OpenAI 把資安相關的工具整理在一個資安方案頁，主角是兩個：Daybreak 和 Codex Security。Daybreak 是一張「通行證」，讓通過審核的資安人員用 AI 做防禦和授權測試時，少被模型拒答。Codex Security 是一套工具，幫你掃程式碼裡的弱點，再提出修補建議。

這篇把目前能申請的東西整理成一份清單：誰能申請、去哪申請、要準備什麼。11 月 5 日 OpenAI 剛發表 GPT-6 Cyber，台灣時間 11 月 13 日（五）凌晨 02:00 還有一場資安發表會，之後有新內容會再更新。

一張表看完：現在能申請什麼

項目適合誰去哪申請主要條件
Daybreak Blue（個人）資安人員、工程師chatgpt.com/cyber18 歲以上、ChatGPT 付費方案、硬體金鑰、身分驗證
Daybreak Blue／Red（組織）公司、政府單位、資安團隊組織申請表企業驗證（KYB）加 OpenAI 審查
Codex Security有 Pro、Business、Enterprise、Edu 方案的人ChatGPT 外掛、Codex CLI依用法計費：PR 審查用方案額度，Cloud 按 token，CI 走 API 計費
資安補助做防禦型資安專案的團隊補助申請表18 歲以上，只收防禦型專案
前線防禦者支援點數關鍵基礎設施、非營利組織、開源維護者意向登記表先從美國開始
Patch the Planet開源專案維護者patchtheplanet.org廣泛使用的開源專案
漏洞獎勵（Bug Bounty）獨立資安研究者Bugcrowd回報 OpenAI 產品的安全漏洞

Daybreak 是什麼？Blue 和 Red 差在哪

一般的 ChatGPT 遇到「幫我分析這段惡意程式」「寫一個漏洞驗證程式」這類請求，常常直接拒答，因為它分不出你是防守方還是攻擊方。Daybreak 的做法是先確認你的身分和用途，通過後再放寬限制。這個計畫在 2026 年 5 月推出，8 月分成兩個等級：

Daybreak Blue：給防禦工作用

  • 用一般模型：GPT-5.5、GPT-5.6 Sol、GPT-6 Sol、GPT-6 Luna，減少防禦工作上的拒答
  • 適合：弱點分級、程式碼安全審查、惡意程式分析、偵測規則撰寫、事件應變、修補驗證
  • 個人和組織都能申請，OpenAI 建議大部分資安團隊從 Blue 開始
  • GPT-6 Astra 在 Blue 下維持一般防護

Daybreak Red：給授權的進階測試用

  • 用專門的資安模型 GPT-5.6 Cyber，GPT-6 Cyber 需要另外核准
  • 適合：授權滲透測試、紅隊演練、漏洞驗證與開發、受控的弱點研究
  • 只接受通過審核的企業組織申請，驗證更嚴格

兩者差距有多大？OpenAI 用一組內部的進階資安請求測試，GPT-5.6 Cyber 完成 95.0%，一般 GPT-5.6 Sol 只完成 1.5%，開了 Blue 是 2.0%。Blue 是多數防禦工作的起點，需要進階漏洞開發、授權滲透測試或紅隊演練時，再申請 Red。

個人申請 Daybreak Blue：條件與步驟

申請條件

  1. 年滿 18 歲
  2. 有符合資格的 ChatGPT 付費方案
  3. 開啟進階帳號安全（Advanced Account Security）
  4. 至少一把實體 FIDO2 硬體金鑰，例如支援 FIDO2 的 USB-C 或 NFC 安全金鑰
  5. 完成身分驗證，OpenAI 表示大部分人幾分鐘內就能完成

硬體金鑰這一條最多人卡關。手機或密碼管理器裡的 passkey 不算，跨裝置同步的 passkey 也不算，一定要是實體金鑰。TrustKey T110 和 T120 兩款目前不符合資格。帳號另外需要兩種安全登入方式，其中一種要能跨裝置使用，第二把實體金鑰可以自己決定要不要加。

在公司 Business 或 Team 工作區裡的帳號，個人申請 Blue 時一樣要完成帳號安全和硬體金鑰設定。

申請步驟

  1. 到 chatgpt.com/cyber，登入要用的帳號，點 Set up Daybreak
  2. 設定進階帳號安全（設定路徑：Settings → Security → Advanced Account Security → Enroll），先加入至少兩種安全登入方式
  3. 保存系統給的帳號復原金鑰（recovery keys），重新登入
  4. 回到申請頁，完成身分驗證
  5. 在 Set up your Daybreak keys 指定你的硬體金鑰
  6. 檢視核准狀態

開啟進階帳號安全前要知道的事

進階帳號安全開啟後，密碼登入、email 或簡訊登入碼、透過 email 復原帳號這些方式都會關掉，平常只能用硬體金鑰或 passkey 登入。帳號復原金鑰（recovery keys）是一組文字代碼，登入方式失效時用它啟動帳號復原，要等 48 小時。萬一金鑰遺失、登入方式失效，recovery keys 也弄丟，帳號可能就救不回來。動手前先準備好保存 recovery keys 的地方，例如抄在紙上或存進密碼管理器。

申請結果由 OpenAI 審核決定，被拒絕的話，客服也無法改變結果。

想用 GPT-6 Astra 做資安研究

11 月 5 日 OpenAI 擴大了 Astra 的 Blue 測試名額，個人研究者可以另外填一份申請表。前提是你已經完成 Daybreak 驗證和硬體金鑰設定，表單要填 ChatGPT 帳號 email、身分類別、預計的授權用途，可以附上過去的成果。

組織申請 Daybreak：Blue 和 Red

申請流程

  1. 填寫 組織申請表：法人名稱、公司網站、是否為政府機關或替政府工作，資料要完整正確
  2. 第三方驗證服務 Persona 會寄信給申請表上的聯絡人，完成企業驗證（KYB，Know Your Business）
  3. OpenAI 審查資格和用途，確認核准 Blue 或 Red、可用的模型和介面
  4. 管理員收到開通通知
  5. 管理員自己開啟功能：核准後預設是關閉的，ChatGPT 和 Codex 在工作區設定裡指定成員或群組，API 由組織擁有者對核准的專案開啟（預設的 Default project 不能用）
  6. 用 ChatGPT 帳號登入 Codex 的成員，自己再打開 Daybreak 開關
  7. 用核准的模型實際測試一次

審查可能會問到：組織和資安能力、打算怎麼用在防禦流程、要用哪個 OpenAI 組織或工作區。光是簽約或買方案不等於拿到資格，一樣要過審查。

Red 的額外要求

  • 必須啟用 SSO 單一登入，並透過身分提供者強制多重驗證（MFA）
  • GPT-6 Cyber 的 API 預設要設定 IP 白名單

使用範圍

  • 只能用在自己擁有、營運，或明確取得授權測試的系統、帳號、網路和資料
  • 只限組織內部使用，不能轉售、代理、嵌入產品給外部客戶
  • 要把 Daybreak 做進對外產品或代管服務，走 Daybreak 合作夥伴計畫
  • 核准後模型仍保留部分防護，也不會自動開啟零資料保留（ZDR）

用量怎麼算

方案輸入快取輸入輸出
ChatGPT／Codex：Blue100 credits10 credits500 credits
ChatGPT／Codex：Red312.5 credits31.25 credits1,875 credits
API：GPT-5.6 CyberUS$12.50US$1.25US$75
API：GPT-6 Cyber（短上下文）US$20US$2US$100

單位：每百萬 tokens。Blue 照 GPT-5.6 Sol 的 credits 費率計算。GPT-5.6 Cyber 單次輸入超過 272K tokens 時，整個請求輸入價變 2 倍、輸出價變 1.5 倍。

Codex Security：掃程式碼弱點

Codex Security 會讀你的程式碼、建立威脅模型、找出弱點，再提出修補建議。修補由你審核後才套用，它不會自己改你的程式碼。目前是研究預覽版，開放給 ChatGPT Pro、Business、Enterprise、Edu。

有四種用法：

1. Cloud：連 GitHub 自動掃

  • ChatGPT 網頁或桌面版 → Plugins → 搜尋 Codex Security Cloud → 安裝
  • 連結 GitHub、選 repo 和環境，跑一次 One-Time Scan，之後可以設定持續監測新 commit
  • 按 token 計費，不算在方案內含的用量裡。2026 年 10 月 1 日前沒有設定持續掃描的帳號，可以拿到 US$500 掃描額度，工作區成員共用，不會過期
  • Cloud 內附 Daybreak Blue 權限，只能在 Cloud 裡用

2. 本機外掛：在桌面版或 Codex CLI 裡掃

  • 桌面版：Codex → Plugins → 搜尋 Codex Security → 安裝，側欄 Security → Scans → + Scan
  • Codex CLI：在 repo 裡開 codex，輸入 /plugins 搜尋安裝，再用 /new 開新對話

3. PR 安全審查：每個 Pull Request 自動檢查

  • 到 chatgpt.com/settings/code-review 選 repo，開啟 Auto security review
  • 也可以在 PR 留言 @codex security review 手動觸發
  • 用方案內含的 Codex 用量或 ChatGPT credits，Plus 方案不能用

4. CLI 和 SDK：放進 CI 流程

npm install -g @openai/codex-security
npx @openai/codex-security login
npx @openai/codex-security scan /path/to/repo --auth chatgpt
  • 需要 Node.js 24、26，或 22.13.0 以上的 22.x 版本，加上 Python 3.10 以上（3.10 要另外安裝 tomli）
  • CI 裡用 API key（環境變數 OPENAI_API_KEY 或 CODEX_API_KEY），官方有 GitHub Actions 和 GitLab CI 範例
  • SDK 是 TypeScript 版，裝同一個 npm 套件

Enterprise 和 Edu 的成員要先請管理員在工作區設定開啟 Codex Cloud 和 Codex Security 兩個權限。

其他可以申請的計畫

資安補助（Cybersecurity Grant Program）

  • 隨時可以申請，2026 年 2 月起改成以 API credits 支援大規模防禦部署，總額 1,000 萬美元
  • 提案最多 3,000 個英文字（words），要寫目標、方法、資料、模型、成果怎麼分享、需要多少資金或 credits
  • 優先支援公共利益的專案，攻擊型資安專案不在補助範圍
  • 申請表

前線防禦者支援點數（Daybreak for Frontline Defenders）

  • 9 月 3 日宣布 10 億美元的補貼計畫，提供 Daybreak 使用額度、訓練和技術支援
  • 優先對象：水務、電網等關鍵基礎設施，地方政府、社區銀行、非營利組織、開源維護者
  • 先從美國開始，之後擴大到合作國家
  • 意向登記表

Patch the Planet

  • 給廣泛使用的開源專案，由 Trail of Bits、HackerOne、Calif 等夥伴協助確認弱點、測試修補、協調揭露
  • patchtheplanet.org

漏洞獎勵（Security Bug Bounty）

  • 11 月 2 日調高獎金：ChatGPT、Codex、API 等核心產品的重大漏洞最高 3 萬美元，特別重大的漏洞加上獎勵最高約 17.2 萬美元
  • 在 Bugcrowd 回報
  • 另有 Safety Bug Bounty，處理 AI 被濫用造成實質傷害的問題，一般越獄（jailbreak）不在範圍內

Defense Factory

  • 用 AI Agent 持續找弱點、驗證、修補的防禦作業模式，OpenAI 公開了架構和工作流程，手冊可以直接下載 PDF 閱讀
  • 官方建議的起步順序：跟團隊說明 → 申請 Daybreak → 用 Codex Security 外掛跑一次掃描

台灣讀者要注意的事

  • ChatGPT 和 OpenAI API 都支援台灣
  • Daybreak 目前只在部分地區開放，之後會再擴大。登入 chatgpt.com/cyber 後，頁面會顯示帳號目前可以進行的步驟
  • 前線防禦者支援點數先從美國開始
  • 買硬體金鑰時，認明包裝標示支援 FIDO2

11 月 13 日凌晨的資安發表會

OpenAI 會在美西時間 11 月 12 日 10:00，也就是台灣時間 11 月 13 日（五）02:00，舉辦「Cyber at the Frontier」線上發表會，介紹最新的資安產品。用公司 email 就能在活動頁報名。

發表會後，這篇會更新最新的模型和申請方式。

小企鵝的總結

  1. 個人最實際的入口是 Codex Security。有 Pro 以上方案的人，可以直接裝外掛掃自己的 repo，不用另外申請 Daybreak
  2. Daybreak Blue 的門檻在帳號安全。實體硬體金鑰、進階帳號安全、帳號復原金鑰三件事先準備好，申請就順了
  3. 開源維護者和研究者有專屬管道。Patch the Planet、資安補助、漏洞獎勵都開放申請，漏洞獎金 11 月剛調高

Red 等級跟 GPT-6 Cyber 現在只接受企業組織申請，個人能申請的是 Blue。

搭配閱讀：GPT-6 Astra 完整介紹了解 OpenAI 目前最強的模型，ChatGPT 免費使用指南比較各方案差異。