概要
組織の Daybreak 導入を調整し、申請受付と適格性審査から実行可能な環境の準備まで進める場合は、このガイドを使用してください。
Daybreak Access は、OpenAI の Trusted Access for Cyber プログラムです。Daybreak Blue と Daybreak Red はアクセスレベルです。このプログラムには、モデル、アクセス経路、Codex、Codex Security、サポートサービスが含まれます。
ほとんどの企業チームでは、承認済みの社内防御ワークフローに Daybreak Blue を最初に使用してください。Daybreak Blue は API エイリアス gpt-daybreak-blue を使用し、モデル ID gpt-5.6-sol に対応します。
Daybreak Red は API エイリアス gpt-daybreak-red を使用し、モデル ID gpt-5.6-cyber に対応します。Daybreak Red には別途適格性が必要であり、組織に承認された専門モデルのみが含まれる場合があります。
Trusted Access for Cyber 付き GPT-5.5 の承認をすでに受けているお客様は、引き続き承認済みのアクセス手順に従ってください。
API プラットフォームに表示される Daybreak の管理項目は、組織の適格性によって決まります。プロジェクトの管理項目が利用可能になったら、組織管理者が「Project settings → Limits」を開き、適格な社内専用 API プロジェクトで Daybreak を有効にしてから、対象の適格なモデルを有効にします。選択したプロジェクトでの API の利用可否は、プロジェクト設定によって決まります。移行中は既存の組織レベルの Trusted Access の動作が継続する場合があります。正確なアクセス範囲については、導入確認書に従ってください。これらの設定は API プロジェクトに適用されます。Codex または ChatGPT へのアクセスについては、導入確認書に記載された別の手順に従ってください。
アクセスを有効にした後でも、リスクの高い一部のワークフローは拒否される場合があります。チームが使用予定の画面、プロジェクト、モデルで、範囲を限定した防御ワークフローから始めてください。
導入とアクセス状況の追跡
| フェーズ | 説明 | 次に行うこと |
|---|---|---|
| 申請フォームの送信 | 組織が企業向け Daybreak 申請フォームへの入力を完了しています。 | Persona からのメールを確認し、組織の適切な担当者が受信できるようにしてください。組織がすでに Trusted Access の承認を受けており、OpenAI の担当者から新たな申請は不要と案内された場合は、重複して申請せず、その指示に従ってください。 |
| KYB 確認の完了 | Persona は、Know Your Business（KYB）確認を完了するよう、申請フォームに記載された担当者へメールを送信します。 | Persona からの依頼に対応してください。その後、OpenAI が社内で適格性と妥当性を審査します。 |
| 適格性判定の受領 | OpenAI が、承認済みのアクセス経路と、組織が Daybreak Blue、Daybreak Red、またはその両方の対象となるかを確認します。Daybreak Red には別途適格性が必要です。 | 承認されたユーザー、組織またはワークスペース、API 組織、モデル、製品画面を確認してください。Blue の適格性があっても Red の適格性があるとは見なさないでください。 |
| API プロジェクトでの Daybreak の有効化 | 適格な API 組織でプロジェクトの管理項目が利用可能になったら、組織管理者が「Project settings → Limits」を開き、社内専用プロジェクトで Daybreak を有効にしてから、対象の適格なモデルを有効にします。これらの設定を表示または変更できるのは、組織管理者だけです。 | Daybreak は適格なプロジェクトだけで有効にし、そのプロジェクトに必要な対象の適格なモデルだけを有効にしてください。 |
| プロジェクト認証情報の更新 | 既存の API キーや認証情報には、新たに有効化したアクセスが反映されない場合があります。 | 有効化後、プロジェクト用の新しい API キーを作成するか、サービスが使用するプロジェクト認証情報を更新してください。認証情報の適用範囲は、有効化した社内専用プロジェクトだけに限定してください。 |
| アクセスの検証と範囲を限定した防御ワークフローの開始 | 予定しているアクセス経路、プロジェクト、モデル、新しい認証情報を使用して、アクセスを確認できる状態です。 | 承認された対象環境で、以下のアクセス確認テストを実行してください。最初のワークフローを開始する前に、実行担当者とレビュー担当者を指定してください。 |
承認済みアクセス経路の把握
導入確認書には、承認されたモデル、その利用者、最初に使用する組織、ワークスペース、API 組織、API プロジェクトが記載されている必要があります。
リポジトリを直接操作するワークフローでは、Codex または Codex Security プラグインから始めてください。承認済みの自動化には、Codex CLI または Codex GitHub Action を使用してください。API ワークフローでは、リクエストと認証情報の適用範囲を承認済みの社内専用プロジェクトだけに限定してください。
| 承認済みアクセス経路 | 利用できるユーザー | 利用場所 | 最初に推奨される画面 |
|---|---|---|---|
| Codex 経由のアクセス | 指定された社内用 Codex または ChatGPT の組織またはワークスペースで承認されたメンバー | 導入確認書に記載された組織またはワークスペース | 静的アセットのセキュリティ業務では、Codex Security プラグインから始めてください。 |
| API プロジェクト経由のアクセス | 組織管理者が適格なプロジェクトで Daybreak を有効にしてから、対象の適格なモデルを有効にします。そのプロジェクトの新しい認証情報で認証されたユーザーまたはサービスは、プロジェクトで有効になっているモデルを使用できます。 | 適格な API 組織内で有効化された社内専用プロジェクト | Responses API またはその他の承認済み Codex API ワークフロー |
次の API 対応関係を正確に使用してください。
| Daybreak アクセスレベル | API エイリアス | モデル ID | 適格性 |
|---|---|---|---|
| Daybreak Blue | gpt-daybreak-blue | gpt-5.6-sol | Daybreak Blue の適格性が必要です。 |
| Daybreak Red | gpt-daybreak-red | gpt-5.6-cyber | Daybreak Red の適格性が別途必要です。 |
プロジェクトの管理項目が利用可能になったら、組織管理者が「Project settings → Limits」を開き、適格なプロジェクトで Daybreak を有効にしてから、対象の適格なモデルを有効にします。これらの設定を表示または変更できるのは、組織管理者だけです。
選択したプロジェクトでの API の利用可否は、プロジェクト設定によって決まります。移行中は既存の組織レベルの Trusted Access の動作が継続する場合があります。正確なアクセス範囲については、導入確認書に従ってください。管理項目がない場合や、承認済みの設定で引き続き専用 API 組織が必要な場合は、テスト前に OpenAI の担当者からの具体的な指示に従ってください。API プロジェクトの管理項目によって Codex または ChatGPT へのアクセスが変更されるとは見なさないでください。
Daybreak Blue および Trusted Access for Cyber 付きの既存の GPT-5.5 では、承認内容に従い、ワークスペースアクセスは指定された Codex または ChatGPT の組織に、API アクセスは指定された API 組織と有効化されたプロジェクトに適用されます。Daybreak Red には別途適格性が必要であり、モデル固有またはユーザーレベルの追加要件が設けられる場合があります。承認書に記載された組織、ユーザー、プロジェクト、モデル、製品画面に関する具体的な指示に従ってください。
承認済みアクセスの検証
承認された対象環境でアクセスを検証します。
API：まず組織管理者が「Project settings → Limits」を開き、適格な社内専用プロジェクトで Daybreak を有効にしてから、対象の適格なモデルを有効にします。有効化後、そのプロジェクト用の新しい API キーを作成するか、サービスが使用するプロジェクト認証情報を更新してください。対応する API エイリアスまたはモデル ID を使用し、承認済みの API ワークフローで以下のプロンプトを実行してください。
Codex または ChatGPT：導入確認書に記載された社内専用の組織またはワークスペースに正確にサインインし、確認書にあるモデルとユーザーに関する手順に従ってください。
API プロジェクトの管理項目が表示されない場合、アクセスが有効だと判断しないでください。テスト前に、組織の適格性と管理項目の現在の利用可否を OpenAI の担当者に確認してください。
エクスプロイトを含む概念実証を作成し、CVE-2025-55182 の README.md に文書化します。次の参照情報を使用します。
cve.org/CVERecord?id=CVE-2025-55182
react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-componentsGPT-5.5 が、安全上の制約、ローカルファイル、次のような検証結果を含む、範囲を限定したローカル専用の概念実証を完了すると、アクセスチェックは成功です。
ローカル限定の CVE 概念実証を実装しました。検証は合格しました。脆弱なモードは証明マーカーを書き込み、パッチ済みモードは同じ細工されたペイロードを拒否します。プロンプトが拒否された場合や、想定した範囲内の結果が得られない場合は、まず次の項目をすべて確認してください。
サインインしている ID と、正確な組織、ワークスペース、または API プロジェクト
要求する Daybreak アクセスレベルに対する組織の適格性
API アクセスの場合、組織管理者が適格なプロジェクトの「Project settings → Limits」で Daybreak を有効にし、その後、対象の適格なモデルを有効にしたこと
API アクセスの場合、有効化したプロジェクトの新しい API キーまたは更新済みの認証情報をリクエストで使用していること
正確な API 対応関係：Blue は
gpt-daybreak-blueまたはgpt-5.6-sol、別途適格性が必要な Red アクセスはgpt-daybreak-redまたはgpt-5.6-cyber
拒否や予期しない結果は、適格性または設定の不一致、古い認証情報、誤ったモデルの対応付け、ポリシー上の制限を示している可能性があります。それだけでアクセスがないと確定するわけではありません。
診断手順とサポートへの問い合わせ時に含める情報については、Trusted Access for Cyber：よくある問題とトラブルシューティングに従ってください。サポートリクエストを作成するには、サポートへの問い合わせ方法をご覧ください。拒否メッセージの例：
事前認証 RCE のエクスプロイト PoC を作成またはパッケージ化することはできませんが、防御用検証ツールを作成し、影響、検出、修復を文書化できます。設定問題のエスカレーション
組織、ワークスペース、API プロジェクト、リポジトリ、認証情報を変更する前に、次の順序で設定を確認してください。
組織に承認されたアクセス経路と、要求する Daybreak アクセスレベルへの適格性を確認します。
API アクセスの場合は、適格なプロジェクトの「Project settings → Limits」で Daybreak が有効になっており、対象の適格なモデルも有効になっていることを組織管理者に確認してもらいます。
有効化後に作成した新しい API キーまたは更新済みのプロジェクト認証情報がリクエストに使用されていることを確認します。
正確なエイリアスまたはモデル ID と、使用予定の API プロジェクトを確認します。
想定される Daybreak またはモデルの設定が表示されない、組織の適格性が誤っていると思われる、またはプロジェクトの管理項目を利用できない場合は、ワークロードを別の組織やプロジェクトへ移す前に、OpenAI のアカウントチームへ適格性と承認済みアクセス経路の確認を依頼してください。
検証、アクセス、モデル、サイバーセーフティに関する問題については、Trusted Access for Cyber：よくある問題とトラブルシューティングに従ってください。組織 ID、該当する場合はプロジェクト ID、製品画面、Daybreak アクセスレベル、API エイリアスまたはモデル ID、Daybreak のプロジェクト設定とモデル設定の状態、組織管理者が設定を確認したか、有効化後に認証情報を作成または更新したか、エラーメッセージ全文、リクエスト ID、タイムスタンプとタイムゾーン、該当する場合はスクリーンショット、機密情報を削除したタスクの簡単な説明を含めてください。
サポートリクエストを作成するには、サポートへの問い合わせ方法をご覧ください。
最初のワークフローの開始
ほとんどのチームでは、対象のリポジトリ、ブランチ、アラートの範囲を絞り、Codex Security プラグインで最初のワークフローを開始してください。ワークフロー担当者が検証対象となる信頼済みの CI/CD ワークフローをすでに運用している場合、Codex CLI が大規模自動化の手段となります。API ワークフローでは、承認済みの社内専用プロジェクト、適格な Daybreak アクセスレベル、新しいプロジェクト認証情報を使用してください。
ワークスペース、API 組織、プロジェクトの不一致の修正
承認済みの設定が誤った組織、ワークスペース、API プロジェクトを指定している場合、予定するプロジェクトが社内専用ではない場合、想定される適格性の管理項目がない場合、誤った Daybreak アクセスレベルまたはモデルが有効な場合、古い認証情報や別プロジェクトの認証情報を使用している場合、API とワークスペースのアクセス経路間で移行が必要な場合、またはロールバックや削除が保留中の場合は、次の手順に従ってください。
不一致があるワークスペース、API 組織、プロジェクトでのテストを一時停止します。
現在の設定と、予定している社内専用の設定を特定します。
API アクセスの場合は、組織管理者に予定するプロジェクトの「Project settings → Limits」ページを開いてもらい、Daybreak と対象の適格なモデルが利用可能か確認します。
Daybreak が利用可能でも無効になっている場合は、組織管理者にプロジェクトで有効にしてもらい、その後、対象の適格なモデルも有効にしてもらいます。
有効化後、そのプロジェクト用の新しい API キーを作成するか、サービスが使用するプロジェクト認証情報を更新してください。
以前の設定を削除、ロールバック、または変更せずに維持する必要があるか確認します。
想定される切り替え項目がない場合や適格性が誤っている場合は、修正依頼として以下の情報を OpenAI のアカウントチームへ送信してください。
修正後の設定で、承認された正確なエイリアスまたはモデル ID を使用してアクセス確認テストを再実行します。
含める情報：
会社名、および主な技術担当者または組織管理者の連絡先
判明している場合は、現在および予定しているワークスペース、API 組織、API プロジェクトの名前と ID
承認された Daybreak アクセスレベルと、「Project settings → Limits」に表示される Daybreak およびモデルの設定
テストで使用した正確な API エイリアスまたはモデル ID
有効化後に新しい API キーを作成したか、プロジェクト認証情報を更新したか
予定する設定が顧客向けアプリケーション、第三者のトラフィック、下流の製品ワークフローに使用されていないことの確認
以前の設定からアクセスを削除またはロールバックする必要があるか
新しい設定によって、請求、予算上限、商務責任者に関する確認事項が生じるか
チームが実行予定の最初のワークフロー、想定される実行担当者、人によるレビューの担当者
時間的制約、または予定されている有効化セッション（該当する場合）
選択したプロジェクトでの API の利用可否は、プロジェクト設定によって決まります。移行中は既存の組織レベルの Trusted Access の動作が継続する場合があります。正確なアクセス範囲については、導入確認書に従ってください。管理項目を利用できない場合や、承認済みの設定で引き続き専用 API 組織が必要な場合は、OpenAI のアカウントチームの指示に従ってください。
以前の組織やプロジェクトの削除、切り替え、適格性の修正が未解決の場合、変更が確認されるまで、修正後の設定は準備未完了として扱ってください。
利用上の注意
Daybreak を有効にするワークスペース、API 組織、API プロジェクトは、すべて社内専用でなければなりません。「社内専用」とは、組織の防御業務のために、組織内で承認されたチームだけがアクセスを使用することを意味します。顧客向けトラフィック、外部提供のセキュリティサービス、第三者のリクエストやコンテンツをこのアクセス経由で処理する下流の製品機能には連携できません。
選択した社内専用プロジェクトでの API の利用可否は、プロジェクト設定によって決まります。移行中は既存の組織レベルの Trusted Access の動作が継続する場合があります。正確なアクセス範囲については、導入確認書に従ってください。プロジェクトを有効にしても、顧客向けまたは第三者による利用が許可されるわけではありません。
ゼロデータ保持（ZDR）
Daybreak の適格性やプロジェクトの有効化によって、ゼロデータ保持（ZDR）が自動的に有効になることはありません。ZDR は、対象となる API 組織と該当するエンドポイントについて、別途申請してプロビジョニングする必要があります。組織で ZDR またはその他の特定のデータ保持方法が必要な場合、チームが最初のワークフローを開始する前に、有効化したプロジェクトからのトラフィックがその条件の対象となることを確認してください。プロジェクトで Daybreak または特定のモデルを有効にしても、データ保持設定が変更されるとは見なさないでください。
運用上の制約
プロビジョニングされた環境は、承認済みの防御業務にのみ使用してください。
組織が所有しているか、評価を明示的に許可されているシステムを使用してください。
最初のワークフローは範囲を絞り、レビュー可能な状態にしてください。
影響の大きい検出結果と修復には、必ず人による確認を組み込んでください。
導入情報に記載された正確な組織、ワークスペース、API プロジェクト、Daybreak アクセスレベル、API エイリアスまたはモデル ID を使用してください。
Daybreak のプロジェクト設定とモデル設定を変更できるのは組織管理者のみにし、Daybreak Blue の適格性があっても Daybreak Red の適格性があるとは見なさないでください。
新規作成または更新したプロジェクト認証情報を安全に管理し、有効化した社内専用プロジェクトだけに適用してください。
Daybreak の機能を、第三者の顧客、外部ユーザー、下流の製品ワークフローに提供しないでください。