ChatGPT Lockdown Mode: настройка, которую OpenAI создала, чтобы задушить prompt injection

13 февраля 2026 года OpenAI объявила о Lockdown Mode — необязательной настройке ChatGPT, которая ограничивает то, что ассистент может отправлять в сеть, так что у атаки с внедрением промпта не остаётся маршрута для выноса похищенных данных. Просмотр сводится к кэшированному содержимому, ни один «живой» запрос не покидает контролируемую сеть OpenAI, а любая функция, для которой нельзя дать детерминированную гарантию безопасности, отключается, а не фильтруется. Сначала она появилась в ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare и ChatGPT for Teachers и включается администраторами рабочего пространства, а обычным пользователям доступ обещали «в ближайшие месяцы» — обещание, которое, согласно той же странице OpenAI, было выполнено 4 июня 2026 года. Ни утечки, ни пострадавших, ни потери данных за этим не значится: AI Incident Archive вносит это как запись политики информационного уровня серьёзности с оценкой достоверности A. Список цитирований в записи и записи о управлении, поданные по обе стороны от неё, содержатся в Orca AI Incident Archive, где также приведена ссылка на первоначальное объявление OpenAI.

Что отключает Lockdown Mode

OpenAI описывает Lockdown Mode как настройку для «небольшой группы пользователей, крайне внимательно относящихся к безопасности, — например, руководителей или команд безопасности в известных организациях, — которым требуется усиленная защита от продвинутых угроз» и прямо заявляет, что она «не нужна большинству пользователей». По сути, она лишь урезает возможности. Приведённый ниже список составлен самой OpenAI на основе объявления и статьи в справочном центре о Lockdown Mode, на которую ссылается это объявление.

• Просмотр веб-страниц в режиме реального времени. Просмотр ограничен только кэшированным содержимым, поэтому живые сетевые запросы не покидают контролируемую сеть OpenAI. Результаты поиска «могут быть ограниченными, недоступными или устаревшими».

• Поддержка изображений. ChatGPT может не отображать изображения в обычных ответах и не получать изображения из интернета. Загрузка файлов изображений по-прежнему работает, а генерация изображений остаётся доступной там, где она иначе была бы доступна.

• Deep Research. Отключено. В обновлении OpenAI от 4 июня уточняется, что сюда входят и исследования покупок.

• Agent Mode. Отключено.

• Сетевое взаимодействие Canvas. Пользователи не могут одобрить код, сгенерированный Canvas, для доступа к сети.

• Скачивание файлов. ChatGPT не может скачивать файлы для анализа данных. Он по-прежнему может работать с файлами, которые пользователь загружает вручную.

• Активные коннекторы и операции записи в приложениях. В статье справочного центра говорится, что в личных аккаунтах и аккаунтах Business с самообслуживанием доступ к внешним сервисам в реальном времени и операции записи в приложениях блокируются, если они противоречат защитным механизмам режима, а также что «Finances in ChatGPT и возможности shopping-агента» недоступны.

Три вещи, которых Lockdown Mode явно не затрагивает: память, загрузка файлов и то, может ли беседа использоваться для улучшения моделей. Он также не влияет на сетевой доступ в Codex — помощнике OpenAI по программированию, — и это стоит запомнить, потому что Codex — один из продуктов, на которые приходится вторая половина этого анонса.

Атака — она предназначена для того, чтобы морить голодом.

Prompt injection — это класс атак. Третья сторона прячет инструкции в контенте, который прочитает модель, — на веб-странице, в PDF, в общем документе, — и модель воспринимает эти инструкции как законные, выполняя их или раскрывая содержимое беседы. Сам OpenAI описывает этот риск так: злоумышленник «пытается ввести разговорную ИИ-систему в заблуждение, чтобы та выполнила вредоносные инструкции или раскрыла конфиденциальную информацию». В подключённом ассистенте полезной нагрузке не нужно быть изощрённой; ей нужен исходящий путь. Достаточно специально составленной ссылки, например attacker.example/collect?data=, за которой следуют приватные данные, потому что данные попадают в журналы сервера злоумышленника, а в чате не появляется ничего подозрительного.

Большинство защит пытаются помешать модели подчиниться. Lockdown Mode — нет. Вместо этого он убирает исходящие пути — поэтому OpenAI продолжает использовать слово «детерминированный»: ограничение обеспечивается внутренними механизмами продукта, а не суждением модели, так что полезная нагрузка, которая выиграет спор, всё равно не найдёт, куда отправить выигрыш. По словам самого анонса, Lockdown Mode «детерминированно отключает определённые инструменты и возможности ChatGPT, которые злоумышленник мог бы попытаться использовать для эксфильтрации конфиденциальных данных».

На что OpenAI не претендует

Ограничения указаны самой OpenAI, а не извлечены из неё, и они важнее, чем список функций. В статье справочного центра говорится, что Lockdown Mode «не предотвращает появление промпт-инъекций в контенте, который обрабатывает ChatGPT», и прямо приводит пример: инъекция в кэшированном веб-контенте или в загруженном файле «всё ещё может повлиять на поведение или точность ответа». Инъекция всё равно проходит. Закрыт лишь выход.

Отвечая на вопросы о гарантиях, OpenAI рассказала отраслевой прессе, чего она не обещает. «Lockdown Mode разработан, чтобы существенно снизить риск утечки данных в результате prompt injection, но он не гарантирует, что утечка данных не может произойти», — заявила компания, добавив, что «риск может сохраняться через включённые приложения (Apps), непредвиденные комбинации возможностей или недавно обнаруженные техники» (цитата по The Next Web, 7 июня 2026 г.). Приложения — это очевидная брешь: в управляемых рабочих пространствах Lockdown Mode «не отключает автоматически каждое приложение», а справочный центр предупреждает администраторов, что действия чтения или записи для недоверенных приложений «не рекомендуются» и что действий записи следует избегать даже для доверенных приложений, побочные эффекты которых нельзя подтверждённо скрыть от злоумышленника.

Метка «Повышенный риск» и чем она не является

Вторая половина объявления от 13 февраля — это изменение маркировки, а не механизм контроля. OpenAI стандартизировала формулировку для «короткого списка» существующих возможностей, сопряжённых с нерешённым сетевым риском, чтобы одна и та же метка «Elevated Risk» отображалась в ChatGPT, ChatGPT Atlas и Codex: компания аргументирует это тем, что пользователи должны получать одинаковые рекомендации везде, где сталкиваются с одной и той же возможностью. Показательный пример — Codex: разработчик, предоставляющий ассистенту по программированию сетевой доступ для поиска документации, теперь видит эту метку на экране настроек рядом со списком разрешённых доменов и разрешёнными методами HTTP, а также пояснение о том, что меняется и когда такой доступ уместен.

Ярлык — это предупреждение, а не блокировка. Возможность всё равно срабатывает, как только пользователь её принимает. OpenAI также установила собственное условие истечения срока: она «удалит ярлык "Elevated Risk", когда определит, что достижения в области безопасности в достаточной мере снизили эти риски для общего использования», и будет продолжать менять, какие функции его несут. Это необычайно откровенное признание того, что список — это снимок того, что компания в настоящее время считает небезопасным по умолчанию.

От корпоративной роли до переключателя в настройках

Февральский релиз был доступен только для организаций, и его назначали администраторы, а не выбирали пользователи. Администраторы в ChatGPT Enterprise, Edu, for Healthcare и for Teachers включали его в Workspace Settings, создавая новую роль, которая добавляла дополнительные ограничения поверх всего, что уже применялось в рабочем пространстве. Администраторы сохраняли детальный контроль, выбирая, какие именно приложения и какие конкретные действия внутри этих приложений останутся доступными, — уступка, которую OpenAI объяснила, отметив, что «некоторые критически важные рабочие процессы зависят от приложений». Отдельно от режима Compliance API Logs Platform позволяет администраторам видеть использование приложений, общие данные и подключённые источники.

Обещание потребителям было сдержано 4 июня 2026 года, когда OpenAI добавила примечание об обновлении в верхнюю часть той же страницы анонса: Lockdown Mode внедрялся «на личные аккаунты ChatGPT, а также на самостоятельные аккаунты ChatGPT Business», был доступен из Settings, а список ограничений был повторён и включал доступ к вебу в реальном времени, поддержку изображений в ответах, Deep Research, включая исследование покупок, Agent Mode, сетевые функции Canvas, live-коннекторы и скачивание файлов. PCMag сообщил о развёртывании 6 июня 2026 года, а The Next Web — 7 июня 2026 года; The Cyber Express, освещавший февральский анонс 18 февраля, в июньском продолжении отметил, что эта настройка дошла до аккаунтов Free, Go, Plus и Pro. В материале The Next Web добавлены две операционные детали, которых нет в публикации OpenAI: Lockdown Mode и Developer Mode нельзя включить одновременно, и OpenAI выпустила вместе с ним отдельную функцию управления сеансами, позволяющую пользователям просматривать активные сеансы и завершать сеансы на отдельных устройствах.

Что здесь установлено, а что — нет

Всё вышесказанное о том, как ведёт себя этот режим, — это собственное описание OpenAI, пересказанное изданиями, работавшими с тем же постом. Февральские публикации — eWeek от 17 февраля 2026 года, The Cyber Express от 18 февраля 2026 года и ряд региональных технологических редакций, включая ZDNet Japan и Techlusive, — точно описывают эту функцию, но не добавляют независимого тестирования: ни в одной из публикаций, прочитанных для этого материала, не сообщается о попытках обойти Lockdown Mode, а в самом анонсе не приводится никакой внешней оценки безопасности. Это ограничивает то, что может сообщить нам архив. Оценка уверенности A в архиве описывает, насколько хорошо задокументировано событие и насколько согласуются его первичные источники, а не то, насколько хорошо работает эта мера защиты.

Кроме того, запись не свидетельствует о реальном ущербе. Это запись о политике, а не об инциденте: ни одна организация не указана как жертва, не зафиксировано ни одной эксфильтрации, и ничто здесь не подтверждает, что выпуск был вызван конкретной атакой. OpenAI позиционирует {{1}}Lockdown Mode{{/1}} как дополнение к существующим средствам защиты — изоляции в песочнице, защите от эксфильтрации данных через URL, мониторингу и обеспечению соблюдения, доступу на основе ролей и журналам аудита — а не как ответ на раскрытую утечку.

Идёт активный спор о том, что означает эта функция, и его следует помечать как спор. The Cyber Express в аналитическом материале за июнь поставило вопрос: означает ли существование Lockdown Mode, что ChatGPT с настройками по умолчанию «не обеспечивает надёжной защиты от достаточно целеустремлённых атак по эксфильтрации данных», — и ответило, что OpenAI, судя по всему, «не оспаривает это», трактуя этот режим как «средство последней линии защиты», а не как антиинъекционный контроль. Это интерпретация обозревателя; собственный текст OpenAI поддерживает фактическую половину этого утверждения, но не содержит такого признания. Архив не помечает эту запись как спорную, и по фактам она таковой не является: разногласие касается подачи, а не того, что делает этот режим.

То, что читатель может проверить, никому не доверяя, невелико, но реально. Настройка либо присутствует в средствах управления безопасностью аккаунта, либо нет, а список ограничений либо соответствует описанию OpenAI, либо нет. Части, которые нельзя проверить извне, — самые важные: сохраняются ли детерминированные ограничения против злоумышленника, который действительно пытается их обойти, и не открывают ли заново приложения и действия, оставленные администратором включёнными, тот путь, который этот режим был призван закрыть. Собственная оговорка OpenAI — риск может сохраняться из-за включённых приложений, непредвиденных сочетаний возможностей или недавно обнаруженных методов — является честным резюме текущего положения.