GPT-6 Cyber 已发布：Daybreak Red 资格、API 配置与 IP 白名单

这次发布了什么？

GPT-6 Cyber 是基于 GPT-6 Astra 的网络安全专用变体，面向获授权的漏洞研究与安全测试。OpenAI 的 2026 年 11 月 5 日公告确认，它也是此前 Linux 内核研究使用的模型。模型发布与厂商提供可安装补丁，是不同的进展。

Tibo 当天发帖介绍模型，并指向 Daybreak Red 访问。原帖没有宣布用量重置或给它分配某个 Day 编号。Linux 主机维护仍可按948 项研究结果与补丁检查指南逐项核对。

谁现在能申请或使用？

首批面向部分获得该模型批准的 Daybreak Red 客户，通过 API 和 Codex 提供。OpenAI 计划逐步扩大范围，但没有给出所有 Red 客户获得访问的确切日期；一般订阅也不自动取得这项权限。

当前帮助页说明，Red 的常规申请面向获批商业及企业组织。个人可申请 Blue；少量个人 Red 例外不代表现在开放个人直接申请。Blue、Red 和单独模型批准要分别确认。

组织可从官方 Daybreak 申请入口提交身份、专业用途及组织信息，等待审核。申请提交、安全设置完成与批准生效是不同状态；本次公告未列出完整国家清单、统一审批时长或客户报价。

获批后，API 和 Codex 怎样对齐？

在 Responses API 中，先让组织所有者为实际使用的非默认项目启用 Daybreak Red，再使用该项目的 API 密钥。model 设为 gpt-6-cyber，access_programs.cyber 设为 daybreak_red；官方示例另带稳定、假名化的 safety_identifier。参数选择不能补足缺失权限。

以 ChatGPT 登录 Codex 时，使用获批工作区；以 API 密钥登录时，使用已启用 Red 的项目。确认当前客户端的 Daybreak 控制已启用，再检查模型是否实际可选，不把进入普通 Codex 会话当作已接通 Cyber。

为什么 IP 白名单和组织安全设置很关键？

系统卡要求组织使用单点登录（SSO）、多因素认证（MFA）等账户保护。Daybreak Red API 默认还要求 IP 白名单，即只允许客户事先批准的公网地址发出请求；技术限制的例外需单独获批，云提供商渠道也可能有不同要求。

先让网络负责人核对应用实际出口与批准清单，再在授权环境中验证。出口改变后应走组织的正常变更流程；代理地址不能替代模型资格、地区条件或目标系统授权，也不应用来绕过白名单。

ZDR 项目还要检查什么？

GPT-6 Cyber 默认使用标准数据留存。零数据留存（ZDR）API 客户通常还需要 Private Safety Processing（PSP），只有有限的获批例外。系统卡说明，PSP 在受保护环境审查加密安全记录；客户在自己的存储中保留记录 30 天，底层提示与回答不向 OpenAI 人员暴露。

API 指南要求核对 PSP 存储为 Validated，项目策略为 Zero Data Retention with Private Safety Processing；PSP 适用于该项目的全部 API 流量。提交敏感代码前，让组织的数据负责人确认项目边界和留存安排。

请求失败时，按什么顺序排查？

先核对组织和模型批准，再看密钥所属项目、Red 启用状态、实际出口白名单及留存策略。400 invalid_access_program 指向模型与访问项目值不匹配；403 access_program_not_enabled 应核对组织或项目启用状态，不能一概归为网络故障。

这些是接入检查建议，不是本次实测结果。向官方支持反馈时，保留模型 ID、准确错误、请求 ID、时间及其时区；不要附 API 密钥。进行安全工作时，仍应限定目标、凭据与允许动作，并对高风险工作保持人工监督。