Modo de bloqueo de ChatGPT: el ajuste que OpenAI creó para asfixiar la inyección de prompts

El 13 de febrero de 2026, OpenAI anunció el modo Lockdown, un ajuste opcional de ChatGPT que restringe lo que el asistente puede enviar a la red, de modo que un ataque de inyección de instrucciones no tenga ninguna vía para sacar datos robados. La navegación se reduce a contenido en caché, ninguna solicitud en vivo sale de la red controlada de OpenAI y cualquier función que no pueda recibir una garantía determinista de seguridad se desactiva en lugar de filtrarse. Se lanzó primero para ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare y ChatGPT for Teachers, activado por los administradores del espacio de trabajo, y a los consumidores se les prometió acceso "en los próximos meses" —una promesa que esa misma página de OpenAI registra como cumplida el 4 de junio de 2026. No se asocia ninguna brecha, víctima ni pérdida de datos: el Orca AI Incident Archive lo registra como un registro de políticas de severidad informativa con calificación de confianza A. La lista de citas del registro y las entradas de gobernanza archivadas justo antes y después de él se conservan en el Orca AI Incident Archive, que también enlaza el anuncio principal de OpenAI.

Qué desactiva el Modo de bloqueo

OpenAI presenta Lockdown Mode como un ajuste para "un pequeño grupo de usuarios muy concienciados con la seguridad —como directivos o equipos de seguridad de organizaciones destacadas— que requieren una mayor protección frente a amenazas avanzadas", y afirma sin rodeos que "no es necesario para la mayoría de los usuarios". Lo que hace es restar capacidad. La lista que aparece a continuación es la de OpenAI, tomada del anuncio y del artículo del centro de ayuda de Lockdown Mode al que enlaza dicho anuncio.

• Navegación web en vivo. La navegación se limita al contenido en caché, por lo que ninguna solicitud de red en vivo sale de la red controlada de OpenAI. Los resultados de búsqueda "pueden ser limitados, no estar disponibles o estar desactualizados".

• Compatibilidad con imágenes.Es posible que ChatGPT no muestre imágenes en las respuestas habituales ni obtenga imágenes de la web. La carga de archivos de imagen sigue funcionando, y la generación de imágenes sigue disponible donde lo estaría de otro modo.

• Deep Research. Desactivado. La actualización de OpenAI del 4 de junio especifica que esto incluye la investigación de compras.

• Modo agente. Deshabilitado.

• Redes de Canvas. Los usuarios no pueden aprobar el código generado por Canvas para que acceda a la red.

• Descargas de archivos.ChatGPT no puede descargar archivos para el análisis de datos. Aun así, puede trabajar con los archivos que el usuario suba a mano.

• Conectores en vivo y acciones de escritura de aplicaciones. En las cuentas personales y Business de autoservicio, el artículo del centro de ayuda indica que el acceso en vivo a servicios externos y las acciones de escritura de aplicaciones están bloqueados cuando entran en conflicto con las protecciones del modo, y que "Finanzas en ChatGPT y las experiencias de agentes de compras" no están disponibles.

Tres cosas que el Modo Bloqueo no toca explícitamente: la memoria, la carga de archivos y si una conversación puede usarse para mejorar los modelos. Tampoco afecta el acceso a la red en Codex, el asistente de programación de OpenAI, un punto que conviene tener presente, porque Codex es uno de los productos que lleva la segunda mitad de este anuncio.

El ataque está diseñado para matar de hambre.

La inyección de prompts es la clase de ataque. Un tercero oculta instrucciones en contenido que el modelo leerá —una página web, un PDF, un documento compartido— y el modelo trata esas instrucciones como legítimas, actúa en consecuencia o revela lo que hay en la conversación. La propia descripción del riesgo de OpenAI es que un adversario «intenta engañar a un sistema de IA conversacional para que siga instrucciones maliciosas o revele información confidencial». En un asistente conectado, la carga útil no necesita ser astuta; necesita una vía de salida. Un enlace manipulado como attacker.example/collect?data= seguido de datos privados es suficiente, porque los datos acaban en los registros del servidor del atacante y nada sospechoso aparece en el chat.

La mayoría de las defensas intentan impedir que el modelo obedezca. Lockdown Mode no lo hace. En su lugar, elimina las vías de salida, y por eso OpenAI sigue usando la palabra «determinista»: la restricción la aplica la infraestructura del producto, no el criterio del modelo, de modo que un payload que gane la discusión sigue sin tener adónde enviar las ganancias. En palabras del propio anuncio, Lockdown Mode «desactiva de forma determinista ciertas herramientas y capacidades de ChatGPT que un adversario podría intentar explotar para exfiltrar datos sensibles».

Lo que OpenAI no afirma

Los límites los declara OpenAI en lugar de extraerse de ella, y importan más que la lista de funciones. El artículo del centro de ayuda dice que Lockdown Mode «no impide que las inyecciones de prompt aparezcan en el contenido que procesa ChatGPT», y pone el ejemplo directamente: una inyección en contenido web en caché o en un archivo subido «aún podría afectar el comportamiento o la precisión de una respuesta». La inyección sigue llegando. Solo la salida está cerrada.

Cuando se le preguntó por las garantías, OpenAI dijo a la prensa especializada lo que no promete. «Lockdown Mode está diseñado para reducir sustancialmente el riesgo de exfiltración de datos basada en inyección de prompts, pero no garantiza que la exfiltración de datos no pueda ocurrir», dijo la empresa, y añadió que «el riesgo puede persistir a través de Apps habilitadas, combinaciones imprevistas de capacidades o técnicas recién descubiertas» (según lo citó The Next Web, 7 de junio de 2026). Las Apps son el hueco evidente: en los espacios de trabajo gestionados, Lockdown Mode «no desactiva automáticamente todas las aplicaciones», y el centro de ayuda advierte a los administradores que las acciones de lectura o escritura para aplicaciones no confiables «no se recomiendan», y que las acciones de escritura deben evitarse incluso para aplicaciones confiables cuyos efectos secundarios no se pueda confirmar que estén ocultos a un actor malicioso.

La etiqueta «Riesgo elevado», y lo que no es

La segunda mitad del anuncio del 13 de febrero es un cambio de etiquetado más que un control. OpenAI estandarizó la redacción en una «lista corta» de capacidades existentes que conllevan un riesgo de red no resuelto, de modo que la misma etiqueta «Riesgo elevado» aparezca en ChatGPT, ChatGPT Atlas y Codex; el argumento de la empresa es que los usuarios deberían recibir la misma orientación allí donde se encuentren con la misma capacidad. El ejemplo práctico es Codex: un desarrollador que concede al asistente de programación acceso a la red para consultar documentación ahora ve la etiqueta en la pantalla de ajustes, junto a la lista de dominios permitidos y los métodos HTTP permitidos, con una explicación de qué cambia y cuándo es apropiado el acceso.

La etiqueta es una advertencia, no un bloqueo. La capacidad sigue ejecutándose una vez que el usuario la acepta. OpenAI también estableció su propia condición de caducidad: «retirará la etiqueta "Elevated Risk" una vez que determinemos que los avances en seguridad han mitigado suficientemente esos riesgos para el uso general», y seguirá cambiando qué funciones la llevan. Es una admisión inusualmente explícita de que la lista es una instantánea de lo que la empresa considera actualmente inseguro por defecto.

De un rol empresarial a un interruptor de Configuración

La versión de febrero era exclusiva para empresas y fue administrada en lugar de elegida por los usuarios. Los administradores de ChatGPT Enterprise, Edu, for Healthcare y for Teachers la habilitaron en Workspace Settings creando un nuevo rol, que superpuso las restricciones adicionales a las que ya aplicaba el espacio de trabajo. Los administradores conservaron un control granular, eligiendo exactamente qué aplicaciones y qué acciones específicas dentro de esas aplicaciones permanecían disponibles — una concesión que OpenAI explicó al señalar que «algunos flujos de trabajo críticos dependen de las aplicaciones». De forma independiente del modo, la Compliance API Logs Platform ofrece a los administradores visibilidad sobre el uso de aplicaciones, los datos compartidos y las fuentes conectadas.

La promesa al consumidor se cumplió el 4 de junio de 2026, cuando OpenAI añadió una nota de actualización en la parte superior de esa misma página del anuncio: el Modo Bloqueo (Lockdown Mode) se estaba implementando «también en las cuentas personales de ChatGPT y en las cuentas autoservicio de ChatGPT Business», disponible en Ajustes, con la lista de restricciones reiterada para incluir el acceso web en vivo, el soporte de imágenes en las respuestas, Deep Research, incluida la investigación de compras, el Modo Agente, la conexión en red de Canvas, los conectores en vivo y las descargas de archivos. PCMag informó de la implementación el 6 de junio de 2026 y The Next Web el 7 de junio de 2026; The Cyber Express, que había cubierto el anuncio de febrero el 18 de febrero, señaló en su seguimiento de junio que la configuración había llegado a las cuentas Free, Go, Plus y Pro. La crónica de The Next Web añade dos detalles operativos que no aparecen en la publicación de OpenAI: el Modo Bloqueo y el Modo Desarrollador no se pueden habilitar al mismo tiempo, y OpenAI lanzó junto a él una función independiente de gestión de sesiones que permite a los usuarios revisar las sesiones activas y cerrar la sesión en dispositivos individuales.

¿Qué está establecido aquí y qué no?

Todo lo anterior sobre cómo se comporta el modo es el propio relato de OpenAI, reiterado por medios que trabajaban a partir de la misma publicación. La cobertura de febrero —eWeek el 17 de febrero de 2026, The Cyber Express el 18 de febrero de 2026 y un grupo de redacciones tecnológicas regionales, incluidas ZDNet Japan y Techlusive— describe la función con precisión, pero no añade ninguna prueba independiente: ninguna de las coberturas consultadas para este artículo informa haber intentado eludir Lockdown Mode, y el propio anuncio no cita ninguna evaluación de seguridad externa. Eso es un límite de lo que el registro puede decirle. La calificación de confianza A del archivo describe qué tan bien documentado está el evento y hasta qué punto coinciden sus fuentes primarias, no qué tan bien funciona el control.

El registro tampoco conlleva un daño real. Se trata de una entrada de política, no de un incidente: no se identifica a ninguna organización como víctima, no se contabiliza ninguna exfiltración y nada de lo aquí expuesto establece que un ataque concreto haya motivado el lanzamiento. OpenAI presenta Lockdown Mode como una incorporación a las protecciones existentes —aislamiento (sandboxing), defensas contra la exfiltración de datos basadas en URL, monitoreo y aplicación de medidas, acceso basado en roles y registros de auditoría—, y no como una respuesta a una brecha revelada.

Hay un debate activo sobre lo que significa la función, y debería etiquetarse como debate. The Cyber Express, en un artículo de análisis de junio, planteó la cuestión de si la existencia de Lockdown Mode concede que ChatGPT, en su configuración predeterminada, «no proporciona una protección robusta contra ataques de exfiltración de datos con la suficiente determinación», y respondió que OpenAI «no parece cuestionar esto» —al interpretar el modo como «un control de última línea de defensa» en lugar de como un control antiinyección. Esa es la interpretación de un columnista, y el propio texto de OpenAI respalda la mitad fáctica de esa interpretación, aunque no realiza tal admisión. El archivo no marca este registro como en disputa y, a tenor de los hechos, no lo está: el desacuerdo es sobre el encuadre, no sobre lo que hace el ajuste.

Lo que un lector puede comprobar sin confiar en nadie es poco, pero real. El ajuste aparece en los controles de seguridad de una cuenta o no aparece, y la lista de restricciones coincide con la descripción de OpenAI o no coincide. Las partes que no se pueden comprobar desde fuera son las que más importan: si las restricciones deterministas se sostienen frente a un adversario que realmente lo está intentando, y si las aplicaciones y acciones que un administrador deja habilitadas reabren la vía que el modo se diseñó para cerrar. La propia advertencia de OpenAI —el riesgo puede persistir a través de aplicaciones habilitadas, combinaciones imprevistas de capacidades o técnicas recién descubiertas— es el resumen honesto de en qué punto se encuentra eso.