ChatGPT Lockdown-läge: Inställningen som OpenAI byggde för att strypa promptinjektion

Den 13 februari 2026 meddelade OpenAI Lockdown Mode, en valfri ChatGPT-inställning som begränsar vad assistenten kan skicka ut till nätverket, så att en promptinjektionsattack inte har någon väg att föra ut stulna data. Bläddring begränsas till cachelagrat innehåll, inga liveförfrågningar lämnar OpenAIs kontrollerade nätverk, och alla funktioner som inte kan ges en deterministisk säkerhetsgaranti stängs av i stället för att filtreras. Det lanserades först för ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare och ChatGPT for Teachers, och aktiverades av workspace-administratörer, medan konsumenter utlovades åtkomst "under de kommande månaderna" – ett löfte som samma OpenAI-sida anger uppfylldes den 4 juni 2026. Inget intrång, inget offer och ingen dataförlust är kopplade till det: AI-incidentarkivet registrerar detta som en policyregistrering med allvarlighetsgraden information och konfidensgrad A. Registreringens citeringslista och de styrningsposter som registrerats på ömse sidor om den finns i Orca AI Incident Archive, som också länkar till det primära OpenAI-meddelandet.

Vad Lockdown-läget stänger av

OpenAI framställer Lockdown Mode som en inställning för "{{1}}en liten grupp mycket säkerhetsmedvetna användare – till exempel chefer eller säkerhetsteam på framstående organisationer – som behöver ökat skydd mot avancerade hot{{/1}}", och säger rakt ut att den "{{2}}inte är nödvändig för de flesta användare.{{/2}}" Vad den gör är att minska funktionaliteten. Listan nedan är OpenAI:s egen, hämtad från tillkännagivandet och från hjälpcentrumartikeln om Lockdown Mode som tillkännagivandet länkar till.

• Live-webbläsning. Webbläsning är begränsad till cachelagrat innehåll, så inga nätverksförfrågningar i realtid lämnar OpenAIs kontrollerade nätverk. Sökresultat "kan vara begränsade, otillgängliga eller inaktuella."

• Bildstöd.ChatGPT kanske inte visar bilder i vanliga svar eller hämtar bilder från webben. Det går fortfarande att ladda upp bildfiler, och bildgenerering är fortfarande tillgänglig där det annars skulle vara det.

• Deep Research. Inaktiverat. OpenAIs uppdatering den 4 juni anger att detta inkluderar shoppingresearch.

• Agent Mode. Inaktiverad.

• Canvas-nätverk. Användare kan inte godkänna Canvas-genererad kod för att nå nätverket.

• Filnedladdningar. ChatGPT kan inte ladda ner filer för dataanalys. Det kan fortfarande arbeta med filer som användaren laddar upp manuellt.

• Live-anslutningar och skrivåtgärder i appar. I hjälpcentrets artikel står det att liveåtkomst till externa tjänster och skrivåtgärder i appar blockeras på personliga konton och självbetjänings-Business-konton när de står i konflikt med lägets skydd, och att "Ekonomi i ChatGPT och shoppingagentupplevelser" inte är tillgängliga.

Tre saker som Lockdown Mode uttryckligen inte rör: minne, filuppladdningar och huruvida en konversation får användas för att förbättra modeller. Det påverkar inte heller nätverksåtkomst i Codex, OpenAIs kodassistent – en punkt värd att hålla fast vid, eftersom Codex är en av produkterna som bär den andra halvan av detta tillkännagivande.

Attacken som den är utformad att svälta ut

Prompt injection är attackklassen. En tredje part gömmer instruktioner i innehåll som modellen kommer att läsa – en webbsida, en PDF, ett delat dokument – och modellen behandlar dessa instruktioner som legitima, agerar på dem eller avslöjar vad som finns i konversationen. OpenAIs egen beskrivning av risken är att en motståndare "försöker vilseleda ett konversationellt AI-system att följa skadliga instruktioner eller avslöja känslig information." I en uppkopplad assistent behöver nyttolasten inte vara smart; den behöver en utgående väg. En manipulerad länk som attacker.example/collect?data= följt av privata uppgifter räcker, eftersom data hamnar i angriparens serverloggar och inget misstänkt visas i chatten.

De flesta försvar försöker hindra modellen från att lyda. Lockdown Mode gör inte det. I stället tar det bort de utgående vägarna, vilket är anledningen till att OpenAI fortsätter använda ordet "deterministic": begränsningen upprätthålls av produktens infrastruktur, inte av modellens omdöme, så en nyttolast som vinner argumentet har fortfarande ingenstans att skicka vinsten. Med tillkännagivandets egna ord "inaktiverar Lockdown Mode deterministiskt vissa verktyg och funktioner i ChatGPT som en motståndare skulle kunna försöka utnyttja för att exfiltrera känsliga data."

Vad OpenAI inte gör anspråk på

Begränsningarna anges av OpenAI snarare än att de har extraherats från den, och de är viktigare än funktionslistan. Artikeln i hjälpcentret säger att Lockdown Mode "inte hindrar prompt-injektioner från att förekomma i det innehåll som ChatGPT behandlar" och ger exemplet direkt: en injektion i cachelagrat webbinnehåll eller i en uppladdad fil "skulle fortfarande kunna påverka beteendet eller riktigheten i ett svar." Injektionen landar fortfarande. Endast utgången är stängd.

På frågan om garantier berättade OpenAI för fackpressen vad det inte lovar. "Lockdown Mode är utformat för att väsentligt minska risken för dataexfiltrering som bygger på prompt injection, men det garanterar inte att dataexfiltrering inte kan inträffa", sade företaget och tillade att "risken kan kvarstå via aktiverade Apps, oförutsedda kombinationer av funktioner eller nyupptäckta tekniker" (enligt The Next Web, 7 juni 2026). Apps är det uppenbara hålet: i hanterade arbetsytor "inaktiverar Lockdown Mode inte automatiskt alla appar", och hjälpcentret råder administratörer att läs- eller skrivåtgärder för ej betrodda appar "inte rekommenderas", och att skrivåtgärder bör undvikas även för betrodda appar vars bieffekter inte kan bekräftas vara dolda för en illvillig aktör.

Etiketten "Förhöjd risk" och vad den inte är

Den andra hälften av tillkännagivandet den 13 februari är en märkningsändring snarare än en kontroll. OpenAI standardiserade formuleringen för en "kort lista" över befintliga funktioner som medför en oupplöst nätverksrisk, så att samma etikett "Elevated Risk" visas i ChatGPT, ChatGPT Atlas och Codex – företagets argument är att användare bör få identisk vägledning var de än möter samma funktion. Det genomarbetade exemplet är Codex: en utvecklare som ger kodassistenten nätverksåtkomst för att slå upp dokumentation ser nu etiketten på inställningsskärmen, bredvid domänens tillåtelselista och de tillåtna HTTP-metoderna, med en förklaring av vad som ändras och när åtkomsten är lämplig.

Etiketten är en varning, inte ett lås. Funktionen körs fortfarande när användaren har accepterat den. OpenAI har också satt sitt eget utgångsvillkor: företaget "kommer att ta bort etiketten 'Elevated Risk' när vi bedömer att säkerhetsframstegen tillräckligt har mildrat dessa risker för allmän användning", och kommer att fortsätta ändra vilka funktioner som bär den. Det är ett ovanligt explicit medgivande att listan är en ögonblicksbild av vad företaget för närvarande anser vara osäkert som standard.

Från en företagsroll till en växel i Inställningar

Februariutgåvan var endast för företag och administrerades snarare än valdes av användarna. Administratörer på ChatGPT Enterprise, Edu, for Healthcare och for Teachers aktiverade den i Workspace Settings genom att skapa en ny roll, som lade till de extra begränsningarna ovanpå det arbetsytan redan tillämpade. Administratörerna behöll detaljerad kontroll och valde exakt vilka appar och vilka specifika åtgärder i dessa appar som förblev tillgängliga – en eftergift som OpenAI förklarade med att "vissa kritiska arbetsflöden är beroende av appar". Separat från läget ger Compliance API Logs Platform administratörer insyn i appanvändning, delad data och anslutna källor.

Konsumentlöftet hölls den 4 juni 2026, när OpenAI lade till en uppdateringsnotis högst upp på samma meddelandesida: Lockdown Mode rullades ut "till personliga ChatGPT-konton samt självbetjäningskonton för ChatGPT Business", tillgängligt från Inställningar, med begränsningslistan upprepad så att den omfattade live-webbåtkomst, bildstöd i svar, Deep Research inklusive shoppingforskning, Agent Mode, Canvas-nätverk, live-kopplingar och filnedladdningar. PCMag rapporterade utrullningen den 6 juni 2026 och The Next Web den 7 juni 2026; The Cyber Express, som hade bevakat februarimeddelandet den 18 februari, noterade i sin juniuppföljning att inställningen hade nått Free-, Go-, Plus- och Pro-konton. The Next Webs redogörelse tillför två operativa detaljer som inte finns i OpenAIs inlägg: Lockdown Mode och Developer Mode kan inte aktiveras samtidigt, och OpenAI släppte en separat sessionshanteringsfunktion vid sidan av, som låter användare granska aktiva sessioner och logga ut enskilda enheter.

Vad är fastställt här, och vad är inte det

Allt ovan om hur funktionen beter sig är OpenAI:s egen redogörelse, återgiven av medier som utgick från samma inlägg. Februaribevakningen – eWeek den 17 februari 2026, The Cyber Express den 18 februari 2026 och en grupp regionala teknikredaktioner, bland dem ZDNet Japan och Techlusive – beskriver funktionen korrekt men tillför inga oberoende tester: ingen av de artiklar som lästs för den här texten uppger att man försökt kringgå Lockdown Mode, och själva tillkännagivandet hänvisar inte till någon extern säkerhetsutvärdering. Det är en begränsning i vad underlaget kan berätta. Arkivets konfidensbetyg A beskriver hur väl dokumenterad händelsen är och hur långt dess primärkällor stämmer överens, inte hur väl skyddsåtgärden fungerar.

Posten innebär inte heller någon verklig skada. Detta är en policyanteckning, inte en incident: ingen organisation namnges som offer, ingen exfiltrering räknas, och inget här visar att en specifik attack föranledde lanseringen. OpenAI presenterar Lockdown Mode som ett tillägg till befintliga skydd – sandboxing, URL-baserade skydd mot dataexfiltrering, övervakning och verkställighet, rollbaserad åtkomst och granskningsloggar – snarare än som ett svar på ett avslöjat intrång.

Det pågår en levande argumentation om vad funktionen innebär, och den bör märkas som argument. The Cyber Express ställde i en analysartikel i juni frågan huruvida Lockdown Modes existens medger att ChatGPT i sitt standardläge "inte erbjuder robust skydd mot tillräckligt beslutsamma dataexfiltreringsattacker", och svarade att OpenAI "inte tycks bestrida detta" — och läste läget som "en kontroll för sista försvarslinjen" snarare än en anti-injektionskontroll. Det är en kolumnists tolkning, och OpenAIs egen text stöder den faktiska hälften av den utan att göra något sådant medgivande. Arkivet markerar inte denna post som omtvistad, och faktamässigt är den det inte: oenigheten gäller inramningen, inte vad inställningen gör.

Det en läsare kan kontrollera utan att lita på någon är litet men verkligt. Inställningen visas antingen i ett kontos säkerhetskontroller eller inte, och begränsningslistan matchar antingen OpenAIs beskrivning eller inte. De delar som inte kan kontrolleras utifrån är de som betyder mest: huruvida de deterministiska begränsningarna håller mot en motståndare som verkligen försöker, och huruvida de appar och åtgärder som en administratör lämnar aktiverade öppnar igen den väg som läget byggdes för att stänga. OpenAIs eget förbehåll – att risk kan kvarstå genom aktiverade appar, oförutsedda kombinationer av funktioner eller nyupptäckta tekniker – är den ärliga sammanfattningen av läget.