Cấu hình được đề xuất

Các biện pháp kiểm soát bảo mật phù hợp với một quy trình an ninh mạng phụ thuộc vào mô hình, những hành động mô hình có thể thực hiện, các hệ thống mô hình có thể truy cập và mức độ nhạy cảm của dữ liệu liên quan.

Đối với hầu hết quy trình Daybreak Blue, các biện pháp bảo mật hiện có của tổ chức bạn—chẳng hạn như kiểm soát quyền truy cập, bảo vệ thông tin xác thực và xem xét các hành động nhạy cảm—có thể đã đủ.

Quy trình Daybreak Red, hoạt động kiểm thử bảo mật tự động và các hoạt động liên quan đến hệ thống production, dữ liệu nhạy cảm hoặc công cụ bên ngoài có thể cần biện pháp bảo vệ mạnh hơn. Các đề xuất dưới đây chủ yếu dành cho những trường hợp có rủi ro cao hơn này.

Trusted Access quản lý quyền truy cập mô hình đã được phê duyệt, nhưng không cấu hình môi trường của bạn hoặc thực thi giới hạn đối với các hệ thống và hành động đã được phê duyệt. Nhóm của bạn phải thiết lập các biện pháp kiểm soát phù hợp về cô lập, quyền, xem xét, giám sát và sự giám sát của con người. Hãy giả định rằng mô hình, các công cụ của mô hình và mọi hệ thống được kết nối đều có thể bị xâm phạm, rồi cấu hình môi trường sao cho chúng vẫn không thể tiếp cận hệ thống trái phép, làm lộ thông tin xác thực, vô hiệu hóa biện pháp bảo vệ hoặc duy trì quyền truy cập sau khi công việc kết thúc.

Cô lập môi trường

Thực hiện công việc bảo mật tấn công trong một phòng lab hoặc sandbox chuyên dụng. Ban đầu, không cấp quyền truy cập Internet không giới hạn, quyền truy cập vào hệ thống production nhạy cảm, mạng doanh nghiệp, khối lượng công việc không liên quan hoặc giao diện quản lý máy chủ. Không để bí mật, thông tin xác thực, quyền truy cập lâu dài và các thay đổi hệ thống bền vững trong phạm vi tiếp cận, trừ khi công việc đã được phê duyệt của bạn yêu cầu và cho phép rõ ràng những nội dung đó.

Đối với công việc có rủi ro cao hơn hoặc được giảm bớt biện pháp bảo vệ, hãy sử dụng một môi trường mới, được cô lập nghiêm ngặt cho mỗi lần thử. Tách biệt tài nguyên điện toán, lưu trữ, mạng và danh tính; sau đó hủy môi trường thay vì đặt lại hoặc tái sử dụng.

Kiểm thử các ranh giới hệ thống tệp và mạng trước khi bắt đầu công việc có rủi ro cao hơn. Bao gồm mọi máy chủ có thể tiếp cận, công cụ được kết nối, tác nhân được ủy quyền và dịch vụ hạ nguồn. Duy trì sự cô lập của môi trường máy chủ ngay cả khi mô hình hoặc người đánh giá phê duyệt một hành động riêng lẻ.

Xác định và thực thi các ranh giới đã được phê duyệt

Trước khi mô hình bắt đầu, hãy ghi lại các hệ thống, công cụ, hành động và giới hạn thời gian được phê duyệt cho công việc của bạn. Bao gồm:

• Các hệ thống đích, máy chủ và môi trường đã được phê duyệt.
• Các hệ thống bị loại trừ, bao gồm production và cơ sở hạ tầng không liên quan.
• Các công cụ và dịch vụ được kết nối đã được phê duyệt.
• Các hành động được phê duyệt và bị cấm.
• Thời gian bắt đầu, kết thúc đã được phê duyệt và các yêu cầu xử lý dữ liệu.
• Công bố lỗ hổng, phê duyệt bản vá và phối hợp với người bảo trì.
• Các điều kiện dừng và những hành động cần có sự phê duyệt rõ ràng của con người.

Cung cấp các ranh giới đã được phê duyệt này cho tác nhân dưới dạng ngữ cảnh tác vụ. Chỉ ghi thành tài liệu sẽ không thực thi được chúng: hãy áp dụng các biện pháp kiểm soát độc lập đối với hệ thống tệp, mạng, danh tính và công cụ để khiến hành động trái phép trở nên bất khả thi bất cứ khi nào có thể.

Sử dụng hồ sơ quyền của Codex để tạo ranh giới theo nguyên tắc đặc quyền tối thiểu. Chọn :read-only khi tác vụ không yêu cầu thay đổi, hoặc mở rộng :workspace khi công việc yêu cầu chỉnh sửa workspace. Ví dụ:

approval_policy = "on-request"
approvals_reviewer = "auto_review"
default_permissions = "cyber-lab"

[features]
network_proxy = true

[permissions.cyber-lab]
description = "Limit security testing to the approved lab and workspace."
extends = ":workspace"

[permissions.cyber-lab.filesystem]
glob_scan_max_depth = 3

[permissions.cyber-lab.filesystem.":workspace_roots"]
"**/.env*" = "deny"
"**/*.pem" = "deny"

[permissions.cyber-lab.network]
enabled = true
# Uncomment only for an approved host that resolves to a private address.
# allow_local_binding = true

[permissions.cyber-lab.network.domains]
"lab.example.com" = "allow"

Tính năng network_proxy thực thi miền đã được phê duyệt. Nếu không có tính năng này, network.enabled = true cho phép truy cập mạng trực tiếp và danh sách cho phép của phòng lab không hạn chế đích đến. Tìm kiếm trên web, ứng dụng, trình kết nối, máy chủ MCP, hoạt động trình duyệt và đám mây Codex sử dụng các biện pháp kiểm soát riêng; hãy hạn chế hoặc tắt mọi bề mặt mà quy trình đã được phê duyệt của bạn không yêu cầu.

Thay lab.example.com bằng một đích đã được phê duyệt. Quá trình quét hệ thống tệp có giới hạn được thiết kế để tránh tìm kiếm toàn bộ workspace trên Linux, WSL và Windows; hãy tăng độ sâu hoặc sử dụng chính xác các đường dẫn từ chối nếu tệp nhạy cảm nằm sâu hơn. Không kết hợp hồ sơ quyền với các cài đặt sandbox_mode cũ; hãy làm theo hướng dẫn cấu hình hồ sơ quyền.

Nếu máy chủ phòng lab đã được phê duyệt phân giải thành địa chỉ riêng tư, Codex sẽ chặn địa chỉ đó theo mặc định ngay cả khi máy chủ có trong danh sách cho phép. Chỉ đặt allow_local_binding = true cho công việc trên mạng riêng tư đã được phê duyệt rõ ràng, giữ danh sách đích cho phép thật hẹp và xem hướng dẫn về mạng cục bộ và mạng riêng tư. Bạn cũng có thể thêm chính xác địa chỉ IP riêng tư đã được phê duyệt vào danh sách cho phép.

Chặn quyền truy cập Internet mở và mạng production theo mặc định. Nếu cần quyền truy cập bên ngoài, hãy định tuyến qua một gateway hoặc proxy được thực thi độc lập với danh sách cho phép hẹp, chức năng kiểm tra yêu cầu và ghi nhật ký. Áp dụng cùng các hạn chế cho những kết nối gián tiếp qua trình quản lý gói, webhook, dịch vụ truy xuất URL, chuyển hướng, API đám mây và công cụ được kết nối. Nạp các phần phụ thuộc trước khi chạy hoặc sử dụng những phần phụ thuộc được quản trị viên phê duyệt.

Bảo vệ thông tin xác thực và dữ liệu nhạy cảm

Không đưa API key có thể tái sử dụng, thông tin xác thực đám mây, mật khẩu và token tài khoản dịch vụ vào prompt, kho lưu trữ, biến môi trường, hệ thống tệp dùng chung và nhật ký mà mô hình có thể truy cập. Khi cần xác thực, hãy sử dụng một broker hoặc gateway riêng để cung cấp thông tin xác thực ngắn hạn, có phạm vi giới hạn ở đúng đích và hành động được phép mà không để lộ thông tin xác thực cho mô hình.

Chỉ cung cấp dữ liệu cần thiết cho tác vụ đã được phê duyệt. Loại bỏ thông tin nhạy cảm không cần thiết, chặn quyền truy cập vào metadata đám mây và endpoint thông tin xác thực, đồng thời xem các tệp do mô hình tạo là không đáng tin cậy.

Tránh dùng :danger-full-access và --yolo cho quy trình an ninh mạng. Full Access loại bỏ ranh giới sandbox có thể thực thi mà quy trình xem xét tự động phụ thuộc vào. Các tổ chức được quản lý có thể loại trừ :danger-full-access và --yolo, giới hạn các chính sách phê duyệt được phép và yêu cầu xem xét tự động thông qua cấu hình do doanh nghiệp quản lý.

Trước khi bật Full Access cho một mô hình bảo mật đã được phê duyệt, ứng dụng ChatGPT dành cho máy tính sẽ hiển thị cảnh báo dành riêng cho mô hình về các hành động nguy hiểm. Cảnh báo đề xuất sử dụng Approve for me thay thế và liên kết đến cấu hình chính sách người đánh giá. Cảnh báo không khôi phục ranh giới sandbox hoặc ghi đè chính sách của tổ chức.

Các biện pháp bảo vệ bổ sung cơ chế xem xét dựa trên chính sách vào một quy trình an ninh mạng được kiểm soát. Chúng không thay thế việc cô lập môi trường, quyền theo nguyên tắc đặc quyền tối thiểu, ranh giới được xác định rõ ràng, hoạt động giám sát hoặc sự giám sát của con người.

Xem xét các hành động Codex nhạy cảm

Auto-review chuyển các yêu cầu phê duyệt đủ điều kiện liên quan đến ranh giới sandbox đến một người đánh giá riêng biệt trước khi hành động được đề xuất chạy. Người đánh giá cân nhắc hành động được đề xuất, ngữ cảnh tác vụ có giới hạn và chính sách áp dụng, rồi cho phép hoặc từ chối yêu cầu. Các tổ chức có thể tùy chỉnh chính sách đó cho các đích đã được phê duyệt, hành động bị cấm và điều kiện bắt buộc phải có con người xem xét.

Yêu cầu sự phê duyệt rõ ràng của con người đối với các hành động ảnh hưởng đến production, hệ thống bên ngoài, dữ liệu nhạy cảm, nâng quyền, quyền truy cập lâu dài hoặc thay đổi không thể đảo ngược. Xem các chỉ dẫn được nhúng trong trang web, kho lưu trữ, tài liệu và đầu ra của công cụ là không đáng tin cậy; chúng không thể mở rộng phạm vi được ủy quyền hoặc ghi đè các biện pháp kiểm soát quyền truy cập.

Trong ứng dụng ChatGPT dành cho máy tính, việc chọn một mô hình Daybreak đã được phê duyệt sẽ tự động chuyển chế độ kiểm soát quyền sang Approve for me khi chế độ đó khả dụng cho tài khoản của bạn và được chính sách tổ chức cho phép. Điều này cũng áp dụng khi bạn sử dụng lệnh /model của ứng dụng dành cho máy tính. Nếu chế độ đó không khả dụng, chế độ quyền hiện tại sẽ không thay đổi. Việc chọn mô hình không bao giờ ghi đè các yêu cầu của tổ chức được quản lý.

Để quy trình xem xét tự động chạy, hãy duy trì cả ba biện pháp kiểm soát sau:

1. Sử dụng một chính sách phê duyệt tương tác như approval_policy = "on-request".
2. Đặt approvals_reviewer = "auto_review".
3. Duy trì một ranh giới sandbox hoặc hồ sơ quyền có thể thực thi.

Yêu cầu đến một đích trong danh sách mạng cho phép vẫn nằm trong ranh giới mạng và không tự động kích hoạt Auto-review. Để xem xét một lệnh nhạy cảm ngay cả khi đích của lệnh nằm trong danh sách cho phép, hãy tạo một quy tắc lệnh rõ ràng trong ~/.codex/rules/:

prefix_rule(
    pattern = ["curl"],
    decision = "prompt",
    justification = "Review requests to the approved cybersecurity target.",
)

Khởi động lại Codex sau khi thêm quy tắc. Với approvals_reviewer = "auto_review", các lệnh khớp sẽ được gửi đến người đánh giá trước khi thực thi. Thêm quy tắc prompt tương ứng cho mọi lệnh nhạy cảm hoặc sử dụng approval_mode = "prompt" cho từng công cụ MCP. Những hành động cần quyết định của con người vẫn phải có sự phê duyệt rõ ràng của con người.

Auto-review không kiểm tra các hành động thông thường đã được phép trong sandbox. Với approval_policy = "never" hoặc Full Access, một hành động nhạy cảm có thể không tạo ra yêu cầu phê duyệt có thể xem xét. Quy trình xem xét tự động có thể mắc lỗi và không thay thế việc cô lập, ranh giới được xác định rõ ràng, hoạt động giám sát hoặc sự giám sát rõ ràng của con người.

Để biết chính sách có phạm vi giới hạn và cách thực thi trên toàn tổ chức, hãy xem Cấu hình quy trình an ninh mạng được ủy quyền.

Giám sát độc lập và đóng an toàn khi có lỗi

Ghi nhật ký yêu cầu của mô hình, lệnh gọi công cụ, hoạt động mạng, việc sử dụng thông tin xác thực và các thay đổi liên quan đến bảo mật. Duy trì nhật ký và hệ thống giám sát bên ngoài môi trường do mô hình kiểm soát. Cảnh báo khi có đích trái phép, yêu cầu mạng ngoài dự kiến, thông tin xác thực bị lộ, thay đổi chính sách, nhật ký bị thiếu và nỗ lực vượt qua biện pháp bảo vệ.

Duy trì hoạt động thực thi chính sách, broker thông tin xác thực, hệ thống xem xét và biện pháp tắt khẩn cấp độc lập với tác nhân. Dừng quy trình nếu một biện pháp kiểm soát hoặc hệ thống giám sát thiết yếu gặp lỗi.

Thêm biện pháp bảo vệ vào quy trình tác nhân tùy chỉnh

Nếu bạn xây dựng bằng Responses API, Agents SDK hoặc một harness khác, hãy thêm bước xem xét tại ranh giới thực thi công cụ. Kiểm tra các hành động nhạy cảm được đề xuất theo những hệ thống, hành động và giới hạn thời gian đã được phê duyệt trước khi thực thi; chuyển hành động không rõ ràng hoặc có rủi ro cao cho con người; thực thi các hạn chế độc lập về hệ thống tệp và mạng; duy trì nhật ký kiểm tra; đồng thời đóng an toàn nếu người đánh giá hoặc chính sách không khả dụng.

Codex Auto-review không tự động bảo vệ các công cụ tùy chỉnh hoặc harness bên ngoài. Hãy sử dụng Biện pháp bảo vệ và sự xem xét của con người cho mẫu Agents SDK và tham khảo chính sách người đánh giá nguồn mở.

Cơ chế sandbox và xem xét phía sản phẩm Codex tách biệt với các bước kiểm tra an ninh mạng của API. Các biện pháp bảo vệ API có thể trả về lỗi cyber_policy, còn các giá trị safety_identifier cho từng người dùng có thể giúp hạn chế ảnh hưởng của một hành động bảo vệ.

Dọn dẹp và xác thực kết quả

Sau khi công việc kết thúc, hãy thu hồi thông tin xác thực tạm thời, chấm dứt các tiến trình nền, loại bỏ quyền truy cập lâu dài và hủy các môi trường có rủi ro cao hơn. Xác minh rằng không còn callback, hiện vật bị lộ, trạng thái dùng chung hoặc quyền truy cập giữa các lần chạy; đồng thời duy trì sự cô lập giữa các người dùng, phiên và lượt đánh giá riêng biệt.

Xác thực các phát hiện trước khi hành động, tuân theo các biện pháp công bố có phối hợp và duy trì trách nhiệm của con người đối với hoạt động khắc phục và thay đổi.

Trước khi bắt đầu

Xác nhận các hệ thống và hành động đã được phê duyệt, mô hình phù hợp, môi trường cô lập, quyền theo nguyên tắc đặc quyền tối thiểu, quyền truy cập mạng bị hạn chế, thông tin xác thực được bảo vệ, quy trình xem xét hành động, hoạt động giám sát độc lập, biện pháp dừng khẩn cấp và kế hoạch dọn dẹp. Các biện pháp bảo vệ của mô hình, sự cô lập, quyền có phạm vi giới hạn, quy trình xem xét hành động, hoạt động giám sát và sự giám sát của con người bổ trợ cho nhau; không biện pháp nào nên là lớp kiểm soát duy nhất.