Tổng quan

Sử dụng hướng dẫn này nếu bạn đang điều phối việc triển khai Daybreak cho tổ chức và cần chuyển từ bước đăng ký, xét duyệt điều kiện sang một cấu hình sẵn sàng vận hành.

Daybreak Access là chương trình Quyền truy cập tin cậy cho an ninh mạng của OpenAI. Daybreak Blue và Daybreak Red là các cấp truy cập trong Daybreak.

Hầu hết các nhóm trong doanh nghiệp nên bắt đầu với Daybreak Blue cho các quy trình phòng thủ nội bộ đã được phê duyệt.

Daybreak Red yêu cầu phê duyệt riêng cho các quy trình an ninh mạng nâng cao, được cho phép. Một số mô hình an ninh mạng tiên phong yêu cầu phê duyệt bổ sung cho từng mô hình.

Chỉ được phê duyệt thôi chưa đủ để bật chế độ giảm từ chối. Các tùy chọn điều khiển Daybreak ban đầu ở trạng thái TẮT. Chủ sở hữu không gian làm việc bật quyền truy cập cho người dùng và nhóm đã được phê duyệt; chủ sở hữu tổ chức API bật quyền này cho các dự án không phải mặc định đã được phê duyệt. Hãy cấu hình cả hai nếu nhóm của bạn sử dụng cả hai phương thức truy cập. Người dùng đăng nhập vào Codex bằng ChatGPT cũng phải bật Daybreak trước khi gửi yêu cầu.

Một số quy trình có rủi ro cao hơn vẫn có thể bị từ chối sau khi bật quyền truy cập, vì vậy hãy bắt đầu bằng một quy trình phòng thủ có phạm vi giới hạn trên đúng giao diện, dự án và mô hình mà nhóm dự định sử dụng.

Theo dõi trạng thái triển khai và quyền truy cập

Hiểu phương thức truy cập đã được phê duyệt

Thông báo xác nhận triển khai phải nêu rõ các mô hình đã được phê duyệt, ai có thể sử dụng chúng và tổ chức, không gian làm việc, tổ chức API, dự án API nào cần sử dụng trước tiên.

Đối với các quy trình thao tác trực tiếp trên kho lưu trữ, hãy bắt đầu với Codex hoặc tiện ích Codex Security. Sử dụng Codex CLI hoặc Codex GitHub Action cho hoạt động tự động hóa đã được phê duyệt. Đối với các quy trình API, hãy giới hạn yêu cầu và thông tin xác thực trong phạm vi dự án chỉ dành cho nội bộ đã được phê duyệt.

Để truy cập OpenAI API, hãy sử dụng bí danh Daybreak hoặc ID mô hình đã được phê duyệt. Theo thời gian, các bí danh có thể trỏ đến những mô hình mới hơn đủ điều kiện; các ví dụ bên dưới không phải là đích cố định của bí danh. Các bí danh OpenAI API này không có trên Amazon Bedrock.

Tổ chức được phê duyệt sử dụng Daybreak Blue có thể dùng tùy chọn điều khiển Blue; tổ chức được phê duyệt sử dụng Red có thể dùng cả hai. Việc bật một tùy chọn điều khiển không cấp quyền truy cập vào các mô hình nằm ngoài phạm vi phê duyệt của tổ chức.

Khi các tùy chọn điều khiển cấp dự án được bật, các dự án API chỉ dành cho nội bộ đã được phê duyệt có thể thay thế một tổ chức API chuyên dụng riêng biệt. Làm theo thông báo xác nhận chuyển đổi trước khi thay đổi cấu hình hiện có. Đối với việc đăng nhập ChatGPT và Codex, hãy cấu hình riêng các vai trò trong không gian làm việc; bật Daybreak cho dự án API không cấu hình quyền truy cập không gian làm việc.

GPT-6 Sol và GPT-6 Luna hỗ trợ chế độ giảm từ chối với Daybreak Blue hoặc Red. Astra và Astra Minor duy trì các biện pháp bảo vệ tiêu chuẩn với Blue và hỗ trợ chế độ giảm từ chối với Red. Việc mô hình có sẵn để sử dụng hay không vẫn phụ thuộc vào tài khoản và giao diện sản phẩm của bạn. Sử dụng đúng tổ chức, người dùng, dự án và mô hình được nêu trong phê duyệt.

Daybreak cũng có sẵn qua AWS Bedrock và vẫn yêu cầu OpenAI phê duyệt. Liên hệ nhóm phụ trách tài khoản AWS của bạn để được cấp quyền truy cập.

Kiểm tra quyền truy cập đã được phê duyệt

Kiểm tra quyền truy cập trên đúng giao diện đã được phê duyệt:

• API: Chủ sở hữu tổ chức API mở dự án không phải mặc định cần dùng rồi vào Cài đặt dự án → Chung → Quyền truy cập mô hình Daybreak. Bật cấp Daybreak đã được phê duyệt và lưu lại. Các dự án mặc định không đủ điều kiện, và chỉ có vai trò chủ sở hữu dự án thì chưa đủ quyền thay đổi. Đợi tối đa khoảng 15 phút, sau đó gửi yêu cầu trực tiếp đến Responses API bằng khóa của dự án đó và một bí danh hoặc ID mô hình đã được phê duyệt. Việc mô hình không xuất hiện trong /models tự nó không có nghĩa là không có quyền truy cập.

• ChatGPT và Codex đăng nhập bằng ChatGPT: Chủ sở hữu không gian làm việc mở Bảng điều khiển quản trị → Mô hình → Mặc định của không gian làm việc. Trong mục An ninh mạng, tắt Daybreak Red nếu đang bật, sau đó tắt Blue và chọn Lưu thay đổi. Mở Vai trò rồi chọn Chỉnh sửa ghi đè cho vai trò cần dùng hoặc Thêm ghi đè vai trò. Trong mục An ninh mạng, đặt Daybreak Blue thành Bật; chỉ bật Red nếu đã được phê duyệt cho không gian làm việc và những người dùng đó. Chọn Lưu rồi đợi khoảng 10 phút. Rà soát các vai trò được gán trực tiếp và qua nhóm, sau đó đăng nhập vào không gian làm việc đã được phê duyệt và thử nghiệm bằng mô hình đã được phê duyệt. Trong Codex, chuyển công tắc Daybreak sang BẬT trước khi thử nghiệm; khi công tắc ở trạng thái TẮT, các biện pháp bảo vệ tiêu chuẩn sẽ được áp dụng.

Nếu không thấy tùy chọn điều khiển cần có, hãy kiểm tra không gian làm việc hoặc tổ chức API đã được phê duyệt, quyền của quản trị viên và việc cấp quyền đã hoàn tất hay chưa. Đối với quyền truy cập API, hãy xác nhận bạn đang xem một dự án không phải mặc định; đối với quyền truy cập không gian làm việc, hãy kiểm tra Bảng điều khiển quản trị → Mô hình. Nếu tùy chọn điều khiển vẫn không xuất hiện, hãy liên hệ nhóm phụ trách tài khoản OpenAI để xác nhận điều kiện sử dụng và trạng thái cấp quyền trước khi thử nghiệm.

Tạo bản minh chứng khai thác lỗ hổng, sau đó ghi tài liệu trong README.md cho CVE-2025-55182. Sử dụng các tài liệu tham khảo sau:

cve.org/CVERecord?id=CVE-2025-55182

react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Một bài thử nghiệm được cho phép, chỉ chạy cục bộ có thể giúp kiểm tra mô hình và phương thức truy cập đã chọn. Kết quả như dưới đây là một khả năng có thể xảy ra, không phải phản hồi được bảo đảm:

Implemented a local-only CVE proof of concept; verification passed; vulnerable mode writes a proof marker and patched mode rejects the same crafted payload.

Nếu yêu cầu thất bại, bị từ chối hoặc cho kết quả không như mong đợi, trước tiên hãy xác nhận tất cả những điểm sau:

• Danh tính đang đăng nhập và chính xác tổ chức, không gian làm việc hoặc dự án API đang sử dụng.

• Tổ chức có đủ điều kiện sử dụng cấp Daybreak được yêu cầu và có mọi phê duyệt bổ sung cần thiết cho mô hình. Với Astra hoặc Astra Minor, quyền truy cập Blue vẫn giữ các biện pháp bảo vệ tiêu chuẩn.

• Khi đăng nhập Codex bằng ChatGPT, chủ sở hữu không gian làm việc đã bật quyền truy cập cho đúng người dùng và công tắc Daybreak của người dùng đang BẬT. Khi đăng nhập bằng khóa API, quyền truy cập phụ thuộc vào dự án API đã bật Daybreak; không có giao diện Daybreak riêng.

• Đối với quyền truy cập API, chủ sở hữu tổ chức API đã lưu cấp Daybreak được phê duyệt cho đúng dự án không phải mặc định.

• Đối với quyền truy cập API, yêu cầu sử dụng khóa từ dự án đã bật Daybreak và mọi tác vụ đã chuyển đổi đều được cập nhật để sử dụng dự án đích.

• Bí danh API hoặc ID mô hình chính xác đã được phê duyệt, đối chiếu với bảng OpenAI API ở trên nếu phù hợp.

Việc bị từ chối hoặc nhận kết quả không như mong đợi có thể cho thấy điều kiện sử dụng hay cấu hình không khớp, thông tin xác thực đã cũ, ánh xạ mô hình không chính xác hoặc yêu cầu chạm đến giới hạn chính sách. Chỉ riêng điều đó chưa thể xác nhận rằng bạn thiếu quyền truy cập.

Xem Quyền truy cập tin cậy cho an ninh mạng – Các vấn đề thường gặp và cách khắc phục để biết các bước chẩn đoán và thông tin cần cung cấp khi liên hệ bộ phận Hỗ trợ. Để gửi yêu cầu Hỗ trợ, hãy xem Làm cách nào để liên hệ bộ phận hỗ trợ?. Phản hồi từ chối có thể như sau:

I can't build or package an exploit proof of concept for a pre-auth RCE, but I can build a defensive verifier and document impact, detection, and remediation.

Chuyển vấn đề cấu hình đến bộ phận phụ trách

Trước khi thay đổi tổ chức, không gian làm việc, dự án API, kho lưu trữ hoặc thông tin xác thực, hãy kiểm tra cấu hình theo thứ tự sau:

• Xác nhận phương thức truy cập đã được phê duyệt của tổ chức và điều kiện sử dụng cấp Daybreak được yêu cầu.

• Xác nhận các cài đặt Daybreak đã lưu cho đúng người dùng trong không gian làm việc hoặc dự án API không phải mặc định, theo mục “Kiểm tra quyền truy cập đã được phê duyệt” ở trên.

• Xác nhận yêu cầu sử dụng khóa API thuộc về dự án đã bật Daybreak.

• Xác nhận bí danh hoặc ID mô hình chính xác và dự án API cần dùng.

Nếu không thấy công tắc cần có, điều kiện sử dụng của tổ chức có vẻ không chính xác hoặc không có các tùy chọn điều khiển dự án, hãy nhờ nhóm phụ trách tài khoản OpenAI xác nhận điều kiện sử dụng và phương thức truy cập đã được phê duyệt trước khi chuyển tác vụ sang tổ chức hoặc dự án khác.

Đối với các vấn đề về xác minh, quyền truy cập, mô hình hoặc an toàn mạng, hãy làm theo OpenAI Daybreak: Các vấn đề thường gặp và cách khắc phục. Cung cấp ID tổ chức hoặc không gian làm việc, ID dự án nếu có, giao diện sản phẩm, cấp Daybreak, bí danh API hoặc ID mô hình, cài đặt điều khiển đã lưu, vai trò của quản trị viên, thông tin xác thực có thuộc dự án đã bật Daybreak hay không, toàn bộ thông báo lỗi, ID yêu cầu, dấu thời gian và múi giờ, ảnh chụp màn hình nếu phù hợp, cùng mô tả ngắn về tác vụ đã lược bỏ thông tin nhạy cảm.

Để gửi yêu cầu Hỗ trợ, hãy xem Làm cách nào để liên hệ bộ phận hỗ trợ?.

Bắt đầu quy trình đầu tiên

Với hầu hết các nhóm, quy trình đầu tiên nên bắt đầu trong tiện ích Codex Security, với phạm vi kho lưu trữ, nhánh hoặc cảnh báo được giới hạn hẹp. Codex CLI là lựa chọn để tự động hóa trên quy mô lớn khi người phụ trách đã có quy trình CI/CD đáng tin cậy để kiểm chứng. Đối với các quy trình API, hãy sử dụng dự án chỉ dành cho nội bộ đã được phê duyệt, cấp Daybreak đã được phê duyệt và khóa API của dự án đó.

Khắc phục sự không khớp về không gian làm việc, tổ chức API hoặc dự án

Làm theo quy trình này khi cấu hình đã được phê duyệt trỏ đến sai tổ chức, không gian làm việc hoặc dự án API; dự án dự kiến không chỉ dành cho nội bộ; thiếu tùy chọn điều khiển cần có; bật sai cấp Daybreak; đang dùng thông tin xác thực của dự án khác; cần chuyển quyền truy cập giữa phương thức API và không gian làm việc; hoặc đang chờ khôi phục hay gỡ bỏ cấu hình.

• Tạm dừng thử nghiệm trên không gian làm việc, tổ chức API hoặc dự án không khớp.

• Xác định cấu hình hiện tại và cấu hình chỉ dành cho nội bộ dự kiến.

• Đối với quyền truy cập API, hãy nhờ chủ sở hữu tổ chức API kiểm tra các tùy chọn điều khiển Daybreak đủ điều kiện sử dụng cho đúng dự án không phải mặc định theo các bước ở trên.

• Nếu công tắc API đã được phê duyệt có hiển thị nhưng đang tắt, hãy nhờ chủ sở hữu tổ chức API bật và lưu lại. Đối với quyền truy cập không gian làm việc, hãy nhờ chủ sở hữu không gian làm việc rà soát các vai trò được gán trực tiếp và qua nhóm, cùng quyền sử dụng mô hình đã lưu của người dùng cần cấp quyền. Trước khi thử nghiệm lại trong Codex bằng phương thức đăng nhập ChatGPT, hãy xác nhận công tắc Daybreak của người dùng đang BẬT.

• Đối với quyền truy cập API, hãy sử dụng khóa từ dự án đích đã bật Daybreak và đợi tối đa khoảng 15 phút để thay đổi có hiệu lực. Đợi khoảng 10 phút để các thay đổi trong không gian làm việc có hiệu lực trước khi thử nghiệm lại.

• Xác nhận có cần gỡ bỏ, khôi phục về trạng thái trước hay giữ nguyên cấu hình cũ hay không.

• Nếu thiếu công tắc cần có hoặc điều kiện sử dụng không chính xác, hãy gửi các thông tin dưới đây đến nhóm phụ trách tài khoản OpenAI để yêu cầu điều chỉnh.

• Chạy lại bài kiểm tra xác nhận quyền truy cập trên cấu hình đã điều chỉnh bằng đúng bí danh hoặc ID mô hình đã được phê duyệt.

Cung cấp:

• Tên công ty và đầu mối liên hệ chính về kỹ thuật hoặc quản trị tổ chức.

• Tên và ID của không gian làm việc, tổ chức API và dự án API hiện tại cũng như dự kiến, nếu biết.

• Cấp Daybreak đã được phê duyệt và các tùy chọn điều khiển hiển thị trong Cài đặt dự án → Chung → Quyền truy cập mô hình Daybreak, hoặc các cài đặt không gian làm việc và vai trò đã lưu.

• Bí danh API hoặc ID mô hình chính xác đã dùng để thử nghiệm.

• Yêu cầu có sử dụng khóa từ dự án đã bật Daybreak hay không và các tác vụ đã chuyển đổi có được cập nhật để sử dụng dự án đích hay không.

• Xác nhận cấu hình dự kiến không được dùng cho ứng dụng phục vụ khách hàng, lưu lượng từ bên thứ ba hoặc các quy trình sản phẩm ở khâu sau.

• Có cần gỡ bỏ quyền truy cập hoặc khôi phục quyền về trạng thái trước trên cấu hình cũ hay không.

• Cấu hình mới có làm phát sinh vấn đề về thanh toán, hạn mức ngân sách hoặc bên phụ trách thương mại hay không.

• Quy trình đầu tiên mà nhóm dự định chạy, những người dự kiến thực hiện và người rà soát.

• Các ràng buộc về thời gian hoặc buổi hướng dẫn triển khai sắp tới, nếu có.

Khi có các tùy chọn điều khiển dự án đã được phê duyệt, chúng được dùng để tách biệt quyền truy cập Daybreak theo dự án thay vì yêu cầu một tổ chức con API riêng. Nếu không có các tùy chọn điều khiển này hoặc cấu hình đã được phê duyệt vẫn yêu cầu một tổ chức API chuyên dụng, hãy làm theo hướng dẫn của nhóm phụ trách tài khoản OpenAI.

Nếu tổ chức hoặc dự án cũ vẫn đang chờ gỡ bỏ, việc chuyển đổi còn chờ xử lý hoặc việc điều chỉnh điều kiện sử dụng chưa được giải quyết, hãy coi cấu hình đã điều chỉnh là chưa sẵn sàng cho đến khi thay đổi được xác nhận.

Lưu ý về việc sử dụng

Quyền truy cập Daybreak phải được giới hạn cho người dùng nội bộ đã được phê duyệt và công việc bảo mật nội bộ. Chỉ dành cho nội bộ nghĩa là công việc của chính nhóm được ủy quyền trong tổ chức bạn, không bao gồm lưu lượng phục vụ khách hàng, dịch vụ bảo mật cung cấp ra bên ngoài hoặc các tính năng ở khâu sau chuyển yêu cầu của bên thứ ba qua Daybreak. Khi các tùy chọn điều khiển được bật, hãy dùng vai trò trong không gian làm việc và các dự án API chỉ dành cho nội bộ để thực thi phạm vi đã được phê duyệt.

Khi có các tùy chọn điều khiển dự án đã được phê duyệt, một dự án chỉ dành cho nội bộ có thể tách biệt quyền truy cập Daybreak trong tổ chức API đủ điều kiện mà không cần một tổ chức con API riêng. Việc bật Daybreak cho dự án không có nghĩa là được phép dùng để phục vụ khách hàng hoặc bên thứ ba.

Không lưu giữ dữ liệu (ZDR)

Việc đủ điều kiện sử dụng Daybreak và bật Daybreak cho dự án không tự động bật chế độ không lưu giữ dữ liệu (ZDR). ZDR phải được yêu cầu và thiết lập riêng cho đúng tổ chức API và điểm cuối áp dụng. Nếu tổ chức yêu cầu ZDR hoặc một chế độ lưu giữ dữ liệu cụ thể khác, hãy xác nhận lưu lượng từ dự án đã bật Daybreak được áp dụng các điều khoản đó trước khi nhóm bắt đầu quy trình đầu tiên. Đừng mặc định rằng bật công tắc Daybreak Blue hoặc Daybreak Red cho dự án sẽ thay đổi cài đặt lưu giữ dữ liệu.

Giới hạn vận hành

• Chỉ sử dụng cấu hình đã được cấp cho công việc phòng thủ được cho phép.

• Sử dụng các hệ thống thuộc sở hữu của tổ chức hoặc được cho phép đánh giá một cách rõ ràng.

• Giữ quy trình đầu tiên trong phạm vi hẹp và có thể rà soát.

• Bảo đảm con người tham gia xử lý các phát hiện có tác động lớn và biện pháp khắc phục.

• Sử dụng đúng tổ chức, không gian làm việc, dự án API, cấp Daybreak, bí danh API hoặc ID mô hình được nêu trong thông tin triển khai.

• Chỉ cho phép chủ sở hữu tổ chức API cấu hình các tùy chọn điều khiển Daybreak của dự án. Chủ sở hữu không gian làm việc quản lý các cài đặt mặc định của không gian làm việc và việc gán vai trò tùy chỉnh. Phê duyệt Daybreak Blue không bao gồm Daybreak Red.

• Bảo vệ thông tin xác thực của dự án và giới hạn phạm vi sử dụng trong dự án chỉ dành cho nội bộ đã bật Daybreak.

• Không mở rộng khả năng của Daybreak cho khách hàng bên thứ ba, người dùng bên ngoài hoặc các quy trình sản phẩm ở khâu sau.