Der offene Brief stützt sich auf drei Grundannahmen. Erstens: Altlasten wie seit Langem bekannte Fehler, Fehlkonfigurationen und schwache Authentifizierung führten dazu, dass Sicherheit auf dem bisherigen Niveau nicht mehr ausreiche. Zweitens: KI mache Spezialwissen aus der Sicherheitsbranche für mehr Verteidiger nutzbar und erhöhe den Wert geteilten Wissens sowie verifizierter Fehlerbehebungen. Drittens: Weil sich Cyberfähigkeiten in vielen Organisationen zugleich weiterentwickeln, brauche es eine global koordinierte Antwort.
An jede Organisation richtet sich die Aufforderung, Cyberabwehr zur unmittelbaren Chefsache zu machen, zuerst die riskantesten Schwachstellen zu beheben und die Sicherheitsanforderungen an selbst entwickelte wie zugekaufte Produkte anzuheben. Wo Systeme nicht gepatcht werden können, ohne wesentliche Dienste zu unterbrechen, sollen kompensierende Maßnahmen greifen.
Sicherheitsunternehmen und Technologiepartner sollen ihre Abwehr fortlaufend gegen KI-Fähigkeiten auf dem aktuellen Stand der Technik testen. Zudem sollen sie KI-gestützten Schutz auch für Betreiber kritischer Infrastruktur mit knappen Budgets zugänglich machen und Bedrohungsdaten sowie Handlungsanleitungen teilen, deren Wirksamkeit tatsächlich belegt ist.
Regierungen werden aufgefordert, die Cyberabwehr auf lokaler, nationaler und internationaler Ebene zu koordinieren und jene wesentlichen Dienste zu finanzieren, denen Personal oder Mittel zur Reaktion fehlen. Betreiber kritischer Infrastruktur sollen Zugang zu defensiven KI-Werkzeugen und zu autorisierter Unterstützung bei Sicherheitstests erhalten. Ausdrücklich verlangt der Brief außerdem, Angreifern Kosten aufzuerlegen.
Die Entwickler führender KI-Modelle sollen verantwortungsvollen Modellzugang, Finanzmittel und praktische Unterstützung für Verteidiger mit geringen Ressourcen bereitstellen. Hinzu kommen Werkzeuge, mit denen sich KI-Systeme überwachen und ihre Handlungen nachvollziehbar und zurechenbar halten lassen, sowie das Teilen von Bedrohungsbewertungen mit Regierungen und Open-Source-Maintainern.
Als federführende Organisation hat OpenAI drei eigene Zusagen genannt. Neben dem subventionierten Zugang zu den Daybreak-Cyber-Modellen für öffentliche Einrichtungen, gemeinnützige Organisationen, Open-Source-Maintainer und Betreiber kritischer Infrastruktur bietet das Unternehmen ein Programm an, in dem Firmen gemeinsam mit autorisierten Partnern ihre Abwehr mithilfe der OpenAI-Modelle prüfen und gefundene Schwächen vertraulich melden können. Drittens will OpenAI weiterhin Sicherheitswerkzeuge und Erkenntnisse veröffentlichen, die Organisationen dabei helfen sollen, Schwachstellen zu finden, zu priorisieren und die Wirksamkeit von Korrekturen zu überprüfen.