ChatGPT Lockdown Mode : le paramètre qu’OpenAI a conçu pour étouffer les injections de prompt

Le 13 février 2026, OpenAI a annoncé Lockdown Mode, un paramètre facultatif de ChatGPT qui limite ce que l’assistant peut envoyer vers le réseau, afin qu’une attaque par injection de prompt n’ait aucun moyen d’exfiltrer des données volées. La navigation se limite au contenu mis en cache, aucune requête en direct ne quitte le réseau contrôlé d’OpenAI, et toute fonctionnalité qui ne peut pas faire l’objet d’une garantie déterministe de sécurité est désactivée plutôt que filtrée. Il a d’abord été déployé pour ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare et ChatGPT for Teachers, activé par les administrateurs d’espace de travail, tandis qu’un accès était promis aux particuliers « dans les mois à venir » — une promesse que la même page d’OpenAI indique avoir été tenue le 4 juin 2026. Aucune violation, aucune victime ni perte de données n’est rattachée à ce cas : l’AI Incident Archive classe ce cas comme un enregistrement de politique de niveau de gravité « information », avec un niveau de confiance A. La liste des citations de l’enregistrement et les entrées de gouvernance déposées de part et d’autre sont conservées dans l’Orca AI Incident Archive, qui renvoie également à l’annonce principale d’OpenAI.

Ce que le mode Isolement désactive

OpenAI présente Lockdown Mode comme un paramètre destiné à « un petit ensemble d’utilisateurs particulièrement soucieux de la sécurité — tels que des dirigeants ou des équipes de sécurité d’organisations de premier plan — qui ont besoin d’une protection renforcée contre les menaces avancées », et déclare clairement qu’il « n’est pas nécessaire pour la plupart des utilisateurs ». Ce qu’il fait, c’est retirer des fonctionnalités. La liste ci-dessous est celle d’OpenAI, issue de l’annonce et de l’article du centre d’aide consacré à Lockdown Mode vers lequel cette annonce renvoie.

• Navigation Web en direct. La navigation est limitée au contenu mis en cache, de sorte qu’aucune requête réseau en direct ne quitte le réseau contrôlé d’OpenAI. Les résultats de recherche « peuvent être limités, indisponibles ou obsolètes ».

• Prise en charge des images.ChatGPT peut ne pas afficher d’images dans les réponses standard ni récupérer d’images sur le web. Le téléversement de fichiers image fonctionne toujours, et la génération d’images reste disponible là où elle le serait autrement.

• Deep Research. Désactivé. La mise à jour d'OpenAI du 4 juin précise que cela inclut la recherche d'achats.

• Agent Mode. Désactivé.

• Mise en réseau Canvas. Les utilisateurs ne peuvent pas approuver le code généré par Canvas pour accéder au réseau.

• Téléchargements de fichiers.ChatGPT ne peut pas télécharger de fichiers pour l’analyse de données. Il peut toujours travailler sur les fichiers que l’utilisateur téléverse manuellement.

• Connecteurs en direct et actions d’écriture des applications. Sur les comptes personnels et Business en libre-service, l’article du centre d’aide indique que l’accès en direct aux services externes et les actions d’écriture des applications sont bloqués lorsqu’ils entrent en conflit avec les protections du mode, et que les « Finances in ChatGPT et expériences d’agents d’achat » ne sont pas disponibles.

Trois choses que Lockdown Mode ne touche explicitement pas : la mémoire, les téléversements de fichiers et la possibilité qu’une conversation soit utilisée pour améliorer les modèles. Il n’affecte pas non plus l’accès réseau dans Codex, l’assistant de programmation d’OpenAI — un point à garder en tête, car Codex est l’un des produits qui porte la seconde moitié de cette annonce.

L'attaque, elle est conçue pour affamer.

L'injection de prompt est la classe d'attaque. Un tiers dissimule des instructions dans le contenu que le modèle va lire — une page web, un PDF, un document partagé — et le modèle traite ces instructions comme légitimes, agissant sur elles ou divulguant ce qui se trouve dans la conversation. La description du risque par OpenAI elle-même est qu'un adversaire « tente de tromper un système d'IA conversationnel pour qu'il suive des instructions malveillantes ou révèle des informations sensibles ». Dans un assistant connecté, la charge utile n'a pas besoin d'être astucieuse ; elle a besoin d'un chemin sortant. Un lien conçu tel que attacker.example/collect?data= suivi de données privées suffit, car les données atterrissent dans les journaux du serveur de l'attaquant et rien de suspect n'apparaît dans le chat.

La plupart des défenses cherchent à empêcher le modèle d’obéir. Lockdown Mode, lui, ne le fait pas. Il supprime plutôt les voies de sortie, ce qui explique pourquoi OpenAI continue d’employer le mot « déterministe » : la restriction est appliquée par les rouages du produit, et non par le jugement du modèle, de sorte qu’une charge utile qui l’emporte dans le débat n’a toujours aucun endroit où envoyer son butin. Selon les termes mêmes de l’annonce, Lockdown Mode « désactive de manière déterministe certains outils et capacités de ChatGPT qu’un adversaire pourrait tenter d’exploiter pour exfiltrer des données sensibles ».

Ce qu’OpenAI ne revendique pas

Les limites sont énoncées par OpenAI plutôt que déduites de l'outil, et elles comptent davantage que la liste des fonctionnalités. L'article du centre d'aide indique que le mode Lockdown « n'empêche pas les injections de prompt d'apparaître dans le contenu que traite ChatGPT », et donne directement l'exemple : une injection dans du contenu web mis en cache ou dans un fichier téléversé « pourrait encore affecter le comportement ou l'exactitude d'une réponse ». L'injection aboutit quand même. Seule la sortie est fermée.

{{1}}Interrogée sur les garanties, OpenAI a déclaré à la presse spécialisée ce qu’elle ne promet pas. « Lockdown Mode est conçu pour réduire sensiblement le risque d’exfiltration de données par injection de prompt, mais il ne garantit pas qu’une exfiltration de données ne puisse pas se produire », a indiqué l’entreprise, ajoutant que « le risque peut subsister via les Apps activées, des combinaisons imprévues de capacités ou des techniques nouvellement découvertes » (cité par The Next Web, 7 juin 2026). Les Apps sont la lacune manifeste : dans les espaces de travail gérés, Lockdown Mode « ne désactive pas automatiquement toutes les applications », et le centre d’aide conseille aux administrateurs que les actions de lecture ou d’écriture sur des applications non fiables sont « non recommandées », et que les actions d’écriture doivent être évitées même pour les applications fiables dont les effets secondaires ne peuvent être confirmés comme dissimulés à un acteur malveillant.{{/1}}

L’étiquette « Risque élevé », et ce qu’elle n’est pas

La seconde moitié de l’annonce du 13 février est un changement d’étiquetage plutôt qu’un contrôle. OpenAI a standardisé la formulation sur une {{1}}« liste restreinte »{{/1}} de capacités existantes qui présentent un risque réseau non résolu, afin que la même étiquette {{2}}« Risque élevé »{{/2}} apparaisse dans ChatGPT, ChatGPT Atlas et Codex — l’argument de l’entreprise étant que les utilisateurs devraient recevoir des indications identiques partout où ils rencontrent la même capacité. L’exemple concret est Codex : un développeur qui accorde à l’assistant de codage un accès réseau pour consulter la documentation voit désormais l’étiquette sur l’écran des paramètres, à côté de la liste d’autorisation des domaines et des méthodes HTTP autorisées, avec une explication de ce qui change et de quand l’accès est approprié.

Le label est un avertissement, pas un verrou. La capacité s'exécute quand même dès que l'utilisateur l'accepte. OpenAI a également fixé sa propre condition d'expiration : elle « supprimera le label "Elevated Risk" une fois que nous aurons déterminé que les avancées en matière de sécurité ont suffisamment atténué ces risques pour un usage général », et continuera de modifier les fonctionnalités qui en sont porteuses. C'est un aveu inhabituellement explicite que la liste est un instantané de ce que l'entreprise considère actuellement comme non sûr par défaut.

D'un rôle d'entreprise à une bascule dans les Paramètres

La version de février était réservée aux entreprises, et elle était administrée plutôt que choisie par l'utilisateur. Les administrateurs de ChatGPT Enterprise, Edu, for Healthcare et for Teachers l'ont activée dans les paramètres de l'espace de travail en créant un nouveau rôle, qui superposait les restrictions supplémentaires à tout ce que l'espace de travail appliquait déjà. Les administrateurs conservaient un contrôle granulaire, choisissant précisément quelles applications et quelles actions spécifiques au sein de ces applications restaient disponibles — une concession qu'OpenAI a justifiée en soulignant que « certains workflows critiques reposent sur des applications ». Indépendamment de ce mode, la plateforme de journaux de l'API Compliance offre aux administrateurs une visibilité sur l'utilisation des applications, les données partagées et les sources connectées.

La promesse faite aux consommateurs a été tenue le 4 juin 2026, lorsque OpenAI a ajouté une note de mise à jour en haut de la même page d’annonce : Lockdown Mode était déployé « aux comptes ChatGPT personnels ainsi qu’aux comptes ChatGPT Business en libre-service », accessible depuis les Paramètres, avec la liste des restrictions reprise pour inclure l’accès au Web en direct, la prise en charge des images dans les réponses, Deep Research, y compris la recherche shopping, Agent Mode, Canvas networking, les connecteurs en direct et le téléchargement de fichiers. PCMag a rapporté le déploiement le 6 juin 2026 et The Next Web le 7 juin 2026 ; The Cyber Express, qui avait couvert l’annonce de février le 18 février, a noté dans son suivi de juin que le paramètre avait atteint les comptes Free, Go, Plus et Pro. L’article de The Next Web ajoute deux détails opérationnels absents du billet d’OpenAI : Lockdown Mode et Developer Mode ne peuvent pas être activés en même temps, et OpenAI a déployé en parallèle une fonctionnalité distincte de gestion des sessions, permettant aux utilisateurs d’examiner les sessions actives et de déconnecter des appareils individuels.

Qu’est-ce qui est établi ici, et qu’est-ce qui ne l’est pas ?

Tout ce qui précède sur le comportement de ce mode relève du propre compte rendu d’OpenAI, repris par des médias qui travaillaient à partir du même article. La couverture de février — eWeek le 17 février 2026, The Cyber Express le 18 février 2026, ainsi qu’un ensemble de rubriques technologiques régionales incluant ZDNet Japan et Techlusive — décrit fidèlement la fonctionnalité, mais n’apporte aucun test indépendant : aucune des couvertures lues pour cet article ne rapporte avoir tenté de contourner Lockdown Mode, et l’annonce elle-même ne cite aucune évaluation de sécurité externe. C’est une limite à ce que les archives peuvent vous apprendre. La note de confiance A des archives décrit dans quelle mesure l’événement est bien documenté et à quel point ses sources primaires concordent, non l’efficacité du contrôle.

Le document ne fait état d'aucun préjudice réel. Il s'agit d'une entrée de politique, non d'un incident : aucune organisation n'est nommée comme victime, aucune exfiltration n'est comptabilisée, et rien ici n'établit qu'une attaque spécifique ait motivé la publication. OpenAI présente le mode Lockdown comme un ajout aux protections existantes — sandboxing, défenses contre l'exfiltration de données via URL, surveillance et application des règles, accès basé sur les rôles et journaux d'audit — plutôt que comme une réponse à une violation divulguée.

Il y a un débat en cours sur ce que signifie cette fonctionnalité, et il conviendrait de l’étiqueter comme un débat. The Cyber Express, dans une analyse publiée en juin, a posé la question de savoir si l’existence de Lockdown Mode revenait à admettre que ChatGPT, dans sa configuration par défaut, « ne fournit pas de protection robuste contre des attaques d’exfiltration de données suffisamment déterminées », et a répondu qu’OpenAI « ne semble pas contester cela » — interprétant ce mode comme « un contrôle de dernière ligne de défense » plutôt qu’un contrôle anti-injection. Il s’agit de l’interprétation d’un chroniqueur, et le texte d’OpenAI lui-même étaye la part factuelle de cette interprétation sans pour autant faire un tel aveu. L’archive ne marque pas cet enregistrement comme contesté, et, sur les faits, il ne l’est pas : le désaccord porte sur le cadrage, pas sur ce que fait le réglage.

Ce qu’un lecteur peut vérifier sans faire confiance à personne est limité, mais bien réel. Le réglage figure ou non dans les contrôles de sécurité d’un compte, et la liste des restrictions correspond ou non à la description d’OpenAI. Les éléments qui ne peuvent pas être vérifiés de l’extérieur sont ceux qui comptent le plus : savoir si les restrictions déterministes tiennent face à un adversaire qui essaie réellement, et si les applications et actions qu’un administrateur laisse activées rouvrent la voie que ce mode a été conçu pour fermer. La mise en garde d’OpenAI elle-même — un risque peut subsister via des applications activées, des combinaisons imprévues de capacités ou des techniques nouvellement découvertes — est le résumé honnête de la situation.