一句话背景
2026 年 6 月 6 日，OpenAI 正式发布 Lockdown Mode（锁定模式） ——一个可选的进阶安全设置，通过禁用 ChatGPT 联网相关能力来降低提示注入攻击导致的数据外泄风险。Hacker News 上该功能帮助文档获得 84 分和 9 条深度讨论，社区反应两极：有人称此为「数据外泄的终极防线」，也有人指出「这等于承认默认状态下防护不足」。
提示注入：AI 应用的头号安全隐患
提示注入（Prompt Injection）是当前 AI 安全领域最棘手的问题之一。攻击者将恶意指令隐藏在网页内容、上传文件或第三方数据中，诱导模型执行非预期的操作——典型的数据外泄三连击包括：读取敏感信息 → 编码为无害格式（如 Base64） → 通过联网能力发回攻击者控制的服务器。
OpenAI 之前已经建立了多层防护体系：沙箱隔离、URL 数据外泄保护、行为监控与强制执行、以及企业级 RBAC 和审计日志。但这些措施本质上是对攻击行为的事中/事后检测，难以 100% 阻断。Lockdown Mode 的思路更激进：从源头限制 AI 的联网能力。
Lockdown Mode 做了什么
从 OpenAI 官方帮助文档来看，Lockdown Mode 的工作原理非常直接——禁用或限制所有可能产生出站网络请求的能力：
| 受限能力 | 具体影响 |
|---|---|
| 实时网页浏览 | 仅限访问缓存内容，搜索结果可能受限、不可用或不新鲜 |
| 图像展示 | 不显示常规回复中的图片，不从网络获取图片（但可上传图片文件和生成图片） |
| 深度研究（Deep Research） | 完全禁用 |
| Agent 模式 | 完全禁用 |
| Canvas 联网 | 不允许 Canvas 生成的代码访问网络 |
| 文件下载 | ChatGPT 不能为数据分析下载文件（手动上传的文件不受影响） |
不受影响的能力：记忆、文件上传、对话分享、训练数据控制、Codex 网络访问（这一点有争议）。
关键设计细节
几个有意思的设计点值得关注：
1. 可选择关闭：Lockdown Mode 可以在设置中全局开启，也可以在单次对话中关闭——这意味着它不是一个「全有或全无」的开关，用户可以在处理常规任务时临时关闭，处理敏感数据时再开启。
2. 互斥于 Developer Mode：Lockdown Mode 和 Developer Mode 不能同时启用。开启 Lockdown Mode 会自动关闭 Developer Mode，反之亦然。这是一个合理的设计——开发者模式需要联网调试，两者天然冲突。
3. 企业版有更细粒度控制：对于 Managed Workspace，管理员可以创建自定义角色并标记为「Lockdown Mode 角色」，然后通过 RBAC 分配成员或用户组。这给了企业灵活配置的能力——让处理敏感数据的团队开启锁定，其他团队保持开放。
4. 应用连接器分级风险：OpenAI 甚至给出了 App/Connector 的风险分级建议：
| 风险等级 | 类型 | 建议 |
|---|---|---|
| 🔴 高风险 | 不可信 App 的读写操作 | 不推荐在 Lockdown 模式下使用 |
| 🟡 中风险 | 同步连接器、可信 App 的只读操作 | 谨慎使用，仍需考虑数据源敏感性 |
| 🟢 较低风险 | 可信 App 且有权限控制的操作 | 可以启用，但需确认副作用不可见 |
为什么这件事值得关注
技术层面：从「检测」到「预防」的思路转变
过去 AI 安全的主要思路是「检测并阻止」——发现异常行为后拦截。Lockdown Mode 代表了另一种思路：通过限制攻击面来消除风险。这其实借鉴了网络安全中经典的「最小权限原则」（Principle of Least Privilege）：不给 AI 联网能力，就不存在通过网络外泄数据的途径。
但这个思路的代价很明显——功能降级。禁用实时网页浏览、Agent 模式、深度研究后，ChatGPT 从一个全能助手变成了一个「知识截止于训练数据」的静态工具。
行业层面：可能成为企业采用的催化剂
提示注入是企业采用 AI 的首要安全顾虑之一。Lockdown Mode 提供了一个明确的、可审计的安全基线：如果企业说「我们在 Lockdown Mode 下使用 ChatGPT」，合规和安全团队可以清晰理解其风险边界。这比空洞的「我们有安全措施」更有说服力。
当然，这也带来了新问题——Lockdown Mode 下的 ChatGPT 功能大幅缩减，企业是否愿意为此买单？
社区反应的启示
HN 讨论中几个评论值得回味：
「这正好是防止数据外泄三连击的解决方案。但 Lockdown Mode 的存在也暗示，ChatGPT 在默认设置下无法对数据外泄攻击提供充分保护。」
「提示注入目前不是主要风险，但随着攻击者发展更复杂的方法，其影响可能增长。」——引用自 OpenAI FAQ
这个 FAQ 表述很有意思——OpenAI 在 FAQ 中说「提示注入目前不是主要风险」，但同时又推出了一个大幅限制功能的 Lockdown Mode。这种矛盾反映了 AI 安全领域的现实困境：企业客户要求安全，但技术方案只能通过功能降级来保障。
适用场景分析
| 场景 | 是否推荐 Lockdown Mode | 理由 |
|---|---|---|
| 处理客户个人信息/财务数据 | ✅ 强烈推荐 | 数据外泄风险 > 功能损失 |
| 编写内部文档/代码 | ⚠️ 视情况 | 代码生成需要联网查文档时可临时关闭 |
| 深度研究与报告撰写 | ❌ 不推荐 | Deep Research 被禁用 |
| 教育/学习场景 | ⚠️ 可选 | 学生使用可减少作弊可能（但功能受限较多） |
| Agent 自动化任务 | ❌ 不推荐 | Agent mode 被完全禁用 |
| 企业合规场景 | ✅ 推荐 | 提供可审计的安全基线 |
对管理者的建议
如果你所在的企业正在评估 ChatGPT 的企业部署：
- 尽快测试 Lockdown Mode：了解它对日常工作流的具体影响，哪些操作会被阻断
- 建立分级策略：不让所有人一刀切。处理敏感数据的团队启用 Lockdown，其他团队保持开放
- 关注 Codex 的例外：Lockdown Mode 不限制 Codex 的网络访问——如果团队同时使用 Codex，需评估这个「后门」是否符合安全要求
- 不要替代其他安全措施：Lockdown Mode 不是万能的——缓存内容仍可能包含提示注入，上传文件中的恶意指令仍会影响回复准确性
行业意义
OpenAI 推出 Lockdown Mode 可能成为一个分水岭。它首次将「提示注入防护」从一个研究课题变成了可配置的产品功能。虽然方案不完美（本质上是功能降级），但它为行业提供了一个可讨论的锚点。
可以预见：
- 其他 AI 厂商（Anthropic、Google、Microsoft）会推出类似的功能
- 企业采购 AI 产品时，「是否支持 Lockdown 模式」可能成为选型指标
- 安全合规框架可能将这类功能纳入评估标准
总结
Lockdown Mode 是 OpenAI 在企业安全需求和技术局限性之间做出的务实选择。它不完美——靠砍功能换安全，总归是无奈之举。但对于那些确实需要保护敏感数据的企业来说，它提供了一个立即可用的、可配置的、可审计的安全方案，这本身就很有价值。
至于提示注入这个根本问题能否在不牺牲功能的前提下解决，那就是整个行业的长期课题了。
参考资料
- OpenAI Lockdown Mode 帮助文档：功能详解、使用方法、FAQ。
→ https://help.openai.com/en/articles/20001061-lockdown-mode - TechCrunch 报道：OpenAI unveils Lockdown Mode to protect sensitive data from prompt injection attacks（Anthony Ha, 2026-06-06）。
→ https://techcrunch.com/2026/06/06/openai-unveils-lockdown-mode-to-protect-sensitive-data-from-prompt-injection-attacks/ - Hacker News 讨论：84 分，9 条社区深度讨论。
→ https://news.ycombinator.com/item?id=48421145 - OpenAI 提示注入安全说明：OpenAI 对提示注入的官方说明。
→ https://openai.com/safety/prompt-injections/ - OpenAI AI Agent Link Safety：URL 数据外泄保护机制的官方说明。
→ https://openai.com/index/ai-agent-link-safety/
文档信息
- 本文作者：zhupite
- 本文链接：https://zhupite.com/ai/openai-lockdown-mode-prompt-injection-protection.html
- 版权声明：自由转载-非商用-非衍生-保持署名（创意共享3.0许可证）