OpenAI Daybreak aide les utilisateurs approuvés à mener des activités autorisées de cybersécurité défensive. Daybreak Blue donne accès aux modèles phares, qui opposent moins de refus dans les workflows défensifs autorisés. Daybreak Red donne accès, sur approbation distincte, à des modèles spécialisés en cybersécurité pour des travaux de recherche plus avancés.
Utilisez le modèle approuvé dans un environnement contrôlé. Délimitez clairement les systèmes et les actions autorisés, appliquez le principe du moindre privilège et prévoyez une révision automatique avant l’exécution de toute action sensible. Utilisez le modèle uniquement avec l’identité approuvée, dans l’espace de travail ou dans l’organisation API et le projet approuvés, et via l’interface autorisée.
Choisissez le modèle adapté
Pour la plupart des activités défensives autorisées, commencez par GPT-Daybreak-Blue. Ce modèle donne accès à des capacités avancées et oppose moins de refus dans les workflows de sécurité défensive, notamment pour les activités suivantes :
- Recherche et tri des vulnérabilités.
- Revue de code axée sur la sécurité et modélisation des menaces.
- Ingénierie de la détection et réponse aux incidents.
- Analyse de logiciels malveillants dans un environnement contrôlé.
- Correction des vulnérabilités et validation des correctifs.
GPT-Daybreak-Red est un modèle spécialisé en cybersécurité destiné aux workflows explicitement autorisés qui font l’objet d’une approbation distincte. Il convient notamment à la reproduction de vulnérabilités en environnement contrôlé, à la validation de preuves de concept ou de codes d’exploitation, aux tests d’intrusion, au red teaming et à l’analyse de systèmes complexes. Pour les activités de sécurité courantes, ce modèle n’est pas le choix par défaut. L’accès n’est pas automatique et seules certaines interfaces le proposent.
Sans autorisation claire, ces workflows avancés peuvent s’apparenter à des activités malveillantes. Utilisez le modèle et l’interface approuvés uniquement pour évaluer des systèmes qui vous appartiennent ou que vous avez l’autorisation explicite d’évaluer. Maintenez une supervision humaine adaptée.
Par exemple :
- GPT-Daybreak-Blue : Examinez le dépôt de laboratoire approuvé pour y repérer les faiblesses d’authentification. Classez-les selon les éléments de preuve et leur impact, puis proposez des correctifs sans accéder à des systèmes externes.
- GPT-Daybreak-Red : Dans le laboratoire approuvé et pendant le créneau de test autorisé, reproduisez la faille d’authentification documentée et validez une preuve de concept minimale. Arrêtez-vous avant d’accéder à des identifiants, de mettre en place un mécanisme de persistance ou de modifier un système en production.
Trusted Access for Cyber
Demandez l’accès à Daybreak via le programme Trusted Access for Cyber. L’accès doit être approuvé et activé pour votre identité ou votre service, pour votre espace de travail ChatGPT ou pour votre organisation API et votre projet, ainsi que pour l’offre, le modèle et l’interface autorisés.
- Les particuliers peuvent remplir le formulaire de demande individuelle Trusted Access.
- Les organisations peuvent soumettre le formulaire de demande Trusted Access pour les entreprises et coordonner leurs démarches avec leur interlocuteur chez OpenAI.
Ni le dépôt d’une demande ni la vérification de votre identité ne garantissent l’approbation de votre demande.
Demander l’accès à Daybreak Blue, faire vérifier votre identité ou obtenir l’approbation pour Daybreak Blue ne vous donne pas accès à Daybreak Red ni à GPT-Daybreak-Red. L’accès à cette offre spécialisée doit être approuvé et activé séparément.
Si vous disposez d’un accès entreprise, utilisez l’espace de travail, l’organisation API ou le projet approuvé uniquement pour les activités internes autorisées de votre organisation. N’étendez pas cet accès à des utilisateurs externes, à des clients tiers, à des services proposés à l’extérieur de l’organisation, à des fonctionnalités de produits en aval ou à des systèmes hors du périmètre autorisé. En cas de doute sur l’identité, l’espace de travail, l’organisation API, le projet, le modèle ou l’interface approuvés, interrompez vos activités et faites confirmer le périmètre par votre interlocuteur chez OpenAI.
Trusted Access ne vous fait pas automatiquement bénéficier de la politique de non-conservation des données. Avant de commencer, vérifiez quelles mesures de conservation ont fait l’objet d’une approbation distincte pour l’organisation API et le point de terminaison concernés.
Faux positifs
Une activité légitime de cybersécurité, ou même une activité sans rapport avec la cybersécurité, peut déclencher un mécanisme de protection. Si un tel mécanisme bloque, redirige ou limite une requête, examinez le message disponible côté client et les journaux de requêtes. Consultez la rubrique Problèmes courants et dépannage pour savoir quelles informations recueillir et quelles démarches suivre. Si vous soupçonnez un faux positif dans Codex, signalez-le à l’aide de la commande /feedback lorsqu’elle est disponible. Pour les restrictions d’accès à l’API et les recours, suivez les consignes relatives aux contrôles de cybersécurité de l’API.
Tous les utilisateurs restent soumis aux politiques d’utilisation et aux conditions d’utilisation.
Configurez votre workflow de sécurité
Trusted Access détermine à quels modèles vous avez accès. Il ne configure pas votre environnement, ne fait pas respecter les limites fixées pour les systèmes et les actions autorisés et n’examine pas les actions proposées.
- Utilisez la configuration recommandée pour isoler l’environnement, appliquer le principe du moindre privilège, délimiter clairement le périmètre autorisé et encadrer les actions sensibles.