ChatGPT Lockdown Mode: Cài đặt mà OpenAI xây dựng để triệt tiêu Prompt Injection

Ngày 13 tháng 2 năm 2026, OpenAI công bố Lockdown Mode, một cài đặt ChatGPT tùy chọn giới hạn những gì trợ lý có thể gửi ra mạng, để một cuộc tấn công prompt-injection không có đường mang dữ liệu bị đánh cắp ra ngoài. Duyệt web chuyển sang nội dung đã lưu trong bộ nhớ đệm, không có yêu cầu trực tiếp nào rời khỏi mạng do OpenAI kiểm soát, và bất kỳ tính năng nào không thể được bảo đảm an toàn một cách tất định đều bị tắt thay vì được lọc. Nó được phát hành trước tiên cho ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare và ChatGPT for Teachers, do quản trị viên không gian làm việc bật, với người dùng tiêu dùng được hứa quyền truy cập "trong những tháng tới" — một lời hứa mà chính trang OpenAI ghi nhận là đã được thực hiện vào ngày 4 tháng 6 năm 2026. Không có vi phạm, nạn nhân hay mất mát dữ liệu nào gắn với sự việc: AI Incident Archive xếp đây là hồ sơ chính sách có mức độ nghiêm trọng thông tin với cấp độ tin cậy A. Danh sách trích dẫn của hồ sơ và các mục quản trị được nộp ở hai bên của nó được lưu giữ trong Orca AI Incident Archive, nơi cũng liên kết đến thông báo chính thức của OpenAI.

Lockdown Mode tắt những gì

OpenAI mô tả Lockdown Mode là một cài đặt dành cho "một nhóm nhỏ người dùng đặc biệt coi trọng bảo mật — chẳng hạn như các lãnh đạo điều hành hoặc đội ngũ bảo mật tại những tổ chức nổi bật — những người cần được tăng cường bảo vệ trước các mối đe dọa tinh vi", và nói rõ rằng tính năng này "không cần thiết đối với hầu hết người dùng." Điều mà nó làm là cắt giảm khả năng. Danh sách dưới đây là của chính OpenAI, được lấy từ thông báo và từ bài viết trên trung tâm trợ giúp về Lockdown Mode mà thông báo đó liên kết tới.

• Duyệt web trực tiếp. Việc duyệt web chỉ giới hạn ở nội dung đã lưu trong bộ nhớ đệm, nên không có yêu cầu mạng trực tiếp nào rời khỏi mạng được kiểm soát của OpenAI. Kết quả tìm kiếm "có thể bị hạn chế, không khả dụng hoặc đã lỗi thời".

• Hỗ trợ hình ảnh.ChatGPT có thể không hiển thị hình ảnh trong các phản hồi thông thường hoặc truy xuất hình ảnh từ web. Việc tải lên tệp hình ảnh vẫn hoạt động, và tính năng tạo hình ảnh vẫn khả dụng ở những nơi mà nó vốn vẫn có.

• Deep Research. Đã tắt. Bản cập nhật ngày 4 tháng 6 của OpenAI nêu rõ rằng điều này bao gồm nghiên cứu mua sắm.

• Chế độ Agent. Đã tắt.

• Mạng của Canvas. Người dùng không thể phê duyệt mã do Canvas tạo để truy cập mạng.

• Tải xuống tệp. ChatGPT không thể tải xuống tệp để phân tích dữ liệu. Nó vẫn có thể xử lý các tệp mà người dùng tải lên thủ công.

• Trình kết nối trực tiếp và các thao tác ghi của ứng dụng. Trên tài khoản cá nhân và Business tự phục vụ, bài viết trên trung tâm trợ giúp cho biết quyền truy cập trực tiếp vào các dịch vụ bên ngoài và các thao tác ghi của ứng dụng bị chặn khi chúng xung đột với các biện pháp bảo vệ của chế độ, và rằng "Finances in ChatGPT and shopping-agent experiences" không khả dụng.

Ba thứ mà Lockdown Mode không tác động tới một cách rõ ràng: bộ nhớ, tải tệp lên và việc một cuộc trò chuyện có thể được dùng để cải thiện mô hình hay không. Nó cũng không ảnh hưởng đến quyền truy cập mạng trong Codex, trợ lý lập trình của OpenAI — một điểm đáng ghi nhớ, vì Codex là một trong những sản phẩm mang nửa sau của thông báo này.

Cuộc tấn công mà nó được thiết kế để bóp nghẹt

Prompt injection là lớp tấn công. Một bên thứ ba giấu chỉ dẫn trong nội dung mà mô hình sẽ đọc — một trang web, một PDF, một tài liệu được chia sẻ — và mô hình coi những chỉ dẫn đó là hợp lệ, thực hiện theo chúng hoặc tiết lộ những gì có trong cuộc trò chuyện. Mô tả của chính OpenAI về rủi ro này là kẻ tấn công "cố gắng đánh lừa một hệ thống AI hội thoại khiến nó tuân theo các chỉ dẫn độc hại hoặc tiết lộ thông tin nhạy cảm." Trong một trợ lý được kết nối, payload không cần phải tinh vi; nó cần một đường ra bên ngoài. Một liên kết được tạo dựng như attacker.example/collect?data= theo sau là dữ liệu riêng tư là đủ, vì dữ liệu rơi vào nhật ký máy chủ của kẻ tấn công và không có gì đáng ngờ xuất hiện trong cuộc trò chuyện.

Hầu hết các biện pháp phòng vệ đều cố gắng ngăn mô hình tuân theo. Lockdown Mode thì không. Thay vào đó, nó loại bỏ các đường ra bên ngoài, đó là lý do OpenAI tiếp tục dùng từ "deterministic": hạn chế được thực thi bởi hệ thống hạ tầng của sản phẩm, chứ không phải bởi phán đoán của mô hình, nên một payload thắng được cuộc tranh luận vẫn không có nơi nào để gửi phần thắng. Theo đúng lời trong thông báo, Lockdown Mode "vô hiệu hóa một cách tất định các công cụ và khả năng nhất định trong ChatGPT mà kẻ tấn công có thể cố khai thác để rò rỉ dữ liệu nhạy cảm."

Những gì OpenAI không tuyên bố

Các giới hạn được OpenAI nêu rõ thay vì phải suy ra từ đó, và chúng quan trọng hơn danh sách tính năng. Bài viết trên trung tâm trợ giúp cho biết Lockdown Mode “không ngăn được các cuộc tấn công chèn prompt xuất hiện trong nội dung mà ChatGPT xử lý”, và đưa ra ví dụ trực tiếp: một đoạn chèn trong nội dung web đã lưu trong bộ nhớ đệm hoặc trong tệp được tải lên “vẫn có thể ảnh hưởng đến hành vi hoặc độ chính xác của câu trả lời.” Đoạn chèn vẫn xâm nhập được. Chỉ có lối thoát là bị đóng lại.

Khi được hỏi về các bảo đảm, OpenAI đã nói với báo chí chuyên ngành những gì công ty không cam kết. "Lockdown Mode được thiết kế để giảm đáng kể rủi ro rò rỉ dữ liệu dựa trên prompt injection, nhưng không bảo đảm rằng rò rỉ dữ liệu không thể xảy ra," công ty cho biết, đồng thời nói thêm rằng "rủi ro có thể vẫn còn thông qua các Apps được bật, những tổ hợp khả năng chưa lường trước, hoặc các kỹ thuật mới được phát hiện" (theo trích dẫn của The Next Web, ngày 7 tháng 6 năm 2026). Apps là lỗ hổng dễ thấy: trong các workspace được quản lý, Lockdown Mode "không tự động vô hiệu hóa mọi ứng dụng", và trung tâm trợ giúp khuyên quản trị viên rằng các hành động đọc hoặc ghi đối với ứng dụng không đáng tin cậy là "không được khuyến nghị", và nên tránh các hành động ghi ngay cả đối với ứng dụng đáng tin cậy mà không thể xác nhận tác động phụ của chúng được ẩn khỏi một tác nhân độc hại.

Nhãn "Rủi ro gia tăng", và những gì nó không phải

Nửa sau của thông báo ngày 13 tháng 2 là một thay đổi về nhãn mác chứ không phải một biện pháp kiểm soát. OpenAI đã chuẩn hóa cách diễn đạt trên một "danh sách ngắn" các khả năng hiện có mang rủi ro mạng chưa được giải quyết, để cùng một nhãn "Elevated Risk" xuất hiện trên ChatGPT, ChatGPT Atlas và Codex — lập luận của công ty là người dùng nên nhận được hướng dẫn giống hệt nhau ở bất cứ đâu họ gặp cùng một khả năng. Ví dụ minh họa là Codex: một nhà phát triển cấp cho trợ lý lập trình quyền truy cập mạng để tra cứu tài liệu giờ đây sẽ thấy nhãn này trên màn hình cài đặt, bên cạnh danh sách miền được cho phép và các phương thức HTTP được phép, kèm theo lời giải thích về những gì thay đổi và khi nào việc truy cập là phù hợp.

Nhãn này là một cảnh báo, không phải một khóa. Khả năng đó vẫn hoạt động sau khi người dùng chấp nhận nó. OpenAI cũng đặt ra điều kiện hết hạn của riêng mình: công ty "sẽ gỡ nhãn 'Elevated Risk' khi chúng tôi xác định rằng các tiến bộ bảo mật đã giảm thiểu đủ những rủi ro đó cho mục đích sử dụng chung", và sẽ tiếp tục thay đổi những tính năng nào mang nhãn này. Đó là một sự thừa nhận rõ ràng bất thường rằng danh sách này là một ảnh chụp nhanh những gì công ty hiện coi là không an toàn theo mặc định.

Từ vai trò doanh nghiệp đến nút chuyển đổi trong Cài đặt

Bản phát hành tháng Hai chỉ dành cho doanh nghiệp và được quản trị viên thiết lập thay vì người dùng tự chọn. Quản trị viên trên ChatGPT Enterprise, Edu, for Healthcare và for Teachers đã bật tính năng này trong Cài đặt Workspace bằng cách tạo một vai trò mới, qua đó chồng thêm các hạn chế bổ sung lên trên những gì workspace vốn đã áp dụng. Quản trị viên vẫn giữ quyền kiểm soát chi tiết, chọn chính xác những ứng dụng nào và những hành động cụ thể nào trong các ứng dụng đó vẫn khả dụng — một nhượng bộ mà OpenAI giải thích bằng việc lưu ý rằng "một số quy trình làm việc quan trọng phụ thuộc vào ứng dụng." Tách biệt với chế độ này, Compliance API Logs Platform cho phép quản trị viên có khả năng giám sát việc sử dụng ứng dụng, dữ liệu được chia sẻ và các nguồn được kết nối.

Lời hứa với người tiêu dùng đã được thực hiện vào ngày 4 tháng 6 năm 2026, khi OpenAI thêm một ghi chú cập nhật lên đầu cùng trang thông báo đó: Lockdown Mode đang được triển khai "cho cả tài khoản ChatGPT cá nhân lẫn tài khoản ChatGPT Business tự phục vụ", có sẵn từ Settings, với danh sách hạn chế được nhắc lại gồm quyền truy cập web trực tiếp, hỗ trợ hình ảnh trong phản hồi, Deep Research bao gồm nghiên cứu mua sắm, Agent Mode, Canvas networking, trình kết nối trực tiếp và tải tệp xuống. PCMag đưa tin về đợt triển khai này vào ngày 6 tháng 6 năm 2026 và The Next Web vào ngày 7 tháng 6 năm 2026; The Cyber Express, đơn vị đã đưa tin về thông báo hồi tháng 2 vào ngày 18 tháng 2, lưu ý trong bài cập nhật tháng 6 rằng cài đặt này đã đến được với các tài khoản Free, Go, Plus và Pro. Bài viết của The Next Web bổ sung hai chi tiết vận hành không có trong bài đăng của OpenAI: Lockdown Mode và Developer Mode không thể được bật cùng lúc, và OpenAI đã phát hành một tính năng quản lý phiên riêng song song với nó, cho phép người dùng xem lại các phiên đang hoạt động và đăng xuất từng thiết bị.

Điều gì đã được xác lập ở đây, và điều gì chưa

Tất cả những gì ở trên về cách chế độ này hoạt động là lời giải thích của chính OpenAI, được các hãng truyền thông thuật lại dựa trên cùng một bài đăng. Loạt bài đưa tin hồi tháng 2 — eWeek ngày 17 tháng 2 năm 2026, The Cyber Express ngày 18 tháng 2 năm 2026, cùng một nhóm các ban công nghệ khu vực gồm ZDNet Japan và Techlusive — mô tả tính năng này một cách chính xác nhưng không bổ sung thử nghiệm độc lập nào: không bài đưa tin nào được xem xét cho bài viết này cho biết đã thử vô hiệu hóa Lockdown Mode, và bản công bố本身 không viện dẫn bất kỳ đánh giá bảo mật bên ngoài nào. Đó là một giới hạn về những gì hồ sơ có thể cho bạn biết. Mức xếp hạng độ tin cậy A của kho lưu trữ mô tả mức độ được ghi chép đầy đủ của sự kiện và mức độ đồng thuận giữa các nguồn sơ cấp của nó, chứ không phải mức độ hiệu quả của biện pháp kiểm soát này.

Bản ghi cũng không ghi nhận thiệt hại thực sự nào. Đây là một mục chính sách, không phải một sự cố: không tổ chức nào được nêu tên là nạn nhân, không có vụ rò rỉ dữ liệu nào được tính, và không có gì ở đây chứng minh rằng một cuộc tấn công cụ thể đã thúc đẩy việc phát hành. OpenAI trình bày Lockdown Mode như một bổ sung cho các biện pháp bảo vệ hiện có — sandboxing, phòng thủ chống rò rỉ dữ liệu dựa trên URL, giám sát và thực thi, quyền truy cập theo vai trò và nhật ký kiểm toán — chứ không phải như một phản ứng đối với một vụ vi phạm đã được công bố.

Đang có một cuộc tranh luận sôi nổi về ý nghĩa của tính năng này, và nó nên được gắn nhãn là tranh luận. The Cyber Express, trong một bài phân tích hồi tháng Sáu, đặt câu hỏi liệu sự tồn tại của Lockdown Mode có phải thừa nhận rằng ChatGPT ở cấu hình mặc định "không cung cấp biện pháp bảo vệ vững chắc trước các cuộc tấn công rút dữ liệu đủ quyết tâm hay không", và trả lời rằng OpenAI "dường như không phản đối điều này" — diễn giải chế độ này như "một biện pháp kiểm soát phòng thủ cuối cùng" thay vì một biện pháp chống injection. Đó là cách diễn giải của một cây bút chuyên mục, và văn bản của chính OpenAI ủng hộ nửa phần sự thật của điều đó trong khi không hề đưa ra lời thừa nhận như vậy. Kho lưu trữ không đánh dấu bản ghi này là đang tranh chấp, và xét theo sự thật thì đúng là không: bất đồng nằm ở cách đóng khung, không phải ở việc cài đặt này làm gì.

Điều mà một người đọc có thể tự kiểm chứng mà không cần tin tưởng ai thì ít nhưng có thật. Cài đặt đó hoặc xuất hiện trong phần kiểm soát bảo mật của tài khoản, hoặc không; và danh sách hạn chế hoặc khớp với mô tả của OpenAI, hoặc không. Những phần không thể kiểm chứng từ bên ngoài mới là những phần quan trọng nhất: liệu các hạn chế mang tính tất định có đứng vững trước một kẻ đối kháng thực sự đang cố gắng hay không, và liệu các ứng dụng và hành động mà quản trị viên để bật có mở lại con đường mà chế độ này được xây dựng để đóng hay không. Lưu ý của chính OpenAI — rủi ro có thể vẫn còn qua các ứng dụng được bật, các tổ hợp năng lực không lường trước, hoặc các kỹ thuật mới được phát hiện — là bản tóm tắt trung thực về tình hình hiện tại.