บั๊ก OpenAI ล็อกผู้วิจัยไซเบอร์ที่ผ่านการรับรองออกจาก Daybreak Blue

OpenAI ยอมรับว่าเกิดปัญหาทางเทคนิคกับผู้ใช้ Trusted Access for Cyber (TAC) บางส่วนที่เคยได้รับอนุมัติแล้ว ส่งผลให้สิทธิ์เข้าใช้ Daybreak Blue หายไป จากนั้นขั้นตอนกู้คืนที่ให้ยืนยันตัวตนใหม่กลับทำให้ผู้วิจัยบางรายได้รับข้อความว่าไม่สามารถยืนยันตัวตนได้ หรือบัญชีไม่มีสิทธิ์เข้าใช้ระบบ ขณะที่แนวทางของ OpenAI ระบุว่าฝ่ายสนับสนุนไม่สามารถแก้ไขผลการตรวจสอบที่ไม่ผ่านด้วยตนเอง หรือเปิดเผยเหตุผลเฉพาะของผลลัพธ์นั้นได้

Daybreak Blue คืออะไร และเปิดตัวเมื่อใด

Daybreak คือโครงการด้านความปลอดภัยไซเบอร์ของ OpenAI ที่รวมโมเดลระดับแนวหน้า กระบวนการทำงานด้านความปลอดภัย และการเข้าถึงแบบควบคุมสำหรับผู้ป้องกันภัยที่ผ่านการอนุมัติ โครงการ Daybreak ในภาพรวมเปิดตัวเมื่อเดือนมิถุนายน 2026 ก่อนที่ OpenAI จะประกาศระดับการเข้าถึง Blue และ Red ในวันที่ 10 สิงหาคม 2026

Daybreak Blue เป็นระดับการเข้าถึงภายใต้ TAC ไม่ใช่ชื่อโมเดลโดยตรง ผู้ใช้ที่ได้รับอนุมัติจะเข้าถึง GPT-5.6 Sol ผ่านชื่อเรียก API gpt-daybreak-blue พร้อมมาตรการป้องกันที่ปรับให้เหมาะกับงานป้องกันภัยที่ได้รับอนุญาตมากขึ้น งานที่รองรับมีตั้งแต่การคัดแยกช่องโหว่ การตรวจสอบโค้ดอย่างปลอดภัย การวิเคราะห์มัลแวร์ การออกแบบระบบตรวจจับ การรับมือเหตุการณ์ ไปจนถึงการตรวจสอบแพตช์

โครงการนี้มีไว้สำหรับการทำงานกับระบบ แอปพลิเคชัน บัญชี เครือข่าย หรือข้อมูลที่ผู้วิจัยเป็นเจ้าของ เป็นผู้ดูแล หรือได้รับอนุญาตอย่างชัดเจนให้ทดสอบหรือวิเคราะห์ มาตรการป้องกันที่ปรับใหม่ไม่ได้หมายความว่านโยบายของ OpenAI หรือการควบคุมการเข้าถึงทั้งหมดจะถูกยกเลิก การอนุมัติยังจำกัดอยู่กับบุคคลหรือบริการ องค์กรหรือเวิร์กสเปซ โปรเจกต์ โมเดล และช่องทางการใช้งานที่ได้รับอนุญาตเท่านั้น

Daybreak Red ต่างจาก Blue อย่างไร

Daybreak Red เป็นระดับที่สูงกว่าและมีความเฉพาะทางมากกว่า โดยเปิดให้ใช้ GPT-5.6-Cyber ผ่านชื่อเรียก gpt-daybreak-red สำหรับงานที่ได้รับอนุญาตในระดับสูง เช่น การวิจัยช่องโหว่ การตรวจสอบการใช้ประโยชน์จากช่องโหว่ และการทดสอบความปลอดภัย

Red ต้องผ่านการอนุมัติและการจัดสรรสิทธิ์แยกต่างหาก ดังนั้นการได้รับอนุมัติ Blue หรือแม้แต่การยืนยันตัวตนสำเร็จ จึงไม่ได้ทำให้ผู้ใช้ได้รับสิทธิ์เข้าโมเดลเฉพาะทางของ Red โดยอัตโนมัติ

โครงสร้างนี้มีลักษณะคล้าย Cyber Verification Program ของ Anthropic ซึ่งเปิดให้ผู้เชี่ยวชาญด้านความปลอดภัยที่ทำงานไซเบอร์อย่างถูกต้องตามกฎหมาย เช่น การวิจัยช่องโหว่ การทดสอบเจาะระบบ และการทำเรดทีม ใช้โมเดลโดยไม่ต้องอยู่ภายใต้มาตรการป้องกันบางส่วนที่ออกแบบมาเพื่อป้องกันการนำไปใช้ในทางที่ผิด ทั้งสองโครงการใช้แนวคิดเดียวกัน คือ ตรวจสอบบุคคลและองค์กรก่อน แล้วจึงปรับข้อจำกัดให้เหมาะกับงานป้องกันภัยที่ชอบด้วยสิทธิ์ แทนการเปิดความสามารถดังกล่าวให้ทุกบัญชีใช้งานได้อย่างเสรี

ผู้ใช้ที่ได้รับผลกระทบพบปัญหาอะไรบ้าง

รายงานจากผู้ใช้ที่ได้รับผลกระทบระบุรูปแบบความผิดพลาดหลายประการ ได้แก่

• สถานะ TAC ที่เคยได้รับอนุมัติหายไปโดยไม่มีการแจ้งเตือนล่วงหน้า
• หน้า Daybreak กลับไปแสดงสถานะ “เริ่มการยืนยันตัวตน” ราวกับผู้ใช้ไม่เคยผ่านการตรวจสอบมาก่อน
• กระบวนการยืนยันตัวตนไม่เริ่มทำงาน ค้างอยู่ หรือจบลงด้วยข้อความว่าไม่สามารถยืนยันตัวตนได้หรือบัญชีไม่มีสิทธิ์
• นักวิจัยอย่างน้อยหนึ่งรายระบุว่า ผ่านการยืนยันตัวตนและได้รับอีเมลอนุมัติ Daybreak Blue แล้ว แต่หน้า TAC ยังคงแจ้งว่าบัญชีไม่มีสิทธิ์

คู่มือแก้ไขปัญหาของ OpenAI แนะนำให้ผู้ที่ยืนยันตัวตนไม่ผ่านทำตามคำแนะนำในข้อความแจ้งเตือนที่ได้รับ แต่ก็ระบุด้วยว่าไม่สามารถแก้ไขผลการยืนยันด้วยตนเอง และขณะนี้กระบวนการยืนยัน Daybreak ยังไม่รองรับการลองใหม่หรือการอุทธรณ์ สำหรับกรณีที่อาจเกิดจากความผิดพลาดของแพลตฟอร์ม การไม่มีช่องทางอุทธรณ์ตามปกติทำให้การกู้คืนสิทธิ์มีความยุ่งยากและส่งผลกระทบมากขึ้น

OpenAI ชี้แจงว่าเป็นปัญหาทางเทคนิค

OpenAI ระบุว่าการสูญเสียสิทธิ์เกิดจากปัญหาทางเทคนิคที่กระทบผู้ใช้จำนวนจำกัด ไม่ใช่การทบทวนคุณสมบัติของนักวิจัยทุกคนที่ได้รับผลกระทบ บริษัทกล่าวว่าประสบการณ์ดังกล่าวไม่ใช่สิ่งที่ตั้งใจให้เกิดขึ้น กำลังดำเนินการป้องกันไม่ให้ปัญหาเกิดซ้ำ และได้ส่งอีเมลแจ้งผู้ใช้ที่ได้รับผลกระทบพร้อมช่องทางให้ยืนยันสิทธิ์ Daybreak Blue อีกครั้ง

คู่มือสาธารณะของบริษัทแนะนำเพิ่มเติมว่า หากขั้นตอนยืนยันไม่โหลด ค้าง หรือแสดงข้อผิดพลาดทางเทคนิค ผู้ใช้ควรลองเริ่มกระบวนการใหม่ ตรวจสอบให้เบราว์เซอร์และอุปกรณ์เป็นเวอร์ชันล่าสุด และติดต่อฝ่ายสนับสนุนพร้อมภาพหน้าจอหากปัญหายังคงอยู่ อย่างไรก็ตาม แนวทางดังกล่าวไม่ได้ให้อำนาจฝ่ายสนับสนุนในการแก้ไขผลการตัดสินสิทธิ์ที่ไม่ผ่านด้วยตนเอง

ผู้ใช้ที่ได้รับผลกระทบอยู่ภูมิภาคใดบ้าง

รายงานที่เผยแพร่ต่อสาธารณะระบุว่า ผู้ร้องเรียนที่ปรากฏตัวอย่างชัดเจนส่วนใหญ่อยู่ภายนอกสหรัฐอเมริกาและยุโรป แต่ข้อมูลดังกล่าวไม่ควรถูกตีความว่าเป็นสถิติทางภูมิศาสตร์ที่ยืนยันแล้วของผู้ได้รับผลกระทบทั้งหมด

OpenAI ไม่ได้เปิดให้บริการ ChatGPT และ API ในทุกประเทศหรือดินแดน ดังนั้นข้อจำกัดด้านภูมิภาคอาจเกี่ยวข้องกับคุณสมบัติของบัญชีในบางกรณี แต่หลักฐานที่มีอยู่ยังไม่ยืนยันว่ากฎด้านภูมิภาคเป็นต้นเหตุของเหตุการณ์นี้ การอธิบายอย่างรอบคอบกว่าคือ ภูมิศาสตร์ยังเป็นปัจจัยที่ต้องตรวจสอบ ไม่ใช่คำตอบที่ได้รับการยืนยันแล้ว

คำถามที่ยังไม่มีคำตอบ และความย้อนแย้งด้านความปลอดภัย

OpenAI ยังไม่ได้เปิดเผยต่อสาธารณะว่าอะไรเป็นจุดเริ่มต้นของข้อบกพร่อง มีผู้ใช้ได้รับผลกระทบกี่ราย หรือเหตุใดการอนุมัติก่อนหน้านี้จึงไม่ถูกคงไว้เมื่อมีการกู้คืนสิทธิ์ นอกจากนี้ ข้อมูลสาธารณะยังไม่ชี้ชัดว่าความผิดพลาดแต่ละกรณีเกี่ยวข้องกับคุณสมบัติด้านภูมิภาค สถานะบัญชี ผู้ให้บริการยืนยันตัวตน หรือส่วนอื่นของระบบควบคุมการเข้าถึง

เหตุการณ์นี้เผยให้เห็นความตึงเครียดเชิงโครงสร้างของ AI ที่เปิดให้ใช้แบบจำกัดสิทธิ์ มาตรการของ Daybreak ถูกออกแบบมาเพื่อทำให้โมเดลไซเบอร์ที่มีความสามารถสูงมีประโยชน์ต่อผู้ป้องกันภัยที่ผ่านการตรวจสอบ ขณะเดียวกันก็ป้องกันไม่ให้ผู้ใช้ที่ไม่ได้รับอนุญาตเข้าถึง แต่การป้องกันดังกล่าวต้องพึ่งพาระบบยืนยันตัวตน ตรวจสอบคุณสมบัติ และจัดสรรสิทธิ์ที่ทำงานได้อย่างน่าเชื่อถือ

หากระบบเหล่านี้เพิกถอนสิทธิ์ของผู้ใช้ที่ได้รับการรับรองโดยผิดพลาด หรือแยกไม่ออกระหว่างความขัดข้องทางเทคนิคกับการยืนยันตัวตนไม่ผ่าน กลไกความปลอดภัยก็อาจกลายเป็นอุปสรรคต่อคนที่ระบบตั้งใจจะช่วยเหลือ

บทเรียนสำคัญจากเหตุขัดข้องของ Daybreak Blue จึงไม่ได้อยู่แค่เรื่องความปลอดภัยของโมเดล แต่รวมถึงการจัดการสิทธิ์เข้าถึงด้วย ระบบที่น่าเชื่อถือต้องมีวิธีรักษาสถานะการอนุมัติเดิม กู้คืนสิทธิ์เมื่อแพลตฟอร์มผิดพลาด และทบทวนกรณีที่ผู้ใช้ถูกปฏิเสธอย่างไม่ถูกต้องได้อย่างมีประสิทธิภาพ