Según nuestro Marco de preparación, clasificamos a GPT-5.6 Cyber en el nivel alto de capacidad en ciberseguridad y a GPT-6 Cyber en el nivel crítico. Aplicamos medidas de protección automatizadas adicionales a los modelos de la API clasificados en cualquiera de esos dos niveles. Las medidas que se aplican en la API son distintas de las que se usan en Codex. Puedes obtener más información sobre las medidas de protección de Codex aquí.
Estos controles buscan indicios de actividad de ciberseguridad potencialmente sospechosa. Si se alcanzan ciertos umbrales, es posible que se limite temporalmente el acceso al modelo mientras se revisa la actividad. Como aún estamos calibrando estos sistemas, en ocasiones pueden marcar como sospechosas actividades legítimas de investigación en seguridad o de defensa. Esperamos que estas medidas afecten solo a una pequeña parte del tráfico y seguimos mejorando la experiencia general de uso de la API.
Acceso autorizado y flujos de trabajo con agentes
Trusted Access for Cyber es un programa de acceso sujeto a revisión, no el nombre de un modelo. La aprobación de Daybreak Blue se limita a la persona o al servicio autorizado, al espacio de trabajo o a la organización de la API y su proyecto, al modelo y a la interfaz del producto que abarca la autorización. Daybreak Red requiere aprobación y habilitación por separado. Presentar una solicitud, verificar una identidad u obtener acceso a Daybreak Blue no otorga acceso al modelo especializado.
En los proyectos de la API aprobados, usa el modelo de ciberseguridad de mayor capacidad al que tengas acceso. El modelo al que apunta un alias puede cambiar y depende del acceso que tengas autorizado. Consulta Cómo usar Daybreak en la API de Responses para elegir un modelo y un valor de access_programs.cyber, conocer los valores predeterminados y manejar los errores. El acceso y el comportamiento del modelo dependen de la organización y del proyecto aprobados. El ID del modelo por sí solo no otorga acceso.
Trusted Access no habilita automáticamente la retención cero de datos. Confirma qué controles de retención se aprobaron por separado para la organización específica de la API y el punto de acceso correspondiente.
Trusted Access regula el acceso autorizado a los modelos. No configura tus herramientas ni tu entorno, ni define el alcance de tu intervención.
Si un flujo de trabajo de la API de Responses o del SDK de Agentes puede realizar acciones sensibles de ciberseguridad, revisa cada llamada propuesta a una herramienta antes de ejecutarla para comprobar que esté dentro del alcance autorizado. Rechaza las acciones no autorizadas, pausa los cambios ambiguos o de alto riesgo hasta que una persona los apruebe, aplica límites independientes al sistema de archivos y a la red, conserva registros de auditoría y bloquea la ejecución si no es posible realizar la revisión. Consulta Medidas de protección y revisión humana.
La revisión de las llamadas a herramientas en tu aplicación y el entorno aislado de Codex funcionan por separado de las medidas de protección de ciberseguridad de la API descritas en esta página.
Para usar GPT-6-Cyber, configura tu proyecto y la lista de direcciones IP permitidas antes de enviar solicitudes.
Medidas de protección para organizaciones sin ZDR
Si nuestros sistemas detectan en tu tráfico actividad de ciberseguridad potencialmente sospechosa que supera los umbrales definidos, es posible que se revoque temporalmente el acceso a estos modelos. En ese caso, las solicitudes a la API devolverán un error con el código cyber_policy.
Si tu organización no ha implementado un safety_identifier por usuario, es posible que se revoque temporalmente el acceso de toda la organización. Si tu organización proporciona un safety_identifier único por usuario final, es posible que, tras una revisión humana y las advertencias correspondientes, la revocación temporal del acceso se limite al usuario afectado en lugar de aplicarse a toda la organización. Proporcionar identificadores de seguridad ayuda a minimizar las interrupciones para los demás usuarios de tu plataforma.
Medidas de protección para organizaciones con ZDR
El proceso es muy similar al descrito para las organizaciones sin retención cero de datos (ZDR). En las organizaciones que usan ZDR, también se aplican medidas de mitigación por solicitud.
Si una solicitud se clasifica como potencialmente sospechosa, puedes recibir un error de la API con el código cyber_policy. En las solicitudes con streaming, estos errores pueden aparecer entre otros eventos del flujo.
Al igual que en las organizaciones sin ZDR, si la actividad de ciberseguridad sospechosa alcanza ciertos umbrales, es posible que se limite el acceso asociado al safety_identifier específico o el de toda la organización.
Apelaciones
Si crees que tu acceso se limitó por error y necesitas recuperarlo antes de que termine el plazo de 7 días, ponte en contacto con el equipo de soporte.