Modalità Lockdown di ChatGPT: l'impostazione creata da OpenAI per affamare il prompt injection

Il 13 febbraio 2026 OpenAI ha annunciato Lockdown Mode, un'impostazione opzionale di ChatGPT che limita ciò che l'assistente può inviare alla rete, così un attacco di prompt injection non ha alcuna via per far uscire dati rubati. La navigazione passa ai contenuti in cache, nessuna richiesta in tempo reale lascia la rete controllata da OpenAI e qualsiasi funzione per cui non sia possibile fornire una garanzia deterministica di sicurezza viene disattivata anziché filtrata. È stato distribuito inizialmente a ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare e ChatGPT for Teachers, attivato dagli amministratori dello spazio di lavoro, con l'accesso promesso ai consumatori "nei prossimi mesi" — una promessa che la stessa pagina di OpenAI registra come mantenuta il 4 giugno 2026. Non è associata alcuna violazione, vittima o perdita di dati: l'AI Incident Archive lo archivia come un record di policy con severità informativa e livello di confidenza A. L'elenco delle citazioni del record e le voci di governance archiviate da entrambi i lati sono conservati nell'Orca AI Incident Archive, che collega anche l'annuncio principale di OpenAI.

Cosa disattiva la Modalità Blocco

OpenAI presenta Lockdown Mode come un'impostazione per "un piccolo gruppo di utenti estremamente attenti alla sicurezza — come dirigenti o team di sicurezza di organizzazioni di primo piano — che necessitano di una protezione maggiore contro minacce avanzate", e afferma chiaramente che "non è necessaria per la maggior parte degli utenti". Ciò che fa è sottrarre capacità. L'elenco seguente è quello di OpenAI, tratto dall'annuncio e dall'articolo del centro assistenza su Lockdown Mode a cui l'annuncio rimanda.

• Navigazione web in tempo reale. La navigazione è limitata ai contenuti in cache, quindi nessuna richiesta di rete in tempo reale lascia la rete controllata di OpenAI. I risultati di ricerca "potrebbero essere limitati, non disponibili o obsoleti".

• Supporto immagini. ChatGPT potrebbe non visualizzare immagini nelle risposte normali o recuperare immagini dal web. Il caricamento dei file immagine funziona ancora, e la generazione di immagini rimane disponibile dove altrimenti lo sarebbe.

• Deep Research. Disattivato. L'aggiornamento del 4 giugno di OpenAI specifica che questo include la ricerca per lo shopping.

• Modalità agente. Disabilitata.

• Networking di Canvas.Gli utenti non possono approvare il codice generato da Canvas per accedere alla rete.

• Download di file. ChatGPT non può scaricare file per l'analisi dei dati. Può comunque lavorare sui file che l'utente carica manualmente.

• Connettori live e azioni di scrittura delle app. Sugli account personali e Business self-serve, l'articolo del centro assistenza afferma che l'accesso live ai servizi esterni e le azioni di scrittura delle app sono bloccati quando entrano in conflitto con le protezioni della modalità, e che "Finanze in ChatGPT e esperienze con agenti per lo shopping" non sono disponibili.

Tre cose che Lockdown Mode non tocca esplicitamente: la memoria, i caricamenti di file e se una conversazione può essere usata per migliorare i modelli. Non influisce inoltre sull'accesso alla rete in Codex, l'assistente di programmazione di OpenAI — un punto da tenere a mente, perché Codex è uno dei prodotti che porta la seconda metà di questo annuncio.

L'attacco che è progettato per affamare

L'iniezione di prompt è la classe di attacco. Una terza parte nasconde istruzioni in contenuti che il modello leggerà — una pagina web, un PDF, un documento condiviso — e il modello considera quelle istruzioni legittime, agendo di conseguenza o rivelando ciò che è nella conversazione. La descrizione stessa del rischio da parte di OpenAI è che un avversario "tenta di indurre in errore un sistema di AI conversazionale inducendolo a seguire istruzioni malevole o a rivelare informazioni sensibili". In un assistente connesso il payload non deve essere astuto; ha bisogno di un percorso in uscita. Un link costruito ad arte come attacker.example/collect?data=seguito da dati privati è sufficiente, perché i dati finiscono nei log del server dell'attaccante e nulla di sospetto appare nella chat.

La maggior parte delle difese cerca di impedire al modello di obbedire. Lockdown Mode no. Elimina invece i percorsi in uscita, ed è per questo che OpenAI continua a usare la parola "deterministico": la restrizione è imposta dall'infrastruttura del prodotto, non dal giudizio del modello, quindi un payload che vince la discussione non ha comunque un posto dove inviare la vincita. Nelle parole stesse dell'annuncio, Lockdown Mode "disabilita in modo deterministico alcune funzioni e capacità di ChatGPT che un avversario potrebbe tentare di sfruttare per esfiltrare dati sensibili".

Ciò che OpenAI non afferma

I limiti sono dichiarati da OpenAI anziché essere dedotti da essa, e contano più dell'elenco delle funzionalità. L'articolo del centro assistenza afferma che Lockdown Mode «non impedisce che le prompt injection compaiano nei contenuti elaborati da ChatGPT», e fornisce direttamente l'esempio: un'iniezione nei contenuti web memorizzati nella cache o in un file caricato «potrebbe comunque influire sul comportamento o sull'accuratezza di una risposta». L'iniezione arriva comunque. Solo l'uscita è chiusa.

Interrogata sulle garanzie, OpenAI ha detto alla stampa specializzata ciò che non promette. "Lockdown Mode è progettata per ridurre sostanzialmente il rischio di esfiltrazione di dati basata su prompt injection, ma non garantisce che l'esfiltrazione di dati non possa avvenire", ha affermato l'azienda, aggiungendo che "il rischio può permanere tramite App abilitate, combinazioni impreviste di capacità o tecniche di recente scoperta" (come citato da The Next Web, 7 giugno 2026). Le App sono la falla evidente: negli spazi di lavoro gestiti, Lockdown Mode "non disabilita automaticamente ogni app", e il centro assistenza avverte gli amministratori che le azioni di lettura o scrittura per app non attendibili "non sono raccomandate", e che le azioni di scrittura dovrebbero essere evitate anche per le app attendibili i cui effetti collaterali non si può confermare che siano nascosti a un attore malintenzionato.

L'etichetta "Rischio elevato", e ciò che non è

La seconda metà dell'annuncio del 13 febbraio è un cambiamento di etichettatura più che un controllo. OpenAI ha standardizzato la formulazione su una "lista ristretta" di capacità esistenti che comportano un rischio di rete irrisolto, così che la stessa etichetta "Elevated Risk" compaia in ChatGPT, ChatGPT Atlas e Codex — l'argomentazione dell'azienda è che gli utenti dovrebbero ricevere indicazioni identiche ovunque si imbattano nella stessa capacità. L'esempio concreto è Codex: uno sviluppatore che concede all'assistente di programmazione l'accesso alla rete per consultare la documentazione ora vede l'etichetta nella schermata delle impostazioni, accanto all'elenco dei domini consentiti e ai metodi HTTP consentiti, con una spiegazione di cosa cambia e di quando l'accesso è appropriato.

L'etichetta è un avvertimento, non un blocco. La funzionalità viene comunque eseguita una volta che l'utente l'accetta. OpenAI ha anche stabilito una propria condizione di scadenza: «rimuoverà l'etichetta "Rischio elevato" una volta che avremo determinato che i progressi della sicurezza hanno mitigato sufficientemente tali rischi per l'uso generale», e continuerà a cambiare quali funzionalità la riportano. Si tratta di un'ammissione insolitamente esplicita del fatto che l'elenco è un'istantanea di ciò che l'azienda considera attualmente non sicuro per impostazione predefinita.

Da un ruolo enterprise a un interruttore in Impostazioni

La versione di febbraio era riservata esclusivamente alle aziende ed era amministrata anziché scelta dagli utenti. Gli amministratori di ChatGPT Enterprise, Edu, for Healthcare e for Teachers l’hanno abilitata in Workspace Settings creando un nuovo ruolo, che aggiungeva ulteriori restrizioni a quelle già applicate dallo spazio di lavoro. Gli amministratori mantenevano un controllo granulare, scegliendo esattamente quali app e quali azioni specifiche al loro interno restassero disponibili — una concessione che OpenAI ha spiegato osservando che «alcuni flussi di lavoro critici si basano sulle app». Indipendentemente dalla modalità, la Compliance API Logs Platform offre agli amministratori visibilità sull’utilizzo delle app, sui dati condivisi e sulle fonti collegate.

La promessa ai consumatori è stata mantenuta il 4 giugno 2026, quando OpenAI ha aggiunto una nota di aggiornamento in cima alla stessa pagina dell'annuncio: Lockdown Mode veniva distribuita «anche agli account personali di ChatGPT e agli account self-serve di ChatGPT Business», disponibile dalle Impostazioni, con l'elenco delle restrizioni ribadito per includere l'accesso web in tempo reale, il supporto delle immagini nelle risposte, Deep Research inclusa la ricerca per lo shopping, Agent Mode, il networking di Canvas, i connettori live e il download dei file. PCMag ha riportato il rollout il 6 giugno 2026 e The Next Web il 7 giugno 2026; The Cyber Express, che aveva coperto l'annuncio di febbraio il 18 febbraio, ha osservato nel suo seguito di giugno che l'impostazione aveva raggiunto gli account Free, Go, Plus e Pro. Il resoconto di The Next Web aggiunge due dettagli operativi non presenti nel post di OpenAI: Lockdown Mode e Developer Mode non possono essere abilitate contemporaneamente, e OpenAI ha distribuito insieme una funzione separata di gestione delle sessioni, che consente agli utenti di rivedere le sessioni attive e disconnettersi da singoli dispositivi.

Cosa è stabilito qui, e cosa non lo è

Tutto quanto sopra sul comportamento della modalità è il resoconto di OpenAI stesso, ripreso da testate che lavoravano dallo stesso post. La copertura di febbraio — eWeek il 17 febbraio 2026, The Cyber Express il 18 febbraio 2026 e un gruppo di redazioni tecnologiche regionali tra cui ZDNet Japan e Techlusive — descrive la funzionalità accuratamente ma non aggiunge alcun test indipendente: nessuna delle testate lette per questo articolo riferisce di aver provato a eludere Lockdown Mode, e l'annuncio stesso non cita alcuna valutazione di sicurezza esterna. Questo è un limite a ciò che il record può dirti. Il grado di confidenza A dell'archivio descrive quanto bene l'evento è documentato e quanto concordano le sue fonti primarie, non quanto bene funziona il controllo.

Il documento non riporta nemmeno danni reali. Si tratta di una voce di policy, non di un incidente: nessuna organizzazione è indicata come vittima, non viene conteggiata alcuna esfiltrazione e nulla qui stabilisce che un attacco specifico abbia spinto al rilascio. OpenAI presenta Lockdown Mode come un'aggiunta alle protezioni esistenti — sandboxing, difese contro l'esfiltrazione di dati basate su URL, monitoraggio e applicazione, accesso basato sui ruoli e log di audit — anziché come una risposta a una violazione divulgata.

C'è una controversia aperta su cosa significhi la funzione, e dovrebbe essere etichettata come controversia. The Cyber Express, in un pezzo di analisi di giugno, ha posto la questione se l'esistenza di Lockdown Mode ammetta che ChatGPT, con le sue impostazioni predefinite, "non fornisca una protezione robusta contro attacchi di esfiltrazione dati sufficientemente determinati", e ha risposto che OpenAI "non sembra contestarlo" — leggendo la modalità come "un controllo di ultima linea di difesa" anziché come controllo anti-iniezione. Questa è l'interpretazione di un opinionista, e il testo stesso di OpenAI ne supporta la metà fattuale senza però fare alcuna ammissione del genere. L'archivio non contrassegna questo record come contestato, e sui fatti non lo è: il disaccordo riguarda l'inquadramento, non ciò che fa l'impostazione.

Ciò che un lettore può verificare senza fidarsi di nessuno è poco, ma reale. L'impostazione compare o non compare nei controlli di sicurezza di un account, e l'elenco delle restrizioni corrisponde o non corrisponde alla descrizione di OpenAI. Le parti che non possono essere verificate dall'esterno sono quelle che contano di più: se le restrizioni deterministiche tengono contro un avversario che ci sta davvero provando, e se le app e le azioni che un amministratore lascia abilitate riaprono il percorso che la modalità era stata creata per chiudere. L'avvertenza di OpenAI stessa — il rischio può permanere attraverso app abilitate, combinazioni impreviste di capacità o tecniche scoperte di recente — è l'onesta sintesi della situazione.