1. Daybreak、ChatGPT Cyber、TAC 和 CVP，先明确讨论对象
OpenAI 用 Daybreak 描述更广的网络防御技术栈，包含模型、Codex 工具与工作流；其中 Daybreak Access 就是 Trusted Access for Cyber，简称 TAC，分 Blue 与 Red。chatgpt.com/cyber 是入口，日常所说的“ChatGPT Cyber”也不能直接当成独立付费模型或权限标识。
Anthropic 在2026 年 10 月 6 日扩展 CVP，引入 Defense、Red Team 和 Specialized。两家计划的审查和运行控制不同，获批其中一项不会证明另一项也合资格；它们也不等同于普通订阅账号里的身份验证状态。
真正影响工程落地的问题是：哪个具名用户或工作负载，在什么环境中，可以调用哪个模型完成哪些任务。购买套餐、收到邮件、完成验证画面，各自只证明一个事件。把这些事件合并成“已经验证成功”，容易产生脆弱的自动化和失真的验收结论。
2. 用六项检查替代一个“已验证”开关
连接仓库或启用工具前，先记录下面的访问约定。这是本文提出的操作框架，不是服务商新增的申请表。
| 检查项 | 保留什么证据 | 不能据此推导什么 |
|---|---|---|
| 身份 | 目标个人或组织完成其所需核验。 | 计划已批准。 |
| 计划 | 批准内容明确层级和范围。 | 所有模型及产品入口都可用。 |
| 模型 | 精确模型包含在权限里。 | 所有项目已启用。 |
| 启用 | 已保存的工作区、角色或项目设置，以及匹配的凭据。 | 请求参数正确。 |
| 请求 | 端点、模型与受支持的计划选择一致。 | 具有测试某个目标的授权。 |
| 任务 | 负责人、获准资产、数据、动作、复核者与时间窗。 | 发现正确或修复有效。 |
OpenAI 文档把权限限定到身份、工作区或 API 组织与项目、模型和产品入口；Claude 的工作区 grant 说明也区分批准与分配。内部记录保留必要标识，但排除密钥。显示“approved”的截图是上下文，不能替代剩余检查。
给实验分配运行编号，并冻结输入文件的哈希。复核者应不必登录操作者的个人账号，就能重建任务范围。这样还能避免把一个工作区的成功请求，错误地用作另一个工作区的权限证明。
3. 访问层级、身份核验和付费，各自解决什么
| 计划 | 实际含义 | 必须保留的边界 |
|---|---|---|
| Daybreak Blue | 获准防御任务的起点。 | 不是每个模型都降拒绝。 |
| Daybreak Red | 独立批准的进阶安全访问。 | 部分模型另需专项批准。 |
| CVP Defense | 合资格组织及个人的防御访问。 | 个人目前仅可进入这一层。 |
| CVP Red Team | 组织有更广获授权测试需求。 | 附加控制与持续拦截仍存在。 |
| CVP Specialized | 少数组织的专门获批范围。 | 不随普通付费套餐自动附送。 |
个人 Daybreak 的当前要求包括成年、合资格付费计划、Advanced Account Security 和兼容的实体 FIDO2 密钥。AAS 本身会改变登录及恢复方式；同步 passkey 可能满足 AAS，却不能替代 Daybreak 的实体密钥要求。企业则按企业指南经过 Persona 业务核验和内部审核，不能照搬个人流程。
CVP 需要核验信息、安全工作说明及适用控制承诺。当前个人申请资格要求使用付费计划。Persona 个人或企业核验确认身份资料，并非无条件能力授权。当前帮助说创建 Anthropic 账号免费，不代表模型推理免费；订阅、API 计费和预算应独立确认。付款或完成 KYC 都不保证批准、完成期限或无限用量。
4. Daybreak API 的参数值，不是把批准名称原样填进去
当前 Responses API 指南将模型与 access_programs.cyber 分开选择。下表保留这种区别；每行还需要调用项目实际具备对应模型及计划权限。
| 模型 | 所需批准 | 请求值 |
|---|---|---|
gpt-6-sol | Blue 或 Red | daybreak_blue |
gpt-6.1-sol | Red | daybreak_blue |
gpt-6-astra | Red | daybreak_blue |
gpt-5.6-cyber | Red 加模型专项批准 | daybreak_red |
下面是面向 POST /v1/responses 的未运行请求体示例，前提是调用方已有获批权限。它不包含凭据，也不会赋予任何新权限。
{
"model": "gpt-6-sol",
"input": "Review only the supplied redacted lab dependency files. Return evidence-linked findings and proposed fixes. Do not access networks or execute untrusted code.",
"access_programs": { "cyber": "daybreak_blue" }
}字段可省略，但默认行为取决于模型。GPT-6.1 Terra 省略后使用标准安全处理；其降拒绝路径要求 Red 并经 Responses 显式启用，Chat Completions 不支持该路径。不要从未列出 Terra 的矩阵猜测精确值，落地前先确认当前获批映射。兼容模型可显式选择 standard 保持标准处理；请求中的 null 无效。
响应提供计划字段时，可用来核对所选处理方式，并查看实际模型以确认别名解析。HTTP 成功或模型没有拒绝，都不证明安全分析正确。本文没有执行上述请求。
5. 在正确入口启用，再验证最小调用路径
- 先阅读批准范围，再选择工作区、模型或 API 项目。
- OpenAI API 由组织 Owner 在非默认项目的 General → Daybreak model access 中启用获批层级，使用属于该项目的凭据。
- 通过 ChatGPT 登录 Codex 时，另外配置获批工作区的用户或角色，并在需要时确认用户端 Daybreak 开关。
- Claude Console/API 由 Admin 或 Owner 将 grant 分配给合资格 workspace，并检查 Active 状态。
- 用只含实验室数据的无害任务，记录精确入口、模型、所选处理与脱敏结果。
OpenAI 配置指南区分 API 项目和工作区角色；设置传播时间不是审核期限。Claude 当前配置表则为 Console/API、Enterprise、个人或团队组织及链接云账号规定不同动作，不能把一条路径推广到所有入口。
访问缺失时，先暂停导入敏感资料，核对访问约定与配置记录。不断换组织、密钥或提示词，会掩盖原问题并增加数据暴露。模型列表里暂时没有模型，也不如正确范围内的获准请求那样能直接说明访问状态。
6. 数据如何处理，十二月的安全迁移又影响什么
证件与模型输入是不同数据集。Anthropic 身份帮助描述 Persona 如何处理身份图像，以及验证资料不用于训练的目的；它没有说 CVP 提示与输出永不保留。OpenAI Trusted Access 也不会自动提供 Zero Data Retention。
当前 CVP 安全要求明确规定 Defense 在 2026 年 12 月 15 日前迁移到抗钓鱼 MFA，并停止长期静态模型凭据。过渡密钥仍有安全存储、归属到个人或工作负载、至少每周轮换等条件。个人 Defense 另要求本人独享，grant 流量保留并监控，不提供 ZDR。Red Team 和 Specialized 必须分别核对，不能套用 Defense 过渡期。
当前 CVP 帮助同时保留既有客户当前条款；应按实际 grant 与入驻文件适用规则，不能一概追溯给全部历史成员。把凭据迁移当成独立变更：盘点工作负载，在实验环境验证受支持的短期身份路径，检查撤销及用户归因。任何排错截图都不应出现真实 token。
Covered Models 另有跟随模型的数据保留规则；Enterprise Frontier Safeguards及过渡例外取决于资格与分批开放。客户控制存储仍涉及记录与监控，不是“任何地方都不留数据”。提交机密代码前，确认模型、组织、入口及书面配置确实匹配。
7. 先约定实验室边界，再评价模型
以下三个实验是建议流程，不是已完成的评测。使用自有或明确获授权的仓库快照、合成身份和脱敏文件，预先准备获准依赖。开始时不给生产访问，也不给不受限网络；写入路径只指向可丢弃的工作副本。
输入清单应包含 commit、文件哈希、获准目录、排除数据、执行者、复核者、截止时间及允许工具。提示词不能强制隔离；OpenAI 建议配置把文件边界、网络限制、动作审查和独立监测视为相互补充的控制。使用 Claude 的宿主工具也应落实同等范围限制。
运行前先固定报告格式：发现编号、文件或事件引用、观察、推断、置信度、缺失证据、建议改动与验证方法。没有输入引用的发现不能通过。模型生成的命令须独立复核后才考虑执行；仓库注释和日志文字不能扩大授权。
必要日志缺失、凭据意外出现、工具请求被排除的目标或时间窗结束时，应停止实验。保留脱敏失败记录，在模型会话之外调查。成功访问只是这些实验的起点，不是它们的合格结论。
8. 实验一：给依赖审计建立证据链
输入。准备锁定的依赖清单、运行时版本、构建目标、相关导入关系及获准来源的带日期公告导出。排除仓库凭据；私有客户依赖只有明确授权才纳入。先让模型核对依赖库存和版本匹配，再要求排序风险，避免跳过事实层。
产物。每项发现必须连到解析后的包版本、公告编号、可达组件及缺失证据。区分“已安装”与“漏洞路径确实可达”，要求最小升级建议及兼容性影响；不能接受没有来源的“已修复版本”。有潜在问题但暂未证明触发时，保留这种不确定性。
验收。独立核对包身份和公告适用范围，在另一受控环境重新生成锁文件、审查 diff，并运行项目中真正有意义的测试。确认目标依赖确实改变，必要功能仍能工作；漏洞数量减少本身可能掩盖意外删除了功能，不能单独作为通过标准。
失败处理。公告导出过旧或可达性不明时，标记未解决；安装请求意外网络或生命周期脚本时，停止并取得获准依赖制品，不为完成报告开放全网。标准模型也能完成其中很多代码审查任务，不能把计划访问写成每次审计的必要前提。
9. 实验二：按明确不变量审查脱敏配置
输入。提供合成服务配置、网络图和简短策略：哪个服务可到哪个端点，哪里必须认证，哪些数据不应进入日志，谁能改变部署。秘密用一致、带类型的占位符替换，保留关系但不暴露值，避免脱敏后连配置含义也无法理解。
产物。先把每条策略不变量映射到配置行，再列不一致项。区分已确认矛盾与需要产品文档核对的默认值。要求建议 diff、预期效果和回滚步骤；一句“看起来安全”不是复核者能够重建的交付物。
验收。用实际配置解析器验证语法，比较生效设置与策略，并在实验室使用无害合成请求测试允许和拒绝两类用例。逐项记录预期状态或事件，另行确认调试输出及错误不会暴露占位符在真实环境中的对应秘密。
失败处理。默认行为无文档时，检索当前一手资料或保留未知；若补丁靠放大权限让正向用例通过，应拒绝并继续定位被拒路径。模型自行称赞了自己的修改，也不能据此直接推进生产。
10. 实验三：把日志归因连接到补丁回归
输入。准备规范化时间戳、请求编号、脱敏应用轨迹、相关代码快照和已知无害复现夹具组成的合成事件时间线，并列出未知项。原始客户消息、访问 token 和生产会话资料不应进入输入包。
产物。要求引用具体事件的时间线、相互竞争的解释、支持和反对每个解释的证据，以及最小修正建议。必须标明观察与推断：先有失败请求、后有警告，仅说明时间顺序，不自动证明因果关系。
验收。独立于建议补丁建立回归测试。原始快照上应能检出目标缺陷，补丁上应因正确原因通过；再加一个相邻的正常用例，发现是否过度拒绝。检查结果日志，确认修复仍保留必要脱敏和归因字段，不为“通过”而取消可观测性。
失败处理。原始测试已通过时，应修改假设，而非宣布修复；时间戳不可比较或轨迹不全时，补充所需脱敏证据，暂记未解决，不制造确定性。本地回归通过仍不能证明生产部署已经生效，后者需要另外的运行证据。
11. 错误应分流到配置、政策或分析复核
| 观察 | 下一步检查 | 避免什么 |
|---|---|---|
invalid_access_program | 精确模型与计划值映射。 | 把批准标签等同于请求枚举。 |
unsupported_access_program | 受支持模型或允许的标准处理。 | 自行创造枚举值。 |
access_program_not_enabled | 组织批准、项目设置和对应凭据。 | 把密钥贴进支持报告。 |
cyber_policy 或安全拒绝 | 政策提示、任务授权和官方支持路径。 | 自动变换提示以躲避防护。 |
| Claude workspace 非 Active／模型不可用 | grant 分配、Qualifications 面板和身份范围。 | 认为所有工作区自动继承。 |
| 听起来可信但没有证据的发现 | 输入引用与独立复现。 | 把流畅输出当作证明。 |
前三类见Daybreak API 指南；网络安全检查仍是另一层安全控制。Claude 的工作区排错说明解释了 grant 与凭据问题。保留请求编号、时间、模型及脱敏错误，不从通用失败猜测未公开的账号风险原因。
12. 验收可证明的结果，让未知继续可见
分别记录三项结果：访问处理选择正确，分析有证据支持，经过复核的修正通过独立测试。第四项“生产已修复”需要本文实验之外的部署和运行证据；服务商评测或批准邮件都不能替代它们。
客户交付与内部 grant 要分开。普通 Daybreak 不授予下游使用权；CVP 当前接受独立审核的 managed service 申请，而客户产品申请尚未开放。受支持的云平台或第三方工具仍有账号链接、模型和数据条件，只有平台名称不足以说明可用范围。
公开文档没有给出保证批准的公式、完整的账号可用性或所有计划的统一收费。CVP 七个工作日首次回复目标不等于完成承诺；EFS 进度和精确模型权限需对目标账号确认。本文不声明任何读者的账号已经获批。
用三个实验考察可复现性、误报、复核工作量、回归质量和清理完整性，按自身任务与风险容忍度设阈值，不虚构节省百分比。有价值的交付是带负责人、可审计的改动，而不只是一次限制更少的模型会话。