OpenAI Daybreak は、承認を受けたユーザーが、許可された範囲でサイバー防御に取り組むためのサービスです。Daybreak Blue では、許可された防御目的のリクエストを拒否するケースを減らしたフラッグシップモデルを利用できます。Daybreak Red では、別途承認を受けることで、より高度なセキュリティ研究に特化したモデルを利用できます。
承認を受けたモデルは、管理された環境で使用してください。対象システムと許可された操作の範囲を明確にし、権限を必要最小限に抑え、慎重な取り扱いが必要な操作は実行前に自動レビューを行ってください。モデルの利用は、承認を受けた ID、ワークスペースまたは API 組織とそのプロジェクト、および製品インターフェースに限定してください。
用途に応じたモデルの選び方
許可された防御業務の大半では、まず GPT-Daybreak-Blue を使用してください。このモデルは、防御目的のリクエストを拒否するケースを減らしており、次のような業務で高度な機能を利用できます。
- 脆弱性の発見とトリアージ
- セキュリティの観点からのコードレビューと脅威モデリング
- 検知エンジニアリングとインシデント対応
- 管理された環境でのマルウェア解析
- 脆弱性の修正とパッチの検証
GPT-Daybreak-Red は、別途承認を受け、明示的に許可された作業に使用するサイバーセキュリティ専門モデルです。対象となる作業には、管理された環境での脆弱性の再現、概念実証やエクスプロイトの検証、ペネトレーションテスト、レッドチーミング、複雑なシステムの分析などがあります。日常的なセキュリティ業務で最初に選ぶモデルではありません。アクセス権は自動的には付与されず、利用できる製品インターフェースも限られています。
こうした高度な作業は、明確な許可がなければ悪意のある活動と見分けがつかない場合があります。承認を受けたモデルと製品インターフェースは、自ら所有するシステム、または評価することを明示的に許可されたシステムに限って使用し、人による適切な監督を継続してください。
たとえば、次のように作業を指示します。
- GPT-Daybreak-Blue：「承認済みのラボのリポジトリをレビューして認証上の弱点を探し、根拠と影響度に基づいて指摘事項に優先順位を付けてください。外部システムにはアクセスせず、修正パッチを提案してください。」
- GPT-Daybreak-Red：「承認済みのラボで、許可されたテスト時間内に、文書化されている認証上の欠陥を再現し、最小構成の概念実証を検証してください。認証情報へのアクセス、アクセスの永続化、本番環境の変更に進む前に作業を終了してください。」
Trusted Access for Cyber
Daybreak のアクセス権は、Trusted Access for Cyber を通じて申請してください。利用するには、対象の ID またはサービス、ChatGPT ワークスペースまたは API 組織とそのプロジェクト、利用するサービスとモデル、および製品インターフェースについて承認を受け、アクセス権の設定が完了している必要があります。
- 個人の方は、個人向け Trusted Access 申請ページからアクセス権を申請できます。
- 組織の場合は、企業向け Trusted Access 申請フォームから申請し、OpenAI の担当者と手続きを進めることができます。
申請を提出したり本人確認を完了したりしても、承認が保証されるわけではありません。
Daybreak Blue の申請や本人確認を済ませても、また Daybreak Blue の承認を受けても、Daybreak Red や GPT-Daybreak-Red のアクセス権は付与されません。この専門モデルを利用するには、別途承認を受け、アクセス権の設定を完了する必要があります。
企業向けアクセスを利用する場合、承認済みのワークスペース、API 組織、またはプロジェクトは、組織内で許可された業務にのみ使用してください。外部ユーザー、第三者である顧客、外部に提供するサービス、下流の製品機能、または承認済みの業務範囲外のシステムにまで利用範囲を広げないでください。どの ID、ワークスペース、API 組織、プロジェクト、モデル、製品インターフェースが承認されているか不明な場合は、作業を中断し、OpenAI の担当者に確認してください。
Trusted Access の承認を受けても、ゼロデータ保持が自動的に適用されるわけではありません。作業を始める前に、実際に使用する API 組織と対象のエンドポイントについて、別途承認されたデータ保持設定を確認してください。
誤検知
正当なサイバーセキュリティ業務や、サイバーセキュリティとは無関係な操作でも、安全対策が作動することがあります。安全対策によってリクエストがブロックされたり、別の経路に振り分けられたり、制限されたりした場合は、クライアントに表示された通知と、確認可能なリクエストログを調べてください。収集すべき情報とその後の対応については、よくある問題とトラブルシューティングを参照してください。Codex で誤検知が疑われる場合は、/feedback が利用できれば、そこから報告してください。API のアクセス制限や異議申し立てについては、API のサイバーセキュリティチェックに関するガイドに従ってください。
すべてのユーザーには、引き続き利用ポリシーと利用規約が適用されます。
セキュリティワークフローの設定
Trusted Access は、承認されたモデルへのアクセスを管理します。利用環境の設定、対象システムや操作を承認済みの範囲に制限する仕組みの適用、提案された操作のレビューは行いません。
- 推奨構成を使用して、環境を隔離し、権限を必要最小限に抑え、作業範囲を明確に定めてください。慎重な取り扱いが必要な操作にはガードレールを設けてください。