Tổng quan

Sử dụng hướng dẫn này nếu bạn đang điều phối việc thiết lập Daybreak cho tổ chức và cần chuyển từ giai đoạn tiếp nhận, xét duyệt điều kiện sang một cấu hình sẵn sàng vận hành.

Daybreak Access là chương trình Truy cập đáng tin cậy cho an ninh mạng của OpenAI. Daybreak Blue và Daybreak Red là các cấp truy cập trong Daybreak.

Hầu hết các nhóm trong doanh nghiệp nên bắt đầu với Daybreak Blue cho các quy trình phòng vệ nội bộ đã được phê duyệt.

Daybreak Red cần được phê duyệt riêng cho các quy trình an ninh mạng nâng cao đã được cho phép. Một số mô hình an ninh mạng tiên phong cần được phê duyệt bổ sung theo từng mô hình.

Chỉ riêng việc được phê duyệt không bật chế độ giảm mức độ từ chối. Ban đầu, các tùy chọn kiểm soát Daybreak ở trạng thái TẮT. Chủ sở hữu không gian làm việc bật quyền truy cập cho người dùng và nhóm được phê duyệt; chủ sở hữu tổ chức API bật quyền truy cập cho các dự án không mặc định được phê duyệt. Cấu hình cả hai nếu nhóm của bạn sử dụng cả hai phương thức truy cập. Người dùng đăng nhập Codex bằng ChatGPT cũng phải bật Daybreak trước khi gửi yêu cầu.

Một số quy trình có rủi ro cao hơn vẫn có thể bị từ chối sau khi bật quyền truy cập, vì vậy hãy bắt đầu bằng một quy trình phòng vệ có phạm vi giới hạn trên đúng giao diện, dự án và mô hình mà nhóm dự định sử dụng.

Theo dõi trạng thái thiết lập ban đầu và quyền truy cập

Tìm hiểu phương thức truy cập đã được phê duyệt

Thông báo xác nhận thiết lập ban đầu phải nêu rõ các mô hình đã được phê duyệt, những ai được phép sử dụng, cũng như tổ chức, không gian làm việc, tổ chức API và dự án API cần sử dụng trước tiên.

Với các quy trình thao tác trực tiếp trên kho lưu trữ, hãy bắt đầu bằng Codex hoặc tiện ích Codex Security. Sử dụng Codex CLI hoặc Codex GitHub Action cho các tác vụ tự động hóa đã được phê duyệt. Với các quy trình qua API, hãy giới hạn yêu cầu và thông tin xác thực trong phạm vi dự án đã được phê duyệt chỉ dùng cho nội bộ.

Để truy cập OpenAI API, hãy sử dụng ID mô hình cụ thể nằm trong quyền truy cập đã được phê duyệt của bạn cùng với cài đặt Daybreak tương ứng cho yêu cầu. Các ví dụ dưới đây phụ thuộc vào những mô hình mà tổ chức của bạn đã được phê duyệt sử dụng.

Trong yêu cầu gửi đến Responses API, hãy đặt access_programs.cyber thành daybreak_blue cho gpt-6-sol, kể cả khi tổ chức của bạn đã được phê duyệt sử dụng Daybreak Red. Để sử dụng các biện pháp bảo vệ tiêu chuẩn, hãy đặt giá trị này thành standard.

Với gpt-5.6-cyber, chỉ sử dụng daybreak_red nếu tổ chức của bạn đã được phê duyệt sử dụng Daybreak Red và có cả phê duyệt bổ sung bắt buộc cho mô hình.

Tổ chức được phê duyệt sử dụng Daybreak Blue có thể dùng tùy chọn kiểm soát Blue; tổ chức được phê duyệt sử dụng Red có thể dùng cả hai. Việc bật một tùy chọn kiểm soát không cấp quyền truy cập vào các mô hình nằm ngoài phạm vi phê duyệt của tổ chức.

Khi các tùy chọn kiểm soát cấp dự án được bật, các dự án API đã được phê duyệt chỉ dùng cho nội bộ có thể thay thế một tổ chức API chuyên dụng riêng biệt. Làm theo thông báo xác nhận chuyển đổi trước khi thay đổi cấu hình hiện có. Đối với việc đăng nhập ChatGPT và Codex, hãy cấu hình riêng các vai trò trong không gian làm việc; việc kích hoạt một dự án API không thiết lập quyền truy cập không gian làm việc.

GPT-6 Sol và GPT-6 Luna hỗ trợ giảm mức độ từ chối yêu cầu khi dùng Daybreak Blue hoặc Red. Astra và GPT-6.1 Sol giữ nguyên các biện pháp bảo vệ tiêu chuẩn khi dùng Blue và hỗ trợ giảm mức độ từ chối yêu cầu khi dùng Red. Các mô hình có thể sử dụng vẫn phụ thuộc vào tài khoản và giao diện sản phẩm của bạn. Sử dụng đúng tổ chức, người dùng, dự án và mô hình được nêu trong phê duyệt của bạn.

Daybreak cũng được cung cấp qua AWS Bedrock và vẫn cần OpenAI phê duyệt. Liên hệ với nhóm phụ trách tài khoản AWS của bạn để được cấp quyền truy cập.

Kiểm tra việc sử dụng GPT-6.1 Terra với Daybreak

Với GPT-6.1 Terra, hãy xác nhận bạn đã được phê duyệt sử dụng Daybreak Red và chủ động bật Daybreak cho yêu cầu. Chỉ có Daybreak Blue thì không thể giảm mức độ từ chối các yêu cầu về an ninh mạng trên Terra. Trong Responses API, hãy sử dụng khóa của dự án đã được kích hoạt không phải là dự án mặc định, đồng thời đặt rõ giá trị access_programs.cyber; nếu bỏ qua tham số này, các biện pháp bảo vệ tiêu chuẩn sẽ được áp dụng. Chat Completions không hỗ trợ phương thức giảm mức độ từ chối yêu cầu này.

Với Codex và ChatGPT Công việc, hãy xác minh không gian làm việc đã được phê duyệt và quyền truy cập Daybreak của người dùng, sử dụng ứng dụng khách được hỗ trợ và bật tùy chọn kiểm soát Daybreak. Kiểm tra riêng quyền truy cập API và quyền truy cập không gian làm việc. Nếu một yêu cầu đã được phê duyệt vẫn thất bại, hãy ghi lại chính xác mô hình, điểm cuối hoặc giao diện sản phẩm, tổ chức, dự án hoặc không gian làm việc, các tùy chọn kiểm soát đã bật, ID yêu cầu, dấu thời gian và thông báo lỗi đã ẩn thông tin nhạy cảm.

Xác minh quyền truy cập đã được phê duyệt

Xác minh quyền truy cập trên đúng giao diện đã được phê duyệt:

• API: Chủ sở hữu tổ chức API mở dự án cần dùng, không phải dự án mặc định, rồi vào Cài đặt dự án → Chung → Quyền truy cập mô hình Daybreak. Bật cấp Daybreak đã được phê duyệt rồi lưu. Dự án mặc định không đủ điều kiện, và chỉ có vai trò chủ sở hữu dự án là chưa đủ để thực hiện thay đổi. Chờ tối đa khoảng 15 phút, rồi gửi yêu cầu trực tiếp đến Responses API bằng khóa của dự án đó và một ID mô hình đã được phê duyệt. Việc một mô hình không xuất hiện trong /models tự nó không có nghĩa là bạn không có quyền truy cập.

• ChatGPT và Codex khi đăng nhập bằng ChatGPT: Chủ sở hữu không gian làm việc mở Bảng điều khiển quản trị → Mô hình → Mặc định của không gian làm việc. Trong mục An ninh mạng, tắt Daybreak Red nếu đang bật, sau đó tắt Blue và chọn Lưu thay đổi. Mở mục Vai trò và chọn Chỉnh sửa thiết lập ghi đè cho vai trò cần dùng hoặc Thêm thiết lập ghi đè cho vai trò. Trong mục An ninh mạng, đặt Daybreak Blue thành Bật; chỉ bật Red nếu đã được phê duyệt cho không gian làm việc và những người dùng đó. Chọn Lưu rồi chờ khoảng 10 phút. Rà soát các vai trò được gán trực tiếp và qua nhóm, rồi đăng nhập vào không gian làm việc đã được phê duyệt và thử nghiệm bằng một mô hình đã được phê duyệt. Trong Codex, chuyển công tắc Daybreak sang BẬT trước khi thử nghiệm; khi công tắc ở trạng thái TẮT, các biện pháp bảo vệ tiêu chuẩn sẽ được áp dụng.

Nếu không thấy tùy chọn kiểm soát mong đợi, hãy kiểm tra không gian làm việc hoặc tổ chức API đã được phê duyệt, quyền của quản trị viên và việc cấp quyền đã hoàn tất hay chưa. Với quyền truy cập API, hãy xác nhận bạn đang xem một dự án không phải mặc định; với quyền truy cập không gian làm việc, hãy kiểm tra Bảng điều khiển quản trị → Mô hình. Nếu tùy chọn kiểm soát vẫn không xuất hiện, hãy liên hệ đội ngũ phụ trách tài khoản OpenAI của bạn để xác nhận điều kiện sử dụng và tình trạng cấp quyền trước khi thử nghiệm.

Tạo bản minh chứng khai thác lỗ hổng, rồi ghi lại trong README.md cho CVE-2025-55182. Sử dụng các tài liệu tham khảo sau:

cve.org/CVERecord?id=CVE-2025-55182

react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Một thử nghiệm được cho phép và chỉ chạy cục bộ có thể giúp kiểm tra mô hình và phương thức truy cập đã chọn. Kết quả như dưới đây là một khả năng có thể xảy ra, không phải phản hồi được bảo đảm:

Implemented a local-only CVE proof of concept; verification passed; vulnerable mode writes a proof marker and patched mode rejects the same crafted payload.

Nếu yêu cầu thất bại, bị từ chối hoặc cho kết quả ngoài dự kiến, trước tiên hãy xác nhận tất cả các điểm sau:

• Danh tính đang đăng nhập và chính xác tổ chức, không gian làm việc hoặc dự án API đang dùng.

• Điều kiện sử dụng cấp Daybreak được yêu cầu của tổ chức và mọi phê duyệt bổ sung cho mô hình. Với Astra hoặc GPT-6.1 Sol, quyền truy cập Blue vẫn giữ nguyên các biện pháp bảo vệ tiêu chuẩn.

• Khi đăng nhập Codex bằng ChatGPT, xác nhận chủ sở hữu không gian làm việc đã bật quyền truy cập cho đúng người dùng và công tắc Daybreak của người dùng đó đang BẬT. Khi đăng nhập bằng khóa API, quyền truy cập tuân theo dự án API đã được bật quyền truy cập; không có giao diện Daybreak riêng.

• Với quyền truy cập API, xác nhận chủ sở hữu tổ chức API đã lưu cấp Daybreak được phê duyệt cho đúng dự án không phải mặc định.

• Với quyền truy cập API, xác nhận yêu cầu dùng khóa của dự án đã bật quyền truy cập và mọi khối lượng công việc đã chuyển sang đều được cập nhật để dùng dự án đích.

• ID mô hình chính xác đã được phê duyệt, tham khảo bảng OpenAI API ở trên nếu phù hợp.

Việc bị từ chối hoặc nhận kết quả ngoài dự kiến có thể cho thấy điều kiện sử dụng hay thiết lập không khớp, thông tin xác thực đã cũ, ánh xạ mô hình sai hoặc đã chạm giới hạn chính sách. Chỉ riêng điều đó không đủ để khẳng định rằng bạn thiếu quyền truy cập.

Làm theo Quyền truy cập tin cậy cho an ninh mạng – Các vấn đề thường gặp và cách khắc phục để biết các bước chẩn đoán và thông tin cần cung cấp khi liên hệ bộ phận Hỗ trợ. Để gửi yêu cầu hỗ trợ, xem Làm thế nào để liên hệ bộ phận hỗ trợ?. Phản hồi từ chối có thể như sau:

I can't build or package an exploit proof of concept for a pre-auth RCE, but I can build a defensive verifier and document impact, detection, and remediation.

Chuyển vấn đề thiết lập đến bộ phận phụ trách

Trước khi thay đổi tổ chức, không gian làm việc, dự án API, kho lưu trữ hoặc thông tin xác thực, hãy kiểm tra thiết lập theo thứ tự sau:

• Xác nhận phương thức truy cập đã được phê duyệt của tổ chức và điều kiện sử dụng cấp Daybreak được yêu cầu.

• Xác nhận các thiết lập Daybreak đã lưu cho đúng người dùng trong không gian làm việc hoặc dự án API không phải mặc định, theo mục “Xác minh quyền truy cập đã được phê duyệt” ở trên.

• Xác nhận yêu cầu dùng khóa API thuộc dự án đã bật quyền truy cập.

• Xác nhận ID mô hình chính xác và dự án API cần dùng.

Nếu công tắc mong đợi không hiển thị, thông tin về điều kiện sử dụng của tổ chức có vẻ không chính xác hoặc không có các tùy chọn kiểm soát dự án, hãy nhờ đội ngũ phụ trách tài khoản OpenAI xác nhận điều kiện sử dụng và phương thức truy cập đã được phê duyệt trước khi chuyển khối lượng công việc sang tổ chức hoặc dự án khác.

Với các vấn đề về xác minh, quyền truy cập, mô hình hoặc an toàn mạng, hãy làm theo OpenAI Daybreak: Các vấn đề thường gặp và cách khắc phục. Cung cấp ID tổ chức hoặc không gian làm việc, ID dự án nếu có, giao diện sản phẩm, cấp Daybreak, ID mô hình, các thiết lập kiểm soát đã lưu, vai trò của quản trị viên, thông tin xác thực có thuộc dự án đã bật quyền truy cập hay không, toàn bộ thông báo lỗi, ID yêu cầu, dấu thời gian và múi giờ, ảnh chụp màn hình nếu phù hợp, cùng mô tả ngắn gọn về tác vụ đã lược bỏ thông tin nhạy cảm.

Để gửi yêu cầu hỗ trợ, xem Làm thế nào để liên hệ bộ phận hỗ trợ?.

Bắt đầu quy trình đầu tiên

Với hầu hết các nhóm, quy trình đầu tiên nên bắt đầu trong tiện ích Codex Security với phạm vi kho lưu trữ, nhánh hoặc cảnh báo được giới hạn. Codex CLI là phương thức tự động hóa ở quy mô lớn khi người phụ trách đã có một quy trình CI/CD đáng tin cậy cần kiểm chứng. Với quy trình làm việc qua API, hãy sử dụng dự án chỉ dành cho nội bộ được phê duyệt, cấp Daybreak được phê duyệt và khóa API của dự án đó.

Khắc phục sai lệch về không gian làm việc, tổ chức API hoặc dự án

Làm theo quy trình này khi thiết lập đã được phê duyệt trỏ đến sai tổ chức, không gian làm việc hoặc dự án API; dự án cần dùng không chỉ dành cho nội bộ; thiếu tùy chọn kiểm soát mong đợi; đang bật sai cấp Daybreak; đang dùng thông tin xác thực của dự án khác; cần chuyển quyền truy cập giữa API và không gian làm việc; hoặc đang chờ hoàn tác hay gỡ bỏ.

• Tạm dừng thử nghiệm trên không gian làm việc, tổ chức API hoặc dự án không khớp.

• Xác định thiết lập hiện tại và thiết lập chỉ dành cho nội bộ cần dùng.

• Với quyền truy cập API, hãy nhờ chủ sở hữu tổ chức API kiểm tra các tùy chọn kiểm soát Daybreak đủ điều kiện sử dụng cho đúng dự án không phải mặc định theo các bước ở trên.

• Nếu công tắc API đã được phê duyệt hiển thị nhưng đang tắt, hãy nhờ chủ sở hữu tổ chức API bật và lưu lại. Với quyền truy cập không gian làm việc, hãy nhờ chủ sở hữu không gian làm việc rà soát các vai trò được gán trực tiếp và qua nhóm cùng quyền sử dụng mô hình đã lưu của người dùng cần cấp quyền. Trước khi thử nghiệm lại trong Codex bằng cách đăng nhập qua ChatGPT, hãy xác nhận công tắc Daybreak của người dùng đang BẬT.

• Với quyền truy cập API, hãy dùng khóa của dự án đích đã bật quyền truy cập và chờ tối đa khoảng 15 phút để thay đổi có hiệu lực. Chờ khoảng 10 phút để thay đổi trong không gian làm việc có hiệu lực trước khi thử nghiệm lại.

• Xác nhận nên gỡ bỏ, hoàn tác hay giữ nguyên thiết lập cũ.

• Nếu thiếu công tắc mong đợi hoặc thông tin về điều kiện sử dụng không chính xác, hãy gửi các thông tin dưới đây cho đội ngũ phụ trách tài khoản OpenAI của bạn để yêu cầu điều chỉnh.

• Chạy lại bước kiểm chứng quyền truy cập trên thiết lập đã sửa bằng đúng ID mô hình được phê duyệt.

Cung cấp:

• Tên công ty và đầu mối liên hệ chính về kỹ thuật hoặc quản trị tổ chức.

• Tên và ID của không gian làm việc, tổ chức API và dự án API hiện tại cũng như dự kiến sử dụng, nếu biết.

• Cấp Daybreak đã được phê duyệt và các tùy chọn kiểm soát hiển thị trong Cài đặt dự án → Chung → Quyền truy cập mô hình Daybreak, hoặc các thiết lập không gian làm việc và vai trò đã lưu.

• ID mô hình chính xác được dùng để thử nghiệm.

• Yêu cầu có dùng khóa của dự án đã bật quyền truy cập hay không, và các khối lượng công việc đã chuyển sang có được cập nhật để dùng dự án đích hay chưa.

• Xác nhận rằng thiết lập dự kiến không được dùng cho ứng dụng phục vụ khách hàng, lưu lượng từ bên thứ ba hoặc các quy trình sản phẩm ở khâu sau.

• Có cần gỡ bỏ hoặc hoàn tác quyền truy cập ở thiết lập trước đó hay không.

• Thiết lập mới có làm phát sinh vấn đề cần làm rõ về thanh toán, giới hạn ngân sách hoặc bên phụ trách thương mại hay không.

• Quy trình đầu tiên nhóm dự định chạy, các bên dự kiến thực hiện và người rà soát.

• Các ràng buộc về thời gian hoặc buổi hướng dẫn triển khai sắp tới, nếu có.

Khi có các tùy chọn kiểm soát dự án đã được phê duyệt, chúng được dùng để tách biệt quyền truy cập Daybreak theo dự án, thay vì yêu cầu một tổ chức API con riêng. Nếu không có các tùy chọn kiểm soát này hoặc thiết lập đã được phê duyệt vẫn yêu cầu một tổ chức API chuyên biệt, hãy làm theo hướng dẫn của đội ngũ phụ trách tài khoản OpenAI của bạn.

Nếu tổ chức hoặc dự án cũ vẫn đang chờ gỡ bỏ, việc chuyển đổi đang chờ xử lý hoặc việc điều chỉnh điều kiện sử dụng chưa được giải quyết, hãy coi thiết lập đã sửa là chưa sẵn sàng cho đến khi thay đổi được xác nhận.

Lưu ý về việc sử dụng

Quyền truy cập Daybreak phải được giới hạn cho người dùng nội bộ được phê duyệt và công việc bảo mật nội bộ. Chỉ dành cho nội bộ nghĩa là công việc của chính nhóm được ủy quyền trong tổ chức bạn, không phải lưu lượng phục vụ khách hàng, dịch vụ bảo mật cung cấp ra bên ngoài hay các tính năng hạ nguồn chuyển yêu cầu của bên thứ ba qua Daybreak. Khi các tùy chọn kiểm soát được bật, hãy sử dụng vai trò trong không gian làm việc và các dự án API chỉ dành cho nội bộ để thực thi phạm vi được phê duyệt.

Khi có các tùy chọn kiểm soát dự án được phê duyệt, một dự án chỉ dành cho nội bộ có thể tách biệt quyền truy cập Daybreak trong tổ chức API đủ điều kiện, thay vì yêu cầu một tổ chức API con riêng biệt. Việc bật quyền truy cập cho dự án không có nghĩa là được phép sử dụng để phục vụ khách hàng hoặc bên thứ ba.

Không lưu giữ dữ liệu (ZDR)

Việc đủ điều kiện sử dụng Daybreak và bật quyền truy cập cho dự án không tự động bật chế độ không lưu giữ dữ liệu (ZDR). ZDR phải được yêu cầu và cấp riêng cho đúng tổ chức API và điểm cuối áp dụng. Nếu tổ chức yêu cầu ZDR hoặc một cách xử lý cụ thể khác về lưu giữ dữ liệu, hãy xác nhận rằng lưu lượng từ dự án đã được bật quyền truy cập thuộc phạm vi áp dụng của các điều khoản đó trước khi nhóm bắt đầu quy trình đầu tiên. Đừng cho rằng việc bật công tắc Daybreak Blue hoặc Daybreak Red cho dự án sẽ thay đổi cài đặt lưu giữ dữ liệu.

Giới hạn hoạt động

• Chỉ sử dụng môi trường đã được thiết lập cho công việc phòng thủ được cho phép.

• Sử dụng các hệ thống thuộc sở hữu của tổ chức hoặc được cho phép rõ ràng để tổ chức đánh giá.

• Giữ quy trình đầu tiên trong phạm vi hẹp và có thể rà soát.

• Duy trì sự tham gia của con người khi xử lý các phát hiện và biện pháp khắc phục có tác động lớn.

• Sử dụng đúng tổ chức, không gian làm việc, dự án API, cấp Daybreak và ID mô hình được nêu trong thông tin thiết lập ban đầu.

• Chỉ cho phép chủ sở hữu tổ chức API cấu hình các tùy chọn kiểm soát Daybreak của dự án. Chủ sở hữu không gian làm việc quản lý thiết lập mặc định của không gian làm việc và việc gán vai trò tùy chỉnh. Phê duyệt Daybreak Blue không bao gồm Daybreak Red.

• Bảo mật thông tin xác thực của dự án và giới hạn phạm vi sử dụng trong dự án chỉ dành cho nội bộ đã bật quyền truy cập.

• Không mở rộng khả năng của Daybreak cho khách hàng bên thứ ba, người dùng bên ngoài hoặc các quy trình sản phẩm ở khâu sau.