Segundo nosso Preparedness Framework, classificamos o GPT-5.6 Cyber no nível Alto e o GPT-6 Cyber no nível Crítico em cibersegurança. Aplicamos salvaguardas automatizadas adicionais aos modelos da API classificados nos níveis Alto ou Crítico em cibersegurança. As salvaguardas da API são diferentes das usadas no Codex. Saiba mais sobre as salvaguardas do Codex.
Essas salvaguardas monitoram sinais de atividade potencialmente suspeita na área de cibersegurança. Se a atividade atingir determinados limites, poderemos restringir temporariamente o acesso ao modelo enquanto analisamos o caso. Como ainda estamos calibrando esses sistemas, eles podem ocasionalmente sinalizar pesquisas legítimas de segurança ou atividades de defesa. Esperamos que as medidas afetem apenas uma pequena parcela do tráfego e continuamos aprimorando a experiência de uso da API como um todo.
Acesso autorizado e fluxos de trabalho com agentes de IA
Trusted Access for Cyber é o nome de um programa de acesso sujeito a análise. Não é o nome de um modelo. A aprovação para o Daybreak Blue vale apenas para a pessoa ou o serviço autorizado, para o espaço de trabalho ou para a organização e o projeto da API, para o modelo e para a interface do produto contemplados na aprovação. O Daybreak Red exige aprovação e provisionamento separados. Solicitar acesso, verificar a identidade ou obter acesso ao Daybreak Blue não concede acesso a modelos especializados.
Nos projetos da API aprovados, use o modelo de cibersegurança mais capaz ao qual você tem acesso. O modelo para o qual o alias aponta pode mudar e depende do acesso aprovado para você. Consulte Como usar o Daybreak na API Responses para escolher um modelo e um valor para access_programs.cyber, entender os valores padrão e tratar erros. O acesso e o comportamento do modelo dependem da organização e do projeto aprovados. O ID do modelo, por si só, não concede acesso.
O Trusted Access não concede automaticamente zero retenção de dados. Confirme quais controles de retenção foram aprovados separadamente para a organização específica da API e o endpoint em questão.
O Trusted Access determina quais modelos você tem autorização para acessar. A configuração das ferramentas e do ambiente e a definição do escopo de atuação são independentes dessa autorização.
Se um fluxo de trabalho que usa a API Responses ou o SDK de Agentes puder executar ações sensíveis de cibersegurança, verifique se cada chamada de ferramenta proposta está dentro do escopo aprovado antes de executá-la. Negue ações não autorizadas e suspenda alterações ambíguas ou de alto risco até que uma pessoa as aprove. Imponha limites independentes para o sistema de arquivos e a rede, mantenha logs de auditoria e bloqueie a execução se não for possível realizar a análise. Consulte Medidas de proteção e revisão humana.
A análise das chamadas de ferramentas pelo aplicativo e o ambiente isolado do próprio Codex são mecanismos distintos das salvaguardas de cibersegurança da API descritas nesta página.
Para usar o GPT-6-Cyber, configure seu projeto e a lista de endereços IP permitidos antes de enviar solicitações.
Medidas de proteção para organizações sem ZDR
Se nossos sistemas detectarem no seu tráfego atividade de cibersegurança potencialmente suspeita que exceda os limites definidos, poderemos revogar temporariamente o acesso a esses modelos. Nesse caso, as solicitações à API retornarão um erro com o código cyber_policy.
Se sua organização não tiver implementado um safety_identifier por usuário, poderemos revogar temporariamente o acesso de toda a organização. Se sua organização fornecer um safety_identifier exclusivo para cada usuário final, poderemos, após análise humana e emissão de avisos, revogar temporariamente o acesso apenas do usuário afetado, em vez de revogá-lo para toda a organização. Fornecer identificadores de segurança ajuda a minimizar as interrupções para os demais usuários da sua plataforma.
Medidas de proteção para organizações com ZDR
O processo é semelhante ao descrito acima para organizações que não usam zero retenção de dados (ZDR). Para organizações que usam ZDR, também aplicamos medidas de mitigação a cada solicitação.
Se uma solicitação for classificada como potencialmente suspeita, a API poderá retornar um erro com o código cyber_policy. Em solicitações com streaming, a API pode retornar esses erros entre outros eventos do fluxo.
Assim como nas organizações sem ZDR, se a atividade suspeita de cibersegurança atingir determinados limites, poderemos restringir o acesso associado ao safety_identifier específico ou a toda a organização.
Recursos
Se você acredita que seu acesso foi restringido por engano e precisa recuperá-lo antes do fim do prazo de 7 dias, entre em contato com o suporte.