两把物理密钥，换 Daybreak Blue 个人用户的一张通行证

9 月 30 日，OpenAI 的 Tibo 在 X 上发了一条提醒：明天开始，Daybreak Blue 的个人用户在调用 cyber-forward 能力时需要一把合格的硬件密钥，企业用户照旧。他把这件事定性为「加速赋能防御方」策略的一部分——听起来是收紧，OpenAI 的说法却是：先把门锁好，才敢把更强的能力交出去。

Daybreak Blue 是什么

Daybreak 是 OpenAI 面向网络安全从业者的受信访问（Trusted Access for Cyber）计划，里面分 Blue 和 Red 两档。按 OpenAI 的介绍，Blue 是大多数防御者的推荐入口，提供带有专门护栏的 GPT-5.6 Sol，用于漏洞发现、安全代码审查、恶意软件分析、应急响应和补丁验证这类授权防御工作；Red 则开放给需要漏洞利用验证、渗透测试、红队演练的更深度场景。

这些能力的问题在于双刃：能帮你找出自家系统漏洞的模型，换一个人用就是攻击工具。Daybreak 的整套设计，本质上是在回答「怎么确认用的人是被审核过的那个人」。

新门槛具体卡在哪

硬件密钥要求并不是 9 月 30 日临时冒出来的。根据 OpenAI 帮助文档和外媒整理，时间线是这样的：

• 9 月 1 日起，新申请 Daybreak 的个人用户必须开启 Advanced Account Security（高级账户安全），并用 FIDO2 硬件密钥这类更强的方式验证身份。
• 已有个人用户的宽限期到 10 月 1 日，逾期不满足要求将失去访问资格。
• 个人访问的完整条件包括：符合要求的付费计划、开启高级账户安全、至少一把兼容的 FIDO2 物理密钥；据捷克科技媒体整理，高级账户安全要求至少两种登录方式，且只认物理 FIDO2 密钥，软件密钥和云同步通行密钥都要移除——实际上等于建议准备两把，一把主用一把备份。
• 企业和组织账户走单独的入驻流程，由各自的身份管理体系负责，高级账户安全本身也不对企业托管账户开放。

密码和短信为什么不够

对一个能自动挖漏洞的模型来说，最大的风险不在 KYC 那一刻，而在之后：审核通过的账号被钓鱼盗走、被转借、被打包转卖。密码会被钓、短信验证码会被 SIM 卡劫持；云同步的通行密钥虽然抗钓鱼，但它跟着云端账号走，云账号一旦失守，密钥也一起失守。物理密钥把「本人在场」绑到了一个摸得着的东西上，远程攻击者很难复制。

企业被豁免也说得通：企业账户背后有 SSO、设备管理和离职回收流程，出了问题有组织可以追责；个人账户只有一个人对它负责，所以要用硬件来补这份担保。

同一周的两种开门方式

巧的是，同一时间 Google 发布 Gemini 4 Argon，也是先经 Fairwind 计划只对一批受信任的网络防御者开放，再视安全措施完善程度扩大到付费 API 客户。两家都把最强的安全能力放在「先审人、再放量」的框架里，差别在于 OpenAI 选择把个人开发者留在门内，只是把门槛换成了一把插在 USB 口上的物理钥匙。

这类强身份绑定的思路，其实和 ChatGPT 平时的账号风控是一条线上的：平台越来越在意「这个账号此刻是不是本人在用」，登录环境和身份信号对不上，轻则弹验证、重则限制功能。如果你平时就常碰到 Unusual Activity 之类的提示，可以先看看 OpenAI 账号的 IP 与身份风控 是怎么判定的；至于 Daybreak 这一档，物理密钥已经成了没有商量余地的入场券。