OpenAI는 준비성 평가 프레임워크에 따라 사이버 보안 분야에서 GPT-5.6 Cyber를 높음(High) 등급으로, GPT-6 Cyber를 심각(Critical) 등급으로 분류합니다. 사이버 보안 분야에서 높음 또는 심각 등급으로 분류된 API 모델에는 자동화된 보호 조치를 추가로 적용합니다. API와 Codex에 적용되는 보호 조치는 서로 다릅니다. Codex의 보호 조치는 여기에서 자세히 알아볼 수 있습니다.
보호 시스템은 의심스러운 사이버 보안 활동을 시사하는 신호를 모니터링합니다. 특정 기준에 도달하면 해당 활동을 검토하는 동안 모델 접근이 일시적으로 제한될 수 있습니다. 아직 탐지 기준을 조정하고 있어 정당한 보안 연구나 방어 작업도 간혹 검토 대상으로 표시될 수 있습니다. 영향을 받는 트래픽은 전체의 극히 일부일 것으로 예상하며, OpenAI는 API 사용 경험을 지속적으로 개선하고 있습니다.
접근 승인과 에이전트 워크플로우
Trusted Access for Cyber는 심사를 거쳐 접근 권한을 부여하는 프로그램입니다. 모델 이름이 아닙니다. Daybreak Blue 승인은 승인된 개인 또는 서비스, 워크스페이스 또는 API 조직과 프로젝트, 모델, 제품 인터페이스에 한해 유효합니다. Daybreak Red를 사용하려면 별도의 승인과 프로비저닝이 필요합니다. 프로그램을 신청하거나 신원 확인을 마치거나 Daybreak Blue 접근 권한을 받아도 전문 모델에 대한 접근 권한이 부여되지는 않습니다.
승인된 API 프로젝트에서는 사용할 수 있는 사이버 보안 모델 중 성능이 가장 뛰어난 모델을 사용하세요. 별칭이 가리키는 모델은 승인된 접근 범위에 따라 다르며 변경될 수 있습니다. Responses API에서 Daybreak 사용하기에서 모델과 access_programs.cyber 값을 선택하는 방법, 기본값, 오류 처리 방법을 확인하세요. 접근 권한과 모델 동작은 승인된 조직과 프로젝트에 따라 달라지며, 모델 ID만으로는 접근 권한이 부여되지 않습니다.
Trusted Access 승인을 받아도 데이터 비보관이 자동으로 적용되지는 않습니다. 사용하려는 API 조직과 해당 엔드포인트에 대해 별도로 승인된 데이터 보관 설정을 확인하세요.
Trusted Access는 승인된 모델에 대한 접근을 관리합니다. 사용할 도구와 환경, 수행할 보안 작업의 범위는 별도로 설정해야 합니다.
Responses API 또는 Agents SDK 워크플로우에서 민감한 사이버 보안 작업을 수행할 수 있다면, 제안된 각 도구 호출이 승인 범위에 속하는지 실행 전에 검토하세요. 승인되지 않은 작업은 거부하고, 불명확하거나 위험도가 높은 변경은 담당자가 승인할 때까지 보류하세요. 파일 시스템과 네트워크에는 각각 독립적인 접근 제한을 적용하고 감사 로그를 남기세요. 검토할 수 없는 경우에는 실행을 차단하세요. 가드레일과 담당자 검토를 참고하세요.
애플리케이션에서 수행하는 도구 호출 검토와 Codex 제품의 샌드박스는 이 페이지에서 설명하는 API 사이버 보안 보호 조치와 별개입니다.
GPT-6-Cyber에 요청을 보내기 전에 프로젝트와 IP 허용 목록을 설정하세요.
ZDR을 사용하지 않는 조직에 적용되는 보호 조치
OpenAI 시스템이 조직의 트래픽에서 의심스러운 사이버 보안 활동의 징후를 감지하고 그 수준이 정해진 기준을 초과하면 해당 모델에 대한 접근 권한이 일시적으로 정지될 수 있습니다. 이 경우 API 요청을 보내면 오류 코드가 cyber_policy인 오류가 반환됩니다.
조직에서 사용자별 safety_identifier를 구현하지 않았다면 조직 전체의 접근 권한이 일시적으로 정지될 수 있습니다. 조직에서 최종 사용자마다 고유한 safety_identifier를 제공하면 담당자의 검토와 경고를 거친 후 조직 전체가 아닌 해당 사용자의 접근 권한만 일시적으로 정지될 수 있습니다. 안전 식별자를 제공하면 플랫폼의 다른 사용자가 겪는 이용 차질을 최소화하는 데 도움이 됩니다.
ZDR을 사용하는 조직에 적용되는 보호 조치
기본 절차는 위에서 설명한 데이터 비보관(ZDR)을 사용하지 않는 조직의 경우와 대체로 같습니다. 다만 ZDR을 사용하는 조직에는 개별 요청에도 위험 완화 조치가 적용됩니다.
요청이 의심스러운 것으로 분류되면 오류 코드가 cyber_policy인 API 오류를 받을 수 있습니다. 스트리밍 요청에서는 다른 스트리밍 이벤트를 수신하는 도중에 이 오류가 반환될 수 있습니다.
ZDR을 사용하지 않는 조직과 마찬가지로, 의심스러운 사이버 활동이 특정 기준에 도달하면 해당 safety_identifier 또는 조직 전체에 대해 접근이 제한될 수 있습니다.
이의 제기
접근이 잘못 제한되었다고 판단되며 7일의 제한 기간이 끝나기 전에 접근 권한을 복구해야 한다면 지원팀에 문의하세요.