ChatGPT 锁定模式：OpenAI 为遏制提示注入而打造的一项设置

2026年2月13日，OpenAI 宣布推出 Lockdown Mode，这是一项可选的 ChatGPT 设置，用于限制助手可以向网络发送的内容，从而使提示注入攻击无路将窃取的数据带出。浏览功能降级为仅使用缓存内容，没有任何实时请求离开 OpenAI 控制的网络，任何无法获得确定性安全保证的功能都会被直接关闭，而不是经过过滤。它最初面向 ChatGPT Enterprise、ChatGPT Edu、ChatGPT for Healthcare 和 ChatGPT for Teachers 发布，由工作区管理员开启，并承诺消费者可在“未来几个月”内获得访问权限——同一 OpenAI 页面记录该承诺已于2026年6月4日兑现。该记录未关联任何入侵、受害者或数据丢失：AI Incident Archive 将其归档为一份信息严重性政策记录，置信度等级为 A。该记录的引用清单以及在其前后归档的治理条目均收录于Orca AI Incident Archive，该档案还链接了 OpenAI 的原始公告。

Lockdown Mode 会关闭哪些功能？

OpenAI 将 Lockdown Mode 描述为面向“少数高度注重安全的用户——例如知名组织的高管或安全团队——他们需要针对高级威胁的更强保护”的设置，并明确表示它“对大多数用户并非必需”。它的作用就是削减功能。下面这份清单来自 OpenAI 自己，取自该公告以及公告所链接的 Lockdown Mode 帮助中心文章。

• 实时网页浏览。浏览仅限于缓存内容，因此不会有实时网络请求离开 OpenAI 的受控网络。搜索结果“可能有限、不可用或已过时”。

• 图像支持。 ChatGPT 可能无法在常规回复中显示图像，也无法从网络检索图像。上传图像文件仍然可用，图像生成功能在其他情况下仍可正常使用。

• 深度研究。已禁用。OpenAI 6月4日的更新说明这包括购物研究。

• Agent 模式。已禁用。

• Canvas 网络连接。用户无法批准 Canvas 生成的代码访问网络。

• 文件下载。 ChatGPT 无法下载文件用于数据分析。它仍然可以处理用户手动上传的文件。

• 实时连接器和应用写入操作。 帮助中心文章称，在个人账户和自助式 Business 账户上，当对外部服务的实时访问和应用写入操作与该模式的保护机制冲突时，这些功能会被阻止，并且“ChatGPT 中的财务功能以及购物代理体验”不可用。

Lockdown Mode 明确不涉及三件事：记忆、文件上传，以及对话是否可用于改进模型。它也不影响 Codex（OpenAI 的编程助手）中的网络访问——这一点值得牢记，因为 Codex 正是承载本次公告后半部分内容的产品之一。

它旨在使其断粮的攻击

提示注入属于一类攻击。第三方把指令藏在模型会读取的内容里——网页、PDF、共享文档——而模型把这些指令当作合法指令，据此行动或泄露对话中的内容。OpenAI 自己对该风险的描述是，攻击者“试图误导对话式 AI 系统，使其遵循恶意指令或泄露敏感信息”。在联网助手中，载荷不需要多巧妙，只需要一条外发路径。一个精心构造的链接，例如 attacker.example/collect?data=，后面跟上隐私数据就足够了，因为数据会落入攻击者的服务器日志，而聊天中不会出现任何可疑之处。

大多数防御措施试图阻止模型服从指令。Lockdown Mode 则不然。它改为移除出站路径，这正是 OpenAI 反复使用“确定性”一词的原因：该限制由产品的底层机制强制执行，而非依赖模型的判断，因此即便某个载荷在“说服”模型上占了上风，它也无处发送窃取到的数据。用公告自己的话说，Lockdown Mode“以确定性方式禁用 ChatGPT 中某些可能被对手试图利用来外泄敏感数据的工具和能力”。

OpenAI 未主张的内容

这些限制是由OpenAI明确说明的，而非从其行为中推断出来的，而且它们比功能列表更重要。帮助中心的那篇文章称，锁定模式“并不能阻止提示注入出现在ChatGPT处理的内容中”，并直接给出了例子：缓存网页内容或上传文件中的注入“仍可能影响回复的行为或准确性”。注入依然会得逞，只是出口被关上了。

在被问及保障措施时，OpenAI向行业媒体说明了它并不承诺什么。该公司表示：“锁定模式旨在大幅降低基于提示注入的数据外泄风险，但并不保证数据外泄不会发生。”并补充说，“风险仍可能通过已启用的应用、未预见的能力组合或新发现的技术而存在”（引自The Next Web，2026年6月7日）。应用是显而易见的漏洞：在受管理工作区中，锁定模式“不会自动禁用每一个应用”，帮助中心还提醒管理员，对不受信任应用的读取或写入操作“不建议”使用，并且即使对于受信任应用，只要其副作用无法确认能对恶意行为者隐藏，也应避免写入操作。

“Elevated Risk”标签，以及它不是什么

2月13日公告的后半部分是一项标签变更，而非控制措施。OpenAI 统一了“短名单”上现有能力的措辞，这些能力带有尚未解决的网络风险，从而使相同的“Elevated Risk”标签出现在 ChatGPT、ChatGPT Atlas 和 Codex 中——公司的理由是，用户无论在何处遇到相同能力，都应获得一致的指引。具体示例是 Codex：开发者授予该编码助手网络访问权限以查阅文档时，现在会在设置屏幕上看到该标签，它位于域名允许列表和允许的 HTTP 方法旁边，并附有说明，解释哪些内容会发生变化以及何时适合授予访问权限。

这个标签是警告，而不是锁。用户一旦接受，该能力仍会运行。OpenAI 还设定了自己的失效条件：它“将在我们确定安全方面的进展已足以将这些风险缓解到可供一般使用的程度后，移除‘Elevated Risk’标签”，并且会不断更改哪些功能带有该标签。这是一次异常明确的承认：该清单只是公司当前认为默认不安全的功能的快照。

从企业角色到设置开关

二月的发布版本仅面向企业版，并且由管理员配置，而非用户自行选择。ChatGPT Enterprise、Edu、for Healthcare 和 for Teachers 的管理员在“工作区设置”中通过创建新角色来启用它，从而在工作区已执行的限制之上叠加了额外限制。管理员保留了精细控制权，可以准确选择哪些应用以及这些应用内的哪些具体操作仍然可用——OpenAI 对此作出的让步解释是，“某些关键工作流依赖应用”。除该模式外，Compliance API Logs Platform 还让管理员能够了解应用使用情况、共享数据和已连接来源。

消费者承诺于 2026 年 6 月 4 日兑现：OpenAI 在同一公告页面顶部添加了一条更新说明：锁定模式正“向个人 ChatGPT 账户以及自助式 ChatGPT Business 账户”推出，可从“设置”中启用，并重申了限制清单，其中包括实时网络访问、回复中的图像支持、Deep Research（包括购物研究）、Agent Mode、Canvas 联网、实时连接器和文件下载。PCMag 于 2026 年 6 月 6 日报道了此次推出，The Next Web 于 2026 年 6 月 7 日报道；The Cyber Express 曾于 2 月 18 日报道过 2 月的公告，其在 6 月的后续报道中指出，该设置已覆盖 Free、Go、Plus 和 Pro 账户。The Next Web 的报道补充了两个 OpenAI 帖子中未提及的操作细节：锁定模式和开发者模式不能同时启用；OpenAI 还随之一并推出了单独的会话管理功能，让用户可以查看活动会话并注销单个设备。

这里哪些是已确定的，哪些不是

以上关于该模式行为方式的所有内容，均来自 OpenAI 自己的说法，并由依据同一篇帖子进行报道的媒体转述。二月的报道——eWeek 于 2026 年 2 月 17 日、The Cyber Express 于 2026 年 2 月 18 日，以及包括 ZDNet Japan 和 Techlusive 在内的一批地区科技媒体——准确描述了该功能，但没有增加独立测试：本文查阅的所有报道均未称其尝试过攻破 Lockdown Mode，且公告本身也未引用任何外部安全评估。这构成了记录所能告诉你的信息的局限。该档案的 A 级置信度描述的是事件被记录得有多充分、其主要来源彼此一致到何种程度，而不是该控制措施的效果有多好。

这份记录也没有显示任何实际危害。这是一条政策条目，而非事件：没有组织被指名为受害者，没有统计任何数据外泄，这里也没有任何内容能证明是某次特定攻击促成了该发布。OpenAI 将 Lockdown Mode 呈现为对现有防护措施的补充——沙箱、基于 URL 的数据外泄防御、监控与强制执行、基于角色的访问控制和审计日志——而不是对已披露入侵事件的回应。

关于该功能意味着什么，存在一场正在进行的争论，且应将其标记为争论。《The Cyber Express》在6月的一篇分析文章中提出疑问：Lockdown Mode的存在是否等于承认，ChatGPT在默认设置下“无法针对足够坚决的数据外泄攻击提供稳健保护”，并回答说OpenAI“似乎并不否认这一点”——将该模式解读为“最后一道防线控制”，而非防注入控制。那是专栏作家的解读，OpenAI自己的文本支持其中事实层面的那一半，但并未作出这样的承认。档案并未将这条记录标记为有争议，而且就事实而言也确实没有争议：分歧在于表述框架，而不在于该设置的作用。

读者无需信任任何人就能核查的部分虽小但真实。该设置要么出现在账户的安全控制项中，要么没有；限制列表要么与 OpenAI 的描述相符，要么不符。无法从外部核查的部分恰恰最重要：确定性限制能否抵御一个真正在尝试攻击的对手，以及管理员保留启用的应用和操作是否会重新打开该模式本要关闭的路径。OpenAI 自己的提醒——风险可能通过已启用的应用、未预见的能力组合或新发现的技术而依然存在——是对现状的诚实总结。