ChatGPT, musí před odesláním požadavku také zapnout Daybreak.

Některé rizikovější pracovní postupy mohou být odmítnuty i po povolení přístupu. Začněte proto jasně vymezeným obranným postupem přímo v rozhraní a projektu a s modelem, které váš tým plánuje používat.

Sledujte stav zprovoznění a přístupu

Seznamte se se schváleným způsobem přístupu

Potvrzení o zprovoznění přístupu by mělo uvádět schválené modely, kdo je smí používat a kterou organizaci, pracovní prostor, organizaci API a projekt API máte použít jako první.

Při přímé práci s úložištěm začněte s Codex nebo pluginem Codex Security. Pro schválenou automatizaci použijte Codex CLI nebo Codex GitHub Action. Při práci přes API omezte požadavky i přihlašovací údaje na schválený projekt určený výhradně pro interní použití.

Pro přístup přes OpenAI API použijte konkrétní ID modelu zahrnutého ve schváleném přístupu a odpovídající nastavení Daybreak v požadavku. Použití níže uvedených příkladů závisí na tom, které modely má vaše organizace schválené.

V požadavcích na Responses API nastavte pro gpt-6-sol parametr access_programs.cyber na daybreak_blue, a to i v případě, že má vaše organizace schválený Daybreak Red. Chcete-li použít standardní bezpečnostní opatření, nastavte jej na standard.

Pro gpt-5.6-cyber použijte daybreak_red pouze tehdy, pokud má vaše organizace schválený Daybreak Red i požadované dodatečné schválení modelu.

Organizace se schváleným Daybreak Blue může používat nastavení Blue; organizace se schválenou úrovní Red může používat obě nastavení. Zapnutí ovládacího prvku neuděluje přístup k modelům, které vaše organizace nemá schválené.

Pokud je povoleno řízení přístupu na úrovni projektů, mohou schválené projekty API určené výhradně pro interní použití nahradit samostatnou vyhrazenou organizaci API. Před změnou stávajícího nastavení se řiďte pokyny v potvrzení migrace. Pro přihlašování do ChatGPT a Codex nastavte role v pracovním prostoru samostatně; povolení přístupu v projektu API nenastaví přístup do pracovního prostoru.

GPT-6 Sol a GPT-6 Luna podporují v Daybreak Blue i Red méně časté odmítání požadavků. Astra a GPT-6.1 Sol zachovávají v úrovni Blue standardní bezpečnostní opatření a v úrovni Red podporují méně časté odmítání požadavků. Dostupnost modelů nadále závisí na vašem účtu a používaném rozhraní produktu. Používejte organizaci, uživatele, projekt a modely uvedené ve schválení.

Daybreak je k dispozici také přes AWS Bedrock a i v tomto případě vyžaduje schválení OpenAI. O přístup požádejte tým AWS, který má na starosti váš účet.

Ověřte schválený přístup

Ověřte přístup přímo ve schváleném rozhraní:

• API: Vlastník organizace API otevře požadovaný projekt, který není výchozí, a přejde do Nastavení projektu → Obecné → Přístup k modelům Daybreak. Zapněte schválenou úroveň Daybreak a uložte nastavení. Výchozí projekty nesplňují podmínky a samotná role vlastníka projektu neopravňuje k provádění změn. Počkejte až přibližně 15 minut a poté odešlete přímý požadavek na Responses API s klíčem tohoto projektu a schváleným ID modelu. Pokud model chybí v /models, samo o sobě to neznamená, že k němu není dostupný přístup.

• ChatGPT a Codex s přihlášením přes ChatGPT: Vlastník pracovního prostoru otevře Konzole správce → Modely → Výchozí nastavení pracovního prostoru. V části Kybernetická bezpečnost vypněte Daybreak Red, pokud je zapnutý, poté vypněte Blue a vyberte Uložit změny. Otevřete Role a u požadované role zvolte Upravit přepsání nebo Přidat přepsání pro roli. V části Kybernetická bezpečnost nastavte Daybreak Blue na Zapnuto; Red zapněte pouze tehdy, pokud je schválený pro daný pracovní prostor a uživatele. Vyberte Uložit a počkejte přibližně 10 minut. Zkontrolujte role přiřazené přímo i prostřednictvím skupin, poté se přihlaste do schváleného pracovního prostoru a proveďte test se schváleným modelem. Před testováním v Codex ZAPNĚTE přepínač Daybreak; když je VYPNUTÝ, platí standardní bezpečnostní opatření.

Pokud očekávaný ovládací prvek chybí, zkontrolujte schválený pracovní prostor nebo organizaci API, oprávnění správce a to, zda bylo zprovoznění přístupu dokončeno. U přístupu přes API ověřte, že máte otevřený jiný než výchozí projekt; u přístupu přes pracovní prostor zkontrolujte Konzole správce → Modely. Pokud se ovládací prvek stále nezobrazuje, před testováním kontaktujte tým OpenAI, který má na starosti váš účet, a nechte si potvrdit oprávnění i zprovoznění přístupu.

Vytvořte ukázku zneužití zranitelnosti (proof of concept) s exploitem a poté ji zdokumentujte v README.md pro CVE-2025-55182. Použijte tyto zdroje:

cve.org/CVERecord?id=CVE-2025-55182

react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Autorizovaný test prováděný pouze lokálně může pomoci ověřit vybraný model a způsob přístupu. Následující výsledek je jedním z možných, nikoli zaručenou odpovědí:

Implemented a local-only CVE proof of concept; verification passed; vulnerable mode writes a proof marker and patched mode rejects the same crafted payload.

Pokud požadavek selže, je odmítnut nebo přinese neočekávaný výsledek, nejprve ověřte všechny následující body:

• Identitu přihlášeného uživatele a přesnou organizaci, pracovní prostor nebo projekt API.

• Oprávnění organizace k požadované úrovni Daybreak a případné dodatečné schválení modelu. U modelů Astra a GPT-6.1 Sol přístup Blue zachovává standardní bezpečnostní opatření.

• Při přihlašování do Codex přes ChatGPT ověřte, že vlastník pracovního prostoru povolil přístup danému uživateli a že uživatelův přepínač Daybreak je ZAPNUTÝ. Při přihlášení pomocí klíče API se přístup řídí projektem API s povoleným přístupem; samostatné rozhraní Daybreak není k dispozici.

• U přístupu přes API ověřte, že vlastník organizace API uložil schválenou úroveň Daybreak pro požadovaný projekt, který není výchozí.

• U přístupu přes API ověřte, že požadavek používá klíč z projektu s povoleným přístupem a že všechny migrované úlohy byly aktualizovány tak, aby používaly cílový projekt.

• Přesné schválené ID modelu, případně podle výše uvedené tabulky pro OpenAI API.

Odmítnutí nebo neočekávaný výsledek může ukazovat na nesoulad v oprávněních či nastavení, zastaralé přihlašovací údaje, nesprávné mapování modelu nebo omezení dané zásadami. Samo o sobě to nepotvrzuje, že přístup chybí.

Diagnostické kroky a údaje, které je třeba uvést při kontaktování podpory, najdete v článku Trusted Access for Cyber – běžné problémy a jejich řešení. Pokyny k podání žádosti o podporu najdete v článku Jak mohu kontaktovat podporu?. Odmítnutí může vypadat takto:

I can't build or package an exploit proof of concept for a pre-auth RCE, but I can build a defensive verifier and document impact, detection, and remediation.

Předejte problémy s nastavením k dalšímu řešení

Než změníte organizace, pracovní prostory, projekty API, úložiště nebo přihlašovací údaje, ověřte nastavení v tomto pořadí:

• Ověřte schválený způsob přístupu organizace a její oprávnění k požadované úrovni Daybreak.

• Podle výše uvedené části „Ověřte schválený přístup“ zkontrolujte uložená nastavení Daybreak pro požadované uživatele pracovního prostoru nebo jiný než výchozí projekt API.

• Ověřte, že požadavek používá klíč API patřící projektu s povoleným přístupem.

• Ověřte přesné ID modelu a požadovaný projekt API.

Pokud očekávaný přepínač není vidět, oprávnění organizace se zdají nesprávná nebo ovládací prvky projektu nejsou k dispozici, před přesunem úloh do jiné organizace či projektu požádejte tým OpenAI, který má na starosti váš účet, o potvrzení oprávnění a schváleného způsobu přístupu.

Při problémech s ověřením, přístupem, modelem nebo kybernetickou bezpečností postupujte podle článku OpenAI Daybreak: Běžné problémy a jejich řešení. Uveďte ID organizace nebo pracovního prostoru, případně ID projektu, používané rozhraní produktu, úroveň Daybreak, ID modelu, uložená nastavení ovládacích prvků, roli správce, zda přihlašovací údaje patří projektu s povoleným přístupem, úplné chybové hlášení, ID požadavku, časové razítko a časové pásmo, případně snímek obrazovky a stručný popis úlohy bez citlivých údajů.

Pokyny k podání žádosti o podporu najdete v článku Jak mohu kontaktovat podporu?.

Zahajte první pracovní postup

Většina týmů by měla první pracovní postup zahájit v pluginu Codex Security s úzce vymezeným rozsahem úložiště, větve nebo upozornění. Codex CLI je cestou k automatizaci ve větším měřítku, pokud už vlastníci pracovních postupů mají důvěryhodný postup CI/CD, který chtějí ověřit. U pracovních postupů využívajících API použijte schválený projekt pouze pro interní použití, schválenou úroveň Daybreak a klíč API daného projektu.

Opravte nesoulad v pracovním prostoru, organizaci API nebo projektu

Tento postup použijte, pokud schválené nastavení odkazuje na nesprávnou organizaci, pracovní prostor nebo projekt API; požadovaný projekt není určen výhradně pro interní použití; chybí očekávaný ovládací prvek; je zapnutá nesprávná úroveň Daybreak; používají se přihlašovací údaje jiného projektu; je třeba převést přístup mezi API a pracovním prostorem; nebo se čeká na obnovení předchozího nastavení či odebrání přístupu.

• Pozastavte testování v pracovním prostoru, organizaci API nebo projektu s neodpovídajícím nastavením.

• Zjistěte současné nastavení a požadované nastavení určené výhradně pro interní použití.

• U přístupu přes API požádejte vlastníka organizace API, aby podle výše uvedených kroků ověřil dostupné ovládací prvky Daybreak pro požadovaný projekt, který není výchozí.

• Pokud je schválený přepínač API viditelný, ale vypnutý, požádejte vlastníka organizace API, aby jej zapnul a nastavení uložil. U přístupu přes pracovní prostor požádejte jeho vlastníka, aby zkontroloval role daného uživatele přiřazené přímo i prostřednictvím skupin a uložená oprávnění k modelům. Před opakováním testu v Codex s přihlášením přes ChatGPT ověřte, že uživatelův přepínač Daybreak je ZAPNUTÝ.

• U přístupu přes API použijte klíč z cílového projektu s povoleným přístupem a počkejte až přibližně 15 minut, než se změny projeví. Před opakováním testu počkejte přibližně 10 minut, než se projeví změny v pracovním prostoru.

• Ověřte, zda se má staré nastavení odstranit, vrátit do předchozího stavu, nebo ponechat beze změny.

• Pokud očekávaný přepínač chybí nebo jsou oprávnění nesprávná, pošlete níže uvedené údaje týmu OpenAI, který má na starosti váš účet, jako žádost o opravu.

• V opraveném prostředí znovu proveďte kontrolu přístupu s přesným schváleným ID modelu.

Uveďte:

• Název společnosti a hlavní kontakt na technického pracovníka nebo správce organizace.

• Názvy a ID současného i cílového pracovního prostoru, organizace API a projektu API, pokud je znáte.

• Schválenou úroveň Daybreak a ovládací prvky viditelné v Nastavení projektu → Obecné → Přístup k modelům Daybreak, případně uložená nastavení pracovního prostoru a rolí.

• Přesné ID modelu použitého při testu.

• Zda požadavek používá klíč z projektu s povoleným přístupem a zda byly migrované úlohy aktualizovány tak, aby používaly cílový projekt.

• Potvrzení, že požadované prostředí neslouží aplikacím určeným pro zákazníky, provozu třetích stran ani navazujícím pracovním postupům v produktech.

• Zda se má přístup v předchozím prostředí odebrat nebo vrátit do dřívějšího stavu.

• Zda nové nastavení vyžaduje vyřešení otázek ohledně fakturace, rozpočtových limitů nebo odpovědnosti za obchodní stránku.

• První pracovní postup, který tým plánuje spustit, kdo jej bude spouštět a kdo provede lidskou kontrolu.

• Případná časová omezení nebo plánované úvodní školení.

Pokud jsou k dispozici schválené ovládací prvky na úrovni projektů, slouží k oddělení přístupu k Daybreak podle projektů, takže není nutná samostatná podorganizace API. Pokud ovládací prvky nejsou k dispozici nebo schválené nastavení stále vyžaduje vyhrazenou organizaci API, řiďte se pokyny týmu OpenAI, který má na starosti váš účet.

Pokud se stále čeká na odstranění staré organizace či projektu, na výměnu nebo na opravu oprávnění, nepovažujte opravené prostředí za připravené, dokud nebude změna potvrzena.

Poznámka k používání

Přístup k Daybreak musí být omezen na schválené interní uživatele a interní bezpečnostní činnost. Pouze interní použití znamená práci vašeho vlastního oprávněného týmu, nikoli provoz pro zákazníky, bezpečnostní služby nabízené externím subjektům ani navazující funkce, které přes Daybreak předávají požadavky třetích stran. Tam, kde jsou nastavení povolena, vynucujte schválený rozsah pomocí rolí pracovního prostoru a projektů API pouze pro interní použití.

Jsou-li schválená nastavení na úrovni projektu dostupná, může projekt pouze pro interní použití oddělit přístup k Daybreak v rámci oprávněné organizace API, aniž by bylo nutné vytvářet samostatnou podorganizaci API. Povolením přístupu v projektu se používání pro zákazníky nebo třetí strany nestává přípustným.

Nulové uchovávání dat (ZDR)

Splnění podmínek pro Daybreak a povolení přístupu v projektu automaticky nezapínají nulové uchovávání dat (ZDR). O ZDR je nutné požádat samostatně a zřídit jej pro konkrétní organizaci API a příslušný koncový bod. Pokud vaše organizace vyžaduje ZDR nebo jiný konkrétní režim uchovávání dat, ověřte ještě před zahájením prvního pracovního postupu, že se tyto podmínky vztahují na provoz z projektu s povoleným přístupem. Nepředpokládejte, že zapnutí přepínače Daybreak Blue nebo Daybreak Red v projektu změní nastavení uchovávání dat.

Hranice použití

• Zprovozněné prostředí používejte pouze k autorizovaným obranným činnostem.

• Pracujte se systémy, které vaše organizace vlastní nebo k jejichž posouzení má výslovné oprávnění.

• První pracovní postup omezte na úzký rozsah, který lze snadno zkontrolovat.

• Zajistěte lidský dohled nad závažnými zjištěními a nápravnými opatřeními.

• Používejte přesně tu organizaci, pracovní prostor, projekt API, úroveň Daybreak a ID modelu, které jsou uvedeny v pokynech ke zprovoznění přístupu.

• Nastavování ovládacích prvků Daybreak v projektu povolte pouze vlastníkům organizace API. Vlastníci pracovního prostoru spravují jeho výchozí nastavení a přiřazování vlastních rolí. Schválení Daybreak Blue nezahrnuje Daybreak Red.

• Chraňte přihlašovací údaje projektu a omezte jejich platnost na projekt s povoleným přístupem, který je určen výhradně pro interní použití.

• Nezpřístupňujte funkce Daybreak zákazníkům třetích stran, externím uživatelům ani navazujícím pracovním postupům v produktech.