ChatGPTロックダウンモード：OpenAIがプロンプトインジェクションを封じるために構築した設定

2026年2月13日、OpenAIはLockdown Modeを発表した。これはChatGPTの任意設定で、アシスタントがネットワークへ送信できる内容を制限し、プロンプトインジェクション攻撃が盗んだデータを持ち出す経路をなくす。ブラウジングはキャッシュ済みコンテンツに限定され、ライブリクエストがOpenAIの管理ネットワーク外へ出ることはなく、安全性について決定論的な保証を与えられない機能はフィルタリングされるのではなく無効化される。これは最初にChatGPT Enterprise、ChatGPT Edu、ChatGPT for Healthcare、ChatGPT for Teachersへ提供され、ワークスペース管理者が有効化する。一般消費者には「今後数か月以内」のアクセス提供が約束され、同じOpenAIのページには、その約束が2026年6月4日に守られたと記録されている。侵害、被害者、データ損失は紐づけられていない。AI Incident Archiveはこれを信頼度グレードAの情報深刻度ポリシー記録として分類している。この記録の引用リストと、その前後に登録されたガバナンス項目はOrca AI Incident Archiveに保持されており、同アーカイブはOpenAIの主要な発表にもリンクしている

ロックダウンモードがオフにするもの

OpenAIはLockdown Modeを、「著名な組織の役員やセキュリティチームなど、高度な脅威に対する保護の強化を必要とする、ごく一部のセキュリティ意識の高いユーザー」向けの設定と位置づけ、また「ほとんどのユーザーには必要ない」と明言している。それが行うのは機能を削ぎ落とすことだ。以下のリストはOpenAI自身によるもので、発表およびその発表がリンクするLockdown Modeのヘルプセンター記事から取ったものだ。

• ライブ Web ブラウジング。ブラウジングはキャッシュ済みコンテンツに限定されるため、ライブのネットワーク リクエストが OpenAI の管理下にあるネットワーク外へ送信されることはありません。検索結果は「制限されている、利用できない、または古い可能性があります」。

• 画像サポート。 ChatGPT は通常の応答で画像を表示したり、ウェブから画像を取得したりできない場合があります。画像ファイルのアップロードは引き続き機能し、画像生成も本来利用可能な場合は引き続き利用できます。

• Deep Research。 無効。OpenAIの6月4日のアップデートでは、これにショッピングリサーチが含まれると明記されています。

• エージェントモード。無効。

• Canvas ネットワーキング。ユーザーは、Canvas が生成したコードによるネットワークへのアクセスを承認できません。

• ファイルのダウンロード。 ChatGPTはデータ分析のためにファイルをダウンロードすることはできません。ユーザーが手動でアップロードしたファイルであれば処理できます。

• ライブコネクターとアプリの書き込みアクション。 個人用アカウントおよびセルフサービスのBusinessアカウントでは、ヘルプセンターの記事によると、外部サービスへのライブアクセスとアプリの書き込みアクションは、そのモードの保護機能と競合する場合にはブロックされ、「ChatGPTのFinancesおよびショッピングエージェント体験」は利用できないとされています。

Lockdown Mode が明示的に対象としない3つの点は、メモリ、ファイルのアップロード、そして会話をモデルの改善に利用してよいかどうかです。また、OpenAI のコーディングアシスタントである Codex におけるネットワークアクセスにも影響しません。これは覚えておく価値のある点です。なぜなら Codex は、この発表の後半部分を担う製品の一つだからです。

その攻撃は、飢えさせるために設計されている。

プロンプトインジェクションは攻撃クラスです。第三者が、モデルが読むコンテンツ——Webページ、PDF、共有ドキュメント——の中に指示を隠し、モデルはその指示を正当なものとして扱い、それに従って行動したり、会話の中身を開示したりします。OpenAI自身によるリスクの説明では、敵対者が「会話型AIシステムを誤導し、悪意のある指示に従わせたり、機密情報を明らかにさせたりしようと試みる」とされています。接続されたアシスタントでは、ペイロードは巧妙である必要はありません。必要なのは外向きの経路です。細工されたリンク、例えばattacker.example/collect?data=の後に非公開データが続くだけで十分です。データは攻撃者のサーバーログに残り、チャットには不審なものは何も現れないからです。

ほとんどの防御策は、モデルが指示に従うのを阻止しようとします。Lockdown Modeはそうではありません。代わりに外向きの経路を取り除くのです。だからこそOpenAIは「deterministic」という言葉を使い続けています。制限はモデルの判断ではなく製品の内部機構によって強制されるため、議論に勝ったペイロードであっても、勝ち取ったものを送る先が依然としてないのです。発表の言葉を借りれば、Lockdown Modeは「攻撃者が機密データの持ち出しに悪用しようとする可能性のあるChatGPTの特定のツールと機能を決定論的に無効化する」ものです。

OpenAIが主張していないこと

制限はOpenAIから抽出されたものではなくOpenAIによって明言されているものであり、機能一覧よりも重要だ。ヘルプセンターの記事は、Lockdown Modeが「ChatGPTが処理するコンテンツにプロンプトインジェクションが現れることを防ぐものではない」と述べており、その例を直接挙げている。キャッシュされたウェブコンテンツ内やアップロードされたファイル内のインジェクションは「依然として応答の動作や正確性に影響を与える可能性がある」。インジェクションは依然として入り込む。閉じられているのは出口だけだ。

保証について問われると、OpenAIは何を約束しないのかを業界専門メディアに語った。「Lockdown Modeは、プロンプトインジェクションに基づくデータ流出のリスクを大幅に低減するよう設計されていますが、データ流出が起こり得ないことを保証するものではありません」と同社は述べ、「有効化されたアプリ、予期しない機能の組み合わせ、新たに発見された手法を通じてリスクが残る可能性があります」と付け加えた（2026年6月7日付のThe Next Webの引用による）。アプリは目立つ穴だ。管理されたワークスペースでは、Lockdown Modeは「すべてのアプリを自動的に無効化するわけではない」とし、ヘルプセンターは管理者に対し、信頼できないアプリの読み取りまたは書き込み操作は「推奨されない」と助言し、悪意ある行為者から隠れていることを確認できない副作用を持つ信頼済みアプリであっても書き込み操作は避けるべきだとしている。

「Elevated Risk」ラベルと、それがそうでないもの

2月13日の発表の後半部分は、制御ではなくラベルの変更です。OpenAIは、未解決のネットワークリスクを伴う既存機能の「短いリスト」について文言を標準化し、同じ「Elevated Risk」ラベルがChatGPT、ChatGPT Atlas、Codexで表示されるようにしました。同社の主張は、ユーザーが同じ機能に遭遇するどこでも同一のガイダンスを受けるべきだというものです。具体例はCodexです。コーディングアシスタントにドキュメントを調べるためのネットワークアクセスを許可する開発者は、設定画面で、ドメインの許可リストや許可されたHTTPメソッドの隣にこのラベルを目にするようになり、何が変わるのか、いつそのアクセスが適切なのかについての説明も表示されます。

ラベルは警告であり、ロックではない。ユーザーが受け入れれば、その機能は引き続き実行される。OpenAIは独自の有効期限条件も設けている。すなわち「セキュリティの進歩がこれらのリスクを一般利用に対して十分に軽減したと当社が判断した時点で、『Elevated Risk』ラベルを削除する」としており、どの機能にこのラベルを付けるかも変え続けるという。これは、このリストが同社の現時点でデフォルトでは安全でないと考えるもののスナップショットであることを、異例なほど明示的に認めたものだ。

エンタープライズのロールから設定のトグルへ

2月のリリースはエンタープライズ限定で、ユーザーが選択するものではなく管理者が設定するものだった。ChatGPT Enterprise、Edu、for Healthcare、for Teachersの管理者は、Workspace Settingsで新しいロールを作成してこれを有効化し、そのロールによって、ワークスペースですでに適用されていた制限の上に追加の制限が重ねられた。管理者は詳細な制御を維持し、どのアプリと、それらのアプリ内のどの具体的な操作を引き続き利用可能にするかを正確に選択できた。これは、OpenAIが「一部の重要なワークフローはアプリに依存している」と述べて説明した譲歩だった。このモードとは別に、Compliance API Logs Platformにより、管理者はアプリの利用状況、共有データ、接続済みのソースを可視化できる。

消費者への約束は2026年6月4日、OpenAIが同じ発表ページの上部に更新ノートを追加したことで果たされた。Lockdown Modeが「個人向けChatGPTアカウントおよびセルフサービス型のChatGPT Businessアカウント」に展開され、設定から利用可能になり、制限リストはライブWebアクセス、応答における画像サポート、ショッピング調査を含むDeep Research、Agent Mode、Canvasネットワーキング、ライブコネクタ、ファイルのダウンロードを含む形で再掲された。PCMagは2026年6月6日に、The Next Webは6月7日にこの展開を報じた。2月18日に2月の発表を扱っていたThe Cyber Expressは、6月の続報で、この設定がFree、Go、Plus、Proアカウントにまで到達したと指摘した。The Next Webの記事は、OpenAIの投稿にはない運用上の詳細を2つ追加している。Lockdown ModeとDeveloper Modeは同時に有効化できず、OpenAIはそれと並行して別個のセッション管理機能を提供し、ユーザーがアクティブなセッションを確認し、個々のデバイスからサインアウトできるようにした。

ここで何が確定していて、何がそうでないのか

このモードの挙動に関する上記の内容はすべて、同じ投稿を基にした媒体によって報じ直されたOpenAI自身の説明です。2月の報道——2026年2月17日のeWeek、2026年2月18日のThe Cyber Express、そしてZDNet JapanやTechlusiveを含む地域テクノロジー媒体群——は、この機能を正確に描写していますが、独自のテストは何も加えていません。本稿のために読んだ報道のうち、Lockdown Modeを破ろうとしたと報じているものはなく、発表自体も外部のセキュリティ評価を引用していません。これは、記録から何が分かるかについての限界です。アーカイブの信頼度Aは、この出来事がどれだけよく文書化されているか、および一次資料がどれだけ一致しているかを示すものであり、その制御がどれだけ機能するかを示すものではありません。

この記録にも実害はない。これはポリシー項目であり、インシデントではない。被害者として名指しされた組織はなく、漏えいも計上されておらず、特定の攻撃が公開のきっかけになったことを裏付けるものもここには何もない。OpenAIはLockdown Modeを、開示された侵害への対応としてではなく、既存の保護策——サンドボックス化、URLベースのデータ漏えい対策、監視と執行、ロールベースのアクセス制御と監査ログ——への追加として提示している。

この機能が何を意味するかについては現在も議論が続いており、それは「議論」として分類すべきだ。The Cyber Express は6月の分析記事で、Lockdown Mode の存在が、デフォルト設定の ChatGPT が「十分に決意したデータ流出攻撃に対して堅牢な保護を提供しない」ことを認めるものなのかという問いを立て、OpenAI は「これに異議を唱えていないようだ」と答えている。同記事はこのモードを、インジェクション対策ではなく「最後の防衛線となる制御」と解釈している。それはコラムニストの解釈であり、OpenAI 自身の文章はその事実面を裏付けているものの、そのような認容はしていない。アーカイブはこの記録を係争中とは印付けしておらず、事実に照らしてもそうではない。相違は枠組みについてであり、この設定が何をするかについてではない。

読者が誰も信頼せずに確認できる範囲は小さいが、現実のものだ。その設定はアカウントのセキュリティ管理機能に表示されるか、されないかのどちらかであり、制限リストがOpenAIの説明と一致するか、しないかのどちらかだ。外部から確認できない部分こそが最も重要だ。決定論的な制限が、実際に試みる攻撃者に対して持ちこたえるかどうか、そして、管理者が有効のままにしているアプリやアクションが、そのモードが閉じるために作られた経路を再び開いてしまうかどうかである。OpenAI自身の注意書き——有効になっているアプリ、予期しない機能の組み合わせ、あるいは新たに発見された手法を通じてリスクが残る可能性がある——は、その現状を正直に要約したものだ。