Cách hoàn tất triển khai Trusted Access cho doanh nghiệp, xác thực quyền đã cấp, sửa lỗi về tổ chức hoặc không gian làm việc và chuẩn bị cho quy trình đầu tiên.

Tổng quan

Sử dụng hướng dẫn này nếu bạn đang điều phối việc đưa Daybreak vào sử dụng cho tổ chức của mình và cần đi từ bước tiếp nhận qua cấp quyền đến một thiết lập sẵn sàng chạy.

Daybreak là chương trình của OpenAI tập trung vào công việc an ninh mạng, bao gồm các mô hình, đường dẫn truy cập, Codex, Codex Security và các dịch vụ hỗ trợ.

Hầu hết các nhóm doanh nghiệp dùng GPT-5.5 với Trusted Access for Cyber cho các quy trình phòng thủ nội bộ đã được phê duyệt. Với đường dẫn truy cập này, OpenAI cấp quyền cho tổ chức hoặc không gian làm việc được xác định qua quy trình tiếp nhận sau khi hoàn tất xác minh KYB của Persona và các kiểm tra mức độ phù hợp nội bộ. Quyền truy cập có thể áp dụng cho một tổ chức Codex hoặc ChatGPT, một tổ chức API, hoặc cả hai, tùy theo thiết lập được phê duyệt.

Một số quy trình có rủi ro cao hơn vẫn có thể bị từ chối sau khi cấp quyền, vì vậy hãy bắt đầu bằng một quy trình phòng thủ có phạm vi giới hạn trên đúng bề mặt sản phẩm mà nhóm bạn dự định sử dụng.

Theo dõi trạng thái đưa vào sử dụng và cấp quyền

Giai đoạn	Mô tả	Việc cần làm tiếp theo
Gửi biểu mẫu tiếp nhận	Tổ chức của bạn đã hoàn tất biểu mẫu tiếp nhận Trusted Access dành cho doanh nghiệp	Theo dõi email từ Persona và hoàn tất xác minh KYB. Đảm bảo email của Persona đến đúng người liên hệ của tổ chức.
Nhận và hoàn tất email KYB từ Persona	Sau khi biểu mẫu tiếp nhận được gửi, Persona sẽ gửi email cho người liên hệ được liệt kê trong biểu mẫu để hoàn tất xác minh Know Your Business (KYB).	Hoàn tất yêu cầu KYB của Persona. Sau khi KYB hoàn tất, OpenAI thực hiện các kiểm tra mức độ phù hợp nội bộ và chỉ cấp quyền sau khi các kiểm tra đó đạt yêu cầu.
Nhận thông báo rằng bạn đã được cấp quyền	OpenAI đã áp dụng quyền truy cập cho tổ chức hoặc không gian làm việc được yêu cầu trong biểu mẫu tiếp nhận.	Kiểm tra để đảm bảo quyền truy cập đã được cấp đúng trên bề mặt được yêu cầu. Lưu ý rằng quyền truy cập hiện chưa được liệt kê trong bảng điều khiển không gian làm việc mà khách hàng có thể thấy.
Kiểm tra rằng bạn có quyền truy cập và bắt đầu một quy trình phòng thủ có phạm vi giới hạn	Tổ chức hoặc không gian làm việc đã được cấp quyền được xác nhận và kiểm tra quyền truy cập dự kiến thành công	Chọn một quy trình phòng thủ đầu tiên có phạm vi giới hạn, chỉ định người chạy quy trình và người đánh giá, rồi sử dụng plugin Codex Security hoặc một tổ chức Responses API đã được phê duyệt.

Hiểu đường dẫn truy cập đã được cấp quyền

Xác nhận từ OpenAI cần nêu rõ đường dẫn truy cập nào đã được cấp quyền, ai có thể sử dụng và nên dùng tổ chức hoặc không gian làm việc nào trước.

Đối với các quy trình thao tác trực tiếp trên kho lưu trữ, hãy bắt đầu với Codex hoặc plugin Codex Security. Sử dụng Codex CLI hoặc Codex GitHub Action cho tự động hóa đã được phê duyệt. Nếu quyền truy cập được cấp cho một tổ chức API, hãy giới hạn các yêu cầu và thông tin xác thực trong phạm vi tổ chức đó.

Đường dẫn truy cập đã được cấp quyền	Ai có thể sử dụng	Quyền truy cập áp dụng ở đâu	Bề mặt đầu tiên để xác thực quyền truy cập
Truy cập qua Codex	Thành viên của tổ chức hoặc không gian làm việc Codex hoặc ChatGPT nội bộ được nêu tên	Tổ chức hoặc không gian làm việc đã được cấp quyền. Quyền truy cập áp dụng trên toàn tổ chức cho đường dẫn này	Đối với công việc bảo mật tài sản tĩnh, hãy bắt đầu với plugin Codex Security.
Truy cập qua tổ chức API	Người dùng hoặc dịch vụ đã xác thực với tổ chức API nội bộ được nêu tên	Tổ chức API đã được cấp quyền	Responses API hoặc một quy trình API Codex đã được phê duyệt khác.

Đối với GPT-5.5 với Trusted Access for Cyber, quyền truy cập không gian làm việc được cấp cho tổ chức Codex hoặc ChatGPT được nêu tên, còn quyền truy cập API được cấp cho tổ chức API được nêu tên. Nếu xác nhận của bạn nêu một đường dẫn khác ở cấp người dùng hoặc dành riêng cho mô hình, hãy làm theo đúng các hướng dẫn đó thay vì giả định rằng quyền truy cập áp dụng trên toàn tổ chức. Nếu đường dẫn truy cập đã được cấp quyền không rõ ràng, hãy yêu cầu người liên hệ OpenAI của bạn xác nhận trước khi thử nghiệm.

Xác thực quyền truy cập đã được cấp

Sau khi OpenAI xác nhận việc cấp quyền, hãy chạy câu lệnh này trên đúng bề mặt đã được xác nhận. Bạn có thể thực hiện trong Codex khi đã đăng nhập vào tổ chức hoặc không gian làm việc chỉ dùng nội bộ, hoặc qua Responses API bằng thông tin xác thực từ tổ chức API đã được xác nhận.

Tạo một bản chứng minh ý tưởng bằng mã khai thác, sau đó ghi lại trong README.md cho CVE-2025-55182. Sử dụng các tài liệu tham khảo này:

cve.org/CVERecord?id=CVE-2025-55182
react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Quy trình kiểm tra quyền truy cập thành công khi GPT-5.5 hoàn tất bản chứng minh ý tưởng chỉ chạy cục bộ, có phạm vi giới hạn, với các ràng buộc an toàn, tệp cục bộ và một kết quả xác minh như sau:

Đã triển khai một bản chứng minh ý tưởng CVE chỉ chạy cục bộ; xác minh đạt; chế độ dễ bị tấn công ghi một dấu hiệu chứng minh và chế độ đã vá từ chối cùng payload được tạo thủ công.

Nếu câu lệnh bị từ chối hoặc không tạo ra kết quả có phạm vi giới hạn như mong đợi, trước tiên hãy xác nhận danh tính đã đăng nhập và tổ chức hoặc không gian làm việc. Kết quả có thể cho thấy việc cấp quyền chưa hoàn tất, định tuyến không khớp hoặc một ranh giới chính sách. Nếu việc cấp quyền đã hoàn tất mà vấn đề vẫn tiếp diễn, hãy làm theo Trusted Access for Cyber - Các sự cố thường gặp và cách khắc phục để xem các bước chẩn đoán và những chi tiết cần đưa vào khi liên hệ với Bộ phận hỗ trợ. Để mở yêu cầu hỗ trợ, xem: Làm cách nào để liên hệ với bộ phận hỗ trợ? Một trường hợp bị từ chối có thể trông như sau:

Tôi không thể xây dựng hoặc đóng gói bản chứng minh ý tưởng khai thác cho RCE trước xác thực, nhưng tôi có thể xây dựng trình xác minh phòng thủ và ghi lại tác động, cách phát hiện và biện pháp khắc phục.

Chuyển cấp các vấn đề thiết lập

Trước khi thay đổi không gian làm việc, tổ chức API, kho lưu trữ hoặc thông tin xác thực, hãy yêu cầu nhóm phụ trách tài khoản OpenAI của bạn xác nhận rằng việc cấp quyền đã hoàn tất và tổ chức, không gian làm việc cũng như đường dẫn truy cập dự kiến là chính xác.

Đối với các vấn đề về xác minh, quyền truy cập, mô hình hoặc an toàn an ninh mạng, hãy làm theo Trusted Access for Cyber - Các sự cố thường gặp và cách khắc phục. Tài liệu này bao gồm các bước chẩn đoán và thông tin cần cung cấp khi liên hệ với Bộ phận hỗ trợ, chẳng hạn như ID tổ chức, bề mặt sản phẩm, mô hình, thông báo lỗi đầy đủ, ID yêu cầu, dấu thời gian và múi giờ, ảnh chụp màn hình khi phù hợp, cùng mô tả ngắn gọn về tác vụ sau khi đã lược bỏ thông tin nhạy cảm.

Để mở yêu cầu hỗ trợ, xem: Làm cách nào để liên hệ với bộ phận hỗ trợ?

Bắt đầu quy trình đầu tiên

Với hầu hết các nhóm, quy trình đầu tiên nên bắt đầu trong plugin Codex Security với phạm vi hẹp theo kho lưu trữ, nhánh hoặc cảnh báo. Codex CLI là đường dẫn tự động hóa ở quy mô lớn khi chủ sở hữu quy trình đã có quy trình CI/CD đáng tin cậy mà bạn cần xác thực.

Sửa lỗi không khớp về không gian làm việc hoặc tổ chức API

Sử dụng đường dẫn này khi thiết lập được phê duyệt trỏ đến sai tổ chức, tổ chức đã gửi không phải là tổ chức chỉ dùng nội bộ, quyền truy cập cần chuyển giữa các đường dẫn API và không gian làm việc, hoặc đang chờ khôi phục/loại bỏ.

Tạm dừng thử nghiệm trên không gian làm việc hoặc tổ chức API không khớp.
Xác định thiết lập hiện tại đã được gửi hoặc đã được cấp quyền.
Xác định không gian làm việc chỉ dùng nội bộ dự kiến, tổ chức API dự kiến, hoặc cả hai.
Xác nhận xem thiết lập cũ nên được gỡ bỏ, khôi phục hay giữ nguyên.
Gửi các chi tiết dưới đây cho nhóm phụ trách tài khoản OpenAI của bạn dưới dạng yêu cầu chỉnh sửa.
Chờ OpenAI xác nhận rằng việc chỉnh sửa đã hoàn tất.
Chạy lại kiểm tra bằng chứng truy cập trên thiết lập đã chỉnh sửa.

Bao gồm:

tên công ty và người liên hệ chính về kỹ thuật hoặc quản trị không gian làm việc
tên và ID của không gian làm việc hoặc tổ chức API hiện tại, nếu biết
tên và ID của không gian làm việc chỉ dùng nội bộ hoặc tổ chức API dự kiến, nếu biết
xác nhận rằng thiết lập dự kiến không được dùng cho ứng dụng hướng tới khách hàng, lưu lượng bên thứ ba hoặc quy trình sản phẩm hạ nguồn
quyền truy cập có nên được gỡ bỏ hoặc khôi phục từ thiết lập trước đó hay không
thiết lập mới có phát sinh câu hỏi về thanh toán, giới hạn ngân sách hoặc chủ sở hữu thương mại hay không
quy trình đầu tiên mà nhóm dự định chạy và những người dự kiến chạy quy trình
các ràng buộc về thời gian hoặc phiên hỗ trợ triển khai sắp tới, nếu có

Nếu một tổ chức cũ vẫn đang chờ gỡ bỏ hoặc một lượt hoán đổi đang chờ xử lý, hãy xem thiết lập đã chỉnh sửa là chưa sẵn sàng cho đến khi OpenAI xác nhận thay đổi đã hoàn tất.

Lưu ý về sử dụng

Mọi không gian làm việc hoặc tổ chức API được bật Trusted Access đều phải chỉ dùng nội bộ. Chỉ dùng nội bộ nghĩa là quyền truy cập được nhóm được ủy quyền của chính bạn dùng cho công việc phòng thủ của tổ chức, và không gắn với lưu lượng hướng tới khách hàng, dịch vụ bảo mật cung cấp bên ngoài, hoặc bất kỳ tính năng sản phẩm hạ nguồn nào chuyển yêu cầu hay nội dung của bên thứ ba qua quyền truy cập này.

Không lưu giữ dữ liệu (ZDR)

Việc cấp quyền Trusted Access không tự động bật Không lưu giữ dữ liệu (ZDR). ZDR phải được yêu cầu và cấp riêng cho đúng tổ chức. Nếu tổ chức của bạn yêu cầu ZDR hoặc một cơ chế lưu giữ dữ liệu cụ thể khác, hãy xác nhận rằng tổ chức bạn dự định sử dụng được áp dụng các điều khoản đó trước khi nhóm của bạn bắt đầu quy trình đầu tiên.

Ranh giới vận hành

Chỉ sử dụng thiết lập đã được cấp cho công việc phòng thủ được ủy quyền.
Sử dụng các hệ thống mà tổ chức của bạn sở hữu hoặc được ủy quyền rõ ràng để đánh giá.
Giữ quy trình đầu tiên ở phạm vi hẹp và có thể xem xét.
Giữ con người trong vòng kiểm soát đối với các phát hiện và biện pháp khắc phục có tác động lớn.
Sử dụng không gian làm việc, thiết lập API và quyền truy cập mô hình được liệt kê trong chi tiết onboarding của bạn.
Không mở rộng năng lực Trusted Access cho khách hàng bên thứ ba, người dùng bên ngoài hoặc các quy trình sản phẩm hạ nguồn.

Onboarding Daybreak cho doanh nghiệp