ChatGPT Lockdown-modus: de instelling die OpenAI bouwde om promptinjectie geen kans te geven

Op 13 februari 2026 kondigde OpenAI Lockdown Mode aan, een optionele ChatGPT-instelling die beperkt wat de assistent naar het netwerk kan versturen, zodat een prompt-injectieaanval geen route heeft om gestolen gegevens naar buiten te brengen. Browsen wordt teruggebracht tot gecachte inhoud, er verlaat geen live verzoek het gecontroleerde netwerk van OpenAI, en elke functie waarvoor geen deterministische veiligheidsgarantie kan worden gegeven, wordt uitgeschakeld in plaats van gefilterd. Het werd eerst uitgebracht voor ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare en ChatGPT for Teachers, ingeschakeld door werkruimtebeheerders, waarbij aan consumenten toegang werd beloofd "in de komende maanden" — een belofte die dezelfde OpenAI-pagina op 4 juni 2026 als nagekomen registreert. Er is geen inbreuk, slachtoffer of gegevensverlies aan verbonden: het AI Incident Archive registreert dit als een beleidsrecord met ernst "informatie" en betrouwbaarheidsgraad A. De citatielijst van het record en de governance-vermeldingen die aan weerszijden ervan zijn opgenomen, worden bijgehouden in de Orca AI Incident Archive, dat ook linkt naar de primaire OpenAI-aankondiging.

Wat Lockdown Mode uitschakelt

OpenAI positioneert Lockdown Mode als een instelling voor "een kleine groep zeer beveiligingsbewuste gebruikers — zoals leidinggevenden of beveiligingsteams bij vooraanstaande organisaties — die extra bescherming tegen geavanceerde dreigingen nodig hebben", en stelt ronduit dat deze "voor de meeste gebruikers niet nodig is." Wat het doet, is mogelijkheden wegnemen. De onderstaande lijst is van OpenAI zelf, overgenomen uit de aankondiging en uit het helpcentrumartikel over Lockdown Mode waarnaar die aankondiging linkt.

• Live browsen op het web. Browsen is beperkt tot gecachte inhoud, zodat er geen live netwerkverzoeken het gecontroleerde netwerk van OpenAI verlaten. Zoekresultaten "kunnen beperkt, niet beschikbaar of verouderd zijn."

• Ondersteuning voor afbeeldingen. ChatGPT kan mogelijk geen afbeeldingen weergeven in gewone antwoorden of afbeeldingen van het web ophalen. Het uploaden van afbeeldingsbestanden werkt nog steeds, en het genereren van afbeeldingen blijft beschikbaar waar dat anders ook het geval zou zijn.

• Deep Research. Uitgeschakeld. OpenAI's update van 4 juni specificeert dat dit ook onderzoek naar winkelen omvat.

• Agentmodus. Uitgeschakeld.

• Canvas-netwerken. Gebruikers kunnen door Canvas gegenereerde code niet goedkeuren om het netwerk te bereiken.

• Bestandsdownloads. ChatGPT kan geen bestanden downloaden voor data-analyse. Het kan wel werken met bestanden die de gebruiker handmatig uploadt.

• Live-connectors en schrijfacties in apps. In het helpcentrumartikel staat dat bij persoonlijke accounts en selfservice-Business-accounts live toegang tot externe diensten en schrijfacties in apps worden geblokkeerd wanneer deze conflicteren met de beschermingen van de modus, en dat "Financiën in ChatGPT en shoppingagent-ervaringen" niet beschikbaar zijn.

Drie dingen waar Lockdown Mode expliciet niets aan verandert: geheugen, bestandsuploads en of een gesprek mag worden gebruikt om modellen te verbeteren. Het heeft ook geen invloed op netwerktoegang in Codex, OpenAI's programmeerassistent — een punt om in gedachten te houden, omdat Codex een van de producten is die de tweede helft van deze aankondiging draagt.

De aanval die bedoeld is om het uit te hongeren

Promptinjectie is de aanvalsklasse. Een derde partij verbergt instructies in inhoud die het model zal lezen — een webpagina, een pdf, een gedeeld document — en het model behandelt die instructies als legitiem, handelt ernaar of onthult wat er in het gesprek staat. OpenAI's eigen beschrijving van het risico is dat een tegenstander "probeert een conversationeel AI-systeem te misleiden om kwaadaardige instructies op te volgen of gevoelige informatie prijs te geven." In een verbonden assistent hoeft de payload niet slim te zijn; hij heeft een uitgaand pad nodig. Een speciaal gemaakte link zoals attacker.example/collect?data= gevolgd door privégegevens is voldoende, want de gegevens belanden in de serverlogs van de aanvaller en er verschijnt niets verdachts in de chat.

De meeste verdedigingsmechanismen proberen te voorkomen dat het model instructies opvolgt. Lockdown Mode doet dat niet. In plaats daarvan verwijdert het de uitgaande paden, en daarom blijft OpenAI het woord "deterministisch" gebruiken: de beperking wordt afgedwongen door de technische infrastructuur van het product, niet door het beoordelingsvermogen van het model, dus een payload die het pleit wint, heeft nog steeds nergens om de buit naartoe te sturen. In de woorden van de aankondiging zelf schakelt Lockdown Mode "deterministisch bepaalde tools en mogelijkheden in ChatGPT uit die een tegenstander zou kunnen proberen te misbruiken om gevoelige gegevens te exfiltreren."

Wat OpenAI niet beweert

De limieten worden door OpenAI genoemd in plaats van eruit afgeleid, en ze wegen zwaarder dan de functielijst. Het helpcentrumartikel stelt dat Lockdown Mode "niet voorkomt dat prompt-injecties verschijnen in de inhoud die ChatGPT verwerkt", en geeft direct het voorbeeld: een injectie in gecachte webinhoud of in een geüpload bestand "kan nog steeds het gedrag of de nauwkeurigheid van een antwoord beïnvloeden." De injectie komt er alsnog doorheen. Alleen de uitweg is gesloten.

Gevraagd naar garanties vertelde OpenAI de vakpers wat het niet belooft. "Lockdown Mode is ontworpen om het risico op gegevensdiefstal via promptinjectie aanzienlijk te verkleinen, maar garandeert niet dat gegevensdiefstal niet kan plaatsvinden," zei het bedrijf, en voegde eraan toe dat "het risico kan blijven bestaan via ingeschakelde Apps, onvoorziene combinaties van mogelijkheden of nieuw ontdekte technieken" (zoals geciteerd door The Next Web, 7 juni 2026). Apps zijn het opvallende gat: in beheerde werkruimten "schakelt Lockdown Mode niet automatisch elke app uit", en het helpcentrum adviseert beheerders dat lees- of schrijfacties voor niet-vertrouwde apps "niet worden aanbevolen", en dat schrijfacties moeten worden vermeden, zelfs voor vertrouwde apps waarvan niet kan worden bevestigd dat hun neveneffecten verborgen blijven voor een kwaadwillende actor.

Het label "Verhoogd risico", en wat het niet is

De tweede helft van de aankondiging van 13 februari is een etiketteringswijziging, geen beheersmaatregel. OpenAI standaardiseerde de formulering op een "korte lijst" van bestaande mogelijkheden die een onopgelost netwerkrisico met zich meebrengen, zodat hetzelfde label "Elevated Risk" verschijnt in ChatGPT, ChatGPT Atlas en Codex — het argument van het bedrijf is dat gebruikers identieke richtlijnen moeten krijgen waar ze dezelfde mogelijkheid ook tegenkomen. Het uitgewerkte voorbeeld is Codex: een ontwikkelaar die de codeerassistent netwerktoegang geeft om documentatie op te zoeken, ziet nu het label op het instellingenscherm, naast de domein-allowlist en de toegestane HTTP-methoden, met een uitleg over wat er verandert en wanneer de toegang passend is.

Het label is een waarschuwing, geen slot. De functionaliteit werkt nog steeds zodra de gebruiker deze accepteert. OpenAI heeft ook een eigen vervalconditie ingesteld: het "zal het label 'Elevated Risk' verwijderen zodra wij vaststellen dat vooruitgang op het gebied van beveiliging die risico's voldoende heeft beperkt voor algemeen gebruik", en zal blijven veranderen welke functies het label dragen. Dat is een ongebruikelijk expliciete erkenning dat de lijst een momentopname is van wat het bedrijf momenteel standaard als onveilig beschouwt.

Van een enterpriserol naar een schakelaar in Instellingen

De release van februari was uitsluitend voor enterprise en werd beheerd in plaats van door gebruikers gekozen. Beheerders op ChatGPT Enterprise, Edu, for Healthcare en for Teachers schakelden deze in via Workspace Settings door een nieuwe rol te maken, die de extra beperkingen bovenop alles legde wat de workspace al afdwong. Beheerders behielden fijnmazige controle en kozen precies welke apps en welke specifieke acties binnen die apps beschikbaar bleven — een concessie die OpenAI verklaarde door op te merken dat "sommige kritieke workflows afhankelijk zijn van apps." Los van de modus biedt het Compliance API Logs Platform beheerders inzicht in appgebruik, gedeelde gegevens en verbonden bronnen.

De belofte aan consumenten werd nagekomen op 4 juni 2026, toen OpenAI bovenaan dezelfde aankondigingspagina een updatenota toevoegde: Lockdown Mode werd uitgerold "naar persoonlijke ChatGPT-accounts en selfservice-accounts van ChatGPT Business", beschikbaar via Instellingen, waarbij de lijst met beperkingen opnieuw werd vermeld: live toegang tot het web, ondersteuning voor afbeeldingen in antwoorden, Deep Research inclusief shoppingonderzoek, Agent Mode, Canvas-netwerken, live connectors en het downloaden van bestanden. PCMag meldde de uitrol op 6 juni 2026 en The Next Web op 7 juni 2026; The Cyber Express, dat op 18 februari verslag had gedaan van de aankondiging in februari, merkte in de follow-up van juni op dat de instelling beschikbaar was gekomen voor Free-, Go-, Plus- en Pro-accounts. De verslaggeving van The Next Web voegt twee operationele details toe die niet in OpenAI's bericht staan: Lockdown Mode en Developer Mode kunnen niet tegelijkertijd worden ingeschakeld, en OpenAI bracht tegelijkertijd een afzonderlijke functie voor sessiebeheer uit, waarmee gebruikers actieve sessies kunnen bekijken en zich op afzonderlijke apparaten kunnen afmelden.

Wat hier vaststaat, en wat niet

Alles hierboven over hoe de modus zich gedraagt, is OpenAI's eigen weergave, herhaald door outlets die vanuit dezelfde post werkten. De berichtgeving uit februari — eWeek op 17 februari 2026, The Cyber Express op 18 februari 2026, en een cluster regionale technologieredacties, waaronder ZDNet Japan en Techlusive — beschrijft de functie nauwkeurig, maar voegt geen onafhankelijke tests toe: geen van de voor dit stuk gelezen berichten meldt dat is geprobeerd Lockdown Mode te omzeilen, en de aankondiging zelf citeert geen enkele externe beveiligingsevaluatie. Dat is een beperking van wat het dossier je kan vertellen. De betrouwbaarheidsgraad A van het archief beschrijft hoe goed de gebeurtenis is gedocumenteerd en in hoeverre de primaire bronnen overeenstemmen, niet hoe goed de beveiligingsmaatregel werkt.

Het verslag wijst ook op geen echte schade. Dit is een beleidsvermelding, geen incident: er wordt geen organisatie als slachtoffer genoemd, er wordt geen exfiltratie geteld, en niets hier toont aan dat een specifieke aanval de aanleiding vormde voor de release. OpenAI presenteert Lockdown Mode als een aanvulling op bestaande beschermingen — sandboxing, op URL's gebaseerde verdedigingen tegen data-exfiltratie, monitoring en handhaving, rolgebaseerde toegang en auditlogs — en niet als een reactie op een gemeld datalek.

Er is een actuele discussie gaande over wat de functie betekent, en die zou als argument moeten worden bestempeld. The Cyber Express stelde in een analyse uit juni de vraag of het bestaan van Lockdown Mode toegeeft dat ChatGPT in de standaardinstellingen "geen robuuste bescherming biedt tegen voldoende vastberaden data-exfiltratieaanvallen", en antwoordde dat OpenAI "dit niet lijken te betwisten" — door de modus te interpreteren als "een laatste verdedigingslinie" in plaats van een anti-injectiemaatregel. Dat is de interpretatie van een columnist, en de eigen tekst van OpenAI ondersteunt het feitelijke deel ervan, terwijl het niets dergelijks toegeeft. Het archief markeert deze vermelding niet als betwist, en feitelijk is dat ook niet zo: het meningsverschil gaat over de framing, niet over wat de instelling doet.

Wat een lezer kan controleren zonder iemand te vertrouwen, is klein maar reëel. De instelling staat wel of niet in de beveiligingsinstellingen van een account, en de lijst met beperkingen komt wel of niet overeen met de beschrijving van OpenAI. De onderdelen die van buitenaf niet te controleren zijn, zijn juist de belangrijkste: of de deterministische beperkingen standhouden tegen een tegenstander die het daadwerkelijk probeert, en of de apps en acties die een beheerder ingeschakeld laat, het pad heropenen dat de modus juist moest afsluiten. Het eigen voorbehoud van OpenAI — dat er risico kan blijven bestaan via ingeschakelde apps, onvoorziene combinaties van mogelijkheden of nieuw ontdekte technieken — is de eerlijke samenvatting van de stand van zaken.