Modo Lockdown do ChatGPT: A configuração que a OpenAI criou para sufocar a injeção de prompt

Em 13 de fevereiro de 2026, a OpenAI anunciou o Lockdown Mode, uma configuração opcional do ChatGPT que restringe o que o assistente pode enviar para a rede, de modo que um ataque de injeção de prompt não tenha rota para levar dados roubados para fora. A navegação passa a usar conteúdo em cache, nenhuma solicitação ao vivo sai da rede controlada da OpenAI, e qualquer recurso que não possa receber uma garantia determinística de segurança é desativado em vez de filtrado. Foi disponibilizado primeiro para ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare e ChatGPT for Teachers, ativado pelos administradores do workspace, com promessa aos consumidores de acesso "nos próximos meses" — uma promessa que a mesma página da OpenAI registra como cumprida em 4 de junho de 2026. Não há violação, vítima ou perda de dados associada: o AI Incident Archive classifica isto como um registro de política de severidade informacional com grau de confiança A. A lista de citações do registro e as entradas de governança arquivadas antes e depois dele estão no Orca AI Incident Archive, que também remete ao anúncio principal da OpenAI.

O que o Modo de Isolamento desativa

A OpenAI apresenta o Lockdown Mode como uma configuração para "um pequeno conjunto de usuários altamente conscientes de segurança — como executivos ou equipes de segurança de organizações proeminentes — que exigem proteção maior contra ameaças avançadas", e afirma claramente que ele "não é necessário para a maioria dos usuários". O que ele faz é subtrair capacidade. A lista abaixo é da própria OpenAI, extraída do anúncio e do artigo da central de ajuda sobre o Lockdown Mode para o qual o anúncio direciona.

• Navegação na web ao vivo. A navegação é limitada a conteúdo em cache, portanto nenhuma solicitação de rede ao vivo sai da rede controlada da OpenAI. Os resultados da pesquisa "podem ser limitados, indisponíveis ou desatualizados."

• Suporte a imagens.O ChatGPT pode não exibir imagens em respostas normais nem recuperar imagens da web. O upload de arquivos de imagem continua funcionando, e a geração de imagens permanece disponível onde normalmente estaria.

• Deep Research. Desativado. A atualização da OpenAI de 4 de junho especifica que isso inclui pesquisa de compras.

• Modo Agente. Desativado.

• Rede do Canvas. Os usuários não podem aprovar que código gerado pelo Canvas acesse a rede.

• Transferências de ficheiros. O ChatGPT não consegue transferir ficheiros para análise de dados. Ainda assim, pode trabalhar com ficheiros que o utilizador carregue manualmente.

• Conectores em tempo real e ações de escrita de apps. Nas contas pessoais e nas contas Business de autoatendimento, o artigo do centro de ajuda indica que o acesso em tempo real a serviços externos e as ações de escrita de apps são bloqueados quando entram em conflito com as proteções do modo, e que "Finanças no ChatGPT e experiências de agente de compras" não estão disponíveis.

Três coisas que o Lockdown Mode explicitamente não aborda: memória, uploads de arquivos e se uma conversa pode ser usada para melhorar modelos. Ele também não afeta o acesso à rede no Codex, o assistente de programação da OpenAI — um ponto que vale a pena manter em mente, porque o Codex é um dos produtos que carrega a segunda metade deste anúncio.

O ataque foi concebido para provocar fome

A injeção de prompt é a classe de ataque. Um terceiro esconde instruções em conteúdo que o modelo lerá — uma página web, um PDF, um documento compartilhado — e o modelo trata essas instruções como legítimas, agindo sobre elas ou divulgando o que está na conversa. A própria descrição do risco pela OpenAI é que um adversário "tenta enganar um sistema de IA conversacional para que siga instruções maliciosas ou revele informações sensíveis". Em um assistente conectado, o payload não precisa ser engenhoso; precisa de um caminho de saída. Um link elaborado, como attacker.example/collect?data= seguido de dados privados, basta, porque os dados chegam aos logs do servidor do atacante e nada suspeito aparece no chat.

A maioria das defesas tenta impedir que o modelo obedeça. O Lockdown Mode não. Em vez disso, ele remove os caminhos de saída, e é por isso que a OpenAI continua usando a palavra "determinístico": a restrição é imposta pela infraestrutura do produto, não pelo julgamento do modelo, de modo que um payload que vence a argumentação ainda não tem para onde enviar os ganhos. Nas próprias palavras do anúncio, o Lockdown Mode "desabilita deterministicamente certas ferramentas e recursos do ChatGPT que um adversário poderia tentar explorar para exfiltrar dados sensíveis."

O que a OpenAI não afirma

Os limites são declarados pela OpenAI, e não extraídos dela, e importam mais do que a lista de recursos. O artigo da central de ajuda diz que o Lockdown Mode "não impede que injeções de prompt apareçam no conteúdo que o ChatGPT processa", e dá o exemplo diretamente: uma injeção em conteúdo da web em cache ou em um arquivo enviado "ainda pode afetar o comportamento ou a precisão de uma resposta." A injeção ainda se concretiza. Apenas a saída está fechada.

Questionada sobre garantias, a OpenAI disse à imprensa do setor o que não promete. "O Lockdown Mode foi concebido para reduzir substancialmente o risco de exfiltração de dados baseada em injeção de prompt, mas não garante que a exfiltração de dados não possa ocorrer", afirmou a empresa, acrescentando que "o risco pode permanecer por meio de Apps ativados, combinações imprevistas de capacidades ou técnicas recém-descobertas" (conforme citado pelo The Next Web, 7 de junho de 2026). Os Apps são a lacuna evidente: em espaços de trabalho gerenciados, o Lockdown Mode "não desativa automaticamente todos os apps", e a central de ajuda aconselha os administradores de que ações de leitura ou escrita para apps não confiáveis "não são recomendadas", e que ações de escrita devem ser evitadas mesmo para apps confiáveis cujos efeitos colaterais não seja possível confirmar que ficam ocultos de um ator malicioso.

O rótulo "Risco Elevado" e o que ele não é

A segunda metade do anúncio de 13 de fevereiro é uma mudança de rotulagem, e não de controle. A OpenAI padronizou a redação de uma "lista curta" de capacidades existentes que carregam risco de rede não resolvido, para que o mesmo rótulo "Elevated Risk" apareça em ChatGPT, ChatGPT Atlas e Codex — o argumento da empresa é que os usuários devem receber orientação idêntica onde quer que encontrem a mesma capacidade. O exemplo prático é o Codex: um desenvolvedor que concede ao assistente de programação acesso à rede para consultar documentação agora vê o rótulo na tela de configurações, ao lado da lista de domínios permitidos e dos métodos HTTP permitidos, com uma explicação do que muda e quando o acesso é apropriado.

O rótulo é um aviso, não uma trava. O recurso continua sendo executado depois que o usuário o aceita. A OpenAI também definiu sua própria condição de expiração: ela "removerá o rótulo 'Elevated Risk' quando determinarmos que os avanços de segurança mitigaram suficientemente esses riscos para uso geral", e continuará mudando quais recursos o carregam. Essa é uma admissão excepcionalmente explícita de que a lista é um retrato do que a empresa atualmente considera inseguro por padrão.

De uma função empresarial para uma opção nas Configurações

A versão de fevereiro era exclusiva para empresas e foi administrada, não escolhida pelo usuário. Os administradores no ChatGPT Enterprise, Edu, for Healthcare e for Teachers a habilitaram nas Configurações do Workspace criando uma nova função, que aplicou as restrições extras por cima de tudo o que o workspace já impunha. Os administradores mantiveram controle granular, escolhendo exatamente quais apps e quais ações específicas dentro desses apps permaneciam disponíveis — uma concessão que a OpenAI explicou observando que "alguns fluxos de trabalho críticos dependem de apps". Separadamente do modo, a Compliance API Logs Platform dá aos administradores visibilidade sobre o uso de apps, dados compartilhados e fontes conectadas.

A promessa ao consumidor foi cumprida em 4 de junho de 2026, quando a OpenAI adicionou uma nota de atualização ao topo da mesma página de anúncio: o Lockdown Mode estava sendo disponibilizado “para contas pessoais do ChatGPT, bem como para contas autoatendimento do ChatGPT Business”, disponível em Configurações, com a lista de restrições reafirmada para incluir acesso à web em tempo real, suporte a imagens nas respostas, Deep Research incluindo pesquisa de compras, Agent Mode, Canvas networking, conectores em tempo real e download de arquivos. A PCMag noticiou a implementação em 6 de junho de 2026, e o The Next Web, em 7 de junho de 2026; o The Cyber Express, que havia noticiado o anúncio de fevereiro em 18 de fevereiro, observou em sua atualização de junho que a configuração havia chegado às contas Free, Go, Plus e Pro. A reportagem do The Next Web acrescenta dois detalhes operacionais que não estão no post da OpenAI: Lockdown Mode e Developer Mode não podem ser ativados ao mesmo tempo, e a OpenAI lançou, junto com ele, um recurso separado de gerenciamento de sessões, permitindo que os usuários revisem sessões ativas e encerrem a sessão em dispositivos individuais.

O que está estabelecido aqui, e o que não está

Tudo o que foi dito acima sobre como o modo se comporta é o relato da própria OpenAI, recontado por veículos que partiam da mesma publicação. A cobertura de fevereiro — eWeek em 17 de fevereiro de 2026, The Cyber Express em 18 de fevereiro de 2026, e um conjunto de redações regionais de tecnologia, incluindo ZDNet Japan e Techlusive — descreve o recurso com precisão, mas não acrescenta nenhum teste independente: nenhuma das matérias lidas para este artigo relata ter tentado burlar o Lockdown Mode, e o próprio anúncio não cita nenhuma avaliação de segurança externa. Isso é um limite do que o registro pode lhe dizer. A nota de confiança A do arquivo descreve quão bem documentado está o evento e até que ponto suas fontes primárias concordam, não quão bem o controle funciona.

O registro também não indica nenhum dano real. Esta é uma entrada de política, não um incidente: nenhuma organização é nomeada como vítima, nenhuma exfiltração é contabilizada e nada aqui estabelece que um ataque específico tenha motivado o lançamento. A OpenAI apresenta o Lockdown Mode como um acréscimo às proteções existentes — sandboxing, defesas contra exfiltração de dados baseadas em URL, monitoramento e aplicação de políticas, acesso baseado em funções e logs de auditoria — e não como uma resposta a uma violação divulgada.

Há uma controvérsia em curso sobre o que o recurso significa, e ela deveria ser rotulada como controvérsia. The Cyber Express, em um artigo de análise de junho, colocou a questão nos termos de se a existência do Lockdown Mode admite que o ChatGPT, com suas configurações padrão, "não oferece proteção robusta contra ataques de exfiltração de dados suficientemente determinados", e respondeu que a OpenAI "não parece contestar isso" — interpretando o modo como "um controle de última linha de defesa", e não como um controle anti-injeção. Essa é uma interpretação de colunista, e o próprio texto da OpenAI sustenta a metade factual dela, sem fazer tal admissão. O arquivo não marca este registro como disputado e, pelos fatos, ele não é: a discordância é sobre enquadramento, não sobre o que a configuração faz.

O que um leitor consegue verificar sem confiar em ninguém é pequeno, mas real. A configuração ou aparece nos controles de segurança de uma conta, ou não aparece, e a lista de restrições ou corresponde à descrição da OpenAI, ou não corresponde. As partes que não podem ser verificadas de fora são as que mais importam: se as restrições determinísticas resistem a um adversário que está realmente tentando, e se os aplicativos e ações que um administrador deixa habilitados reabrem o caminho que o modo foi criado para fechar. A própria ressalva da OpenAI — o risco pode permanecer por meio de aplicativos habilitados, combinações imprevistas de capacidades ou técnicas recém-descobertas — é o resumo honesto da situação.