OpenAI Daybreak は、承認を受けたユーザーが、許可された防御目的のサイバーセキュリティ業務を行えるよう支援します。Daybreak Blue では、許可された防御目的のワークフロー向けに、応答拒否を抑えたフラッグシップモデルを利用できます。Daybreak Red では、より高度なセキュリティ研究向けのサイバーセキュリティ特化モデルを、別途承認を受けたうえで利用できます。
承認済みのモデルは、管理された環境、承認対象のシステムと操作に関する明確な制限、最小権限、慎重な扱いが必要な操作を実行する前の自動レビューと組み合わせて使用してください。モデルを使用する際は、ID、ワークスペースまたは API 組織とプロジェクト、および製品インターフェースを、承認済みのものに限定してください。
適切なモデルの選択
許可された防御業務の大半では、まず GPT-Daybreak-Blue を使用してください。このモデルでは、以下のような防御目的のセキュリティワークフローで、応答拒否を抑えつつ高度な能力を利用できます。
- 脆弱性の発見とトリアージ
- セキュアコードレビューと脅威モデリング
- 検知エンジニアリングとインシデント対応
- 管理された環境でのマルウェア分析
- 修復とパッチ検証
GPT-Daybreak-Red は、管理された条件下での脆弱性の再現、概念実証やエクスプロイトの検証、ペネトレーションテスト、レッドチーミング、複雑なシステムの分析など、別途承認を受け、明示的に許可されたワークフロー向けのサイバーセキュリティ特化モデルです。日常的なセキュリティ業務での標準の選択肢ではなく、アクセスが自動的に付与されるわけでも、すべての製品インターフェースで利用できるわけでもありません。
明確な許可がなければ、こうした高度なワークフローは悪意のある活動のように見えることがあります。承認済みのモデルと製品インターフェースは、自身が所有しているか、評価する明示的な許可を得ているシステムに対してのみ使用し、人間による適切な監督体制を維持してください。
例：
- GPT-Daybreak-Blue： 承認済みのラボのリポジトリをレビューして認証上の弱点を調べ、検出結果を根拠と影響度に基づいて順位付けし、外部システムにはアクセスせずにパッチを提案してください。
- GPT-Daybreak-Red： 承認されたラボで、承認されたテスト実施期間内に、文書化された認証の欠陥を再現し、最小限の概念実証を検証してください。認証情報へのアクセス、永続化、または本番環境の変更に進む前に停止してください。
Trusted Access for Cyber
Daybreak へのアクセス は、Trusted Access for Cyber を通じて申請してください。利用可否は、使用する特定の ID またはサービス、ChatGPT ワークスペースまたは API 組織とプロジェクト、承認済みの提供サービスとモデル、利用が許可された製品インターフェースに対する承認とプロビジョニングの状況によって決まります。
- 個人の場合は、個人向け Trusted Access 申請フォームからアクセスを申請できます。
- 組織は、エンタープライズ向け Trusted Access 申請フォームを提出し、OpenAI の担当者と調整できます。
申請を提出したり本人確認を完了したりしても、承認されるとは限りません。
申請や本人確認を行った場合、または Daybreak Blue の承認を受けた場合でも、Daybreak Red または GPT-Daybreak-Red へのアクセスは付与されません。この特化型サービスには、別途承認とプロビジョニングが必要です。
エンタープライズ向けアクセスでは、承認済みのワークスペース、API 組織、またはプロジェクトを、自組織内で許可された業務にのみ使用してください。その利用範囲を、外部ユーザー、第三者の顧客、外部向けに提供するサービス、下流製品の機能、または承認済み業務の範囲外にあるシステムまで広げないでください。承認済みの ID、ワークスペース、API 組織、プロジェクト、モデル、または製品インターフェースが不明確な場合は、作業を中断し、OpenAI の担当者に確認してください。
Trusted Access によってゼロデータ保持の利用が自動的に認められるわけではありません。作業を始める前に、対象となる特定の API 組織と該当するエンドポイントについて、別途承認されたデータ保持の制御設定を確認してください。
誤検知
正当なサイバーセキュリティ活動や、サイバーセキュリティとは無関係な活動でも、セーフガードが作動する場合があります。セーフガードがリクエストをブロックしたり、別の経路に振り分けたり、制限したりした場合は、クライアント側で確認できる通知とリクエストログを調べてください。収集すべき情報と次の手順については、よくある問題とトラブルシューティングを確認してください。利用できる場合は、/feedback を使用して、Codex の誤検知が疑われる事例を報告してください。API アクセスの制限と異議申し立てについては、API のサイバーセキュリティチェックに関するガイダンスに従ってください。
すべてのユーザーには、引き続き利用ポリシーと利用規約が適用されます。
セキュリティワークフローの構成
Trusted Access は承認済みモデルへのアクセスを管理しますが、環境の構成、承認対象のシステムと操作に関する制限の適用、提案された操作のレビューは行いません。
- 環境の隔離、最小権限の設定、境界の明確化、慎重な扱いが必要な操作に対するガードレールの導入には、推奨構成を使用してください。