OpenAI закрывает ChatGPT от скрытых команд: режим изоляции стал доступен всем

OpenAI сделала Lockdown Mode доступным для всех залогиненных пользователей ChatGPT и рабочих пространств. Это добровольный режим повышенной безопасности: он ограничивает доступ ChatGPT к вебу и внешним сервисам, чтобы снизить риск утечки данных через prompt injection — скрытые инструкции, которые могут оказаться на сайте, в документе, письме или подключённом источнике.

Важная деталь: OpenAI не обещает, что режим остановит саму скрытую команду. Модель всё ещё может увидеть вредный текст и из-за него ответить неправильно. Логика защиты другая: если атака пытается заставить ассистента вынести чувствительные данные наружу, Lockdown Mode должен перекрыть самые опасные каналы вывода.

Что отключается

При включённом режиме ChatGPT ограничивает live web browsing: поиск может работать только с кэшированным содержимым, быть неполным или устаревшим. Deep research и agent mode отключаются. ChatGPT не может скачивать файлы для анализа, хотя пользователь по-прежнему может сам загрузить файл в чат. Ограничивается поддержка веб-изображений в обычных ответах, но генерация изображений остаётся доступной там, где она уже была включена.

Отдельный блок касается приложений и коннекторов. Для личных аккаунтов и self-serve ChatGPT Business режим разрешает коннекторы с синхронизированными данными, но блокирует живой доступ и действия записи. Некоторые сценарии, включая финансы в ChatGPT и shopping-agent функции, становятся недоступны. В управляемых рабочих пространствах всё сложнее: администраторы могут настраивать роли, приложения, MCP и действия через собственные политики доступа.

Почему это не просто новая галочка

Prompt injection давно перестал быть трюком из демо. Чем больше ChatGPT умеет ходить в веб, читать подключённые документы, запускать агентские действия и работать с корпоративными источниками, тем опаснее становится цепочка «прочитал вредную инструкцию → получил доступ к данным → отправил их наружу». OpenAI прямо описывает Lockdown Mode как защиту от финального этапа такой атаки — исходящего сетевого запроса.

Это продолжает линию, которую Neuro.ee уже разбирал в статье про Advanced Account Security: AI-аккаунт превращается в рабочий сейф. Но там речь шла о входе в аккаунт, ключах безопасности и восстановлении доступа. Новый режим бьёт по другой поверхности атаки — по действиям самого ассистента после входа пользователя.

Кому это нужно

Обычному пользователю Lockdown Mode, скорее всего, будет мешать: меньше веба, меньше агентских сценариев, меньше удобных подключений. Но для юристов, журналистов, команд безопасности, руководителей и сотрудников компаний с чувствительными документами компромисс понятен. Если ассистент работает рядом с внутренними данными, его сетевые возможности уже нельзя считать нейтральной функцией.

Для рынка это хороший маркер взросления AI-продуктов. Раньше главный вопрос звучал так: «может ли модель правильно ответить?» Теперь всё чаще спрашивают другое: «что она может сделать с данными, которые увидела?» Ответ будет не только в новых моделях, но и в ролях, журналах доступа, настройках коннекторов, запретах на запись и режимах вроде Lockdown Mode.

Самое трезвое в анонсе OpenAI — отсутствие магии. Компания признаёт, что скрытые команды остаются сложной исследовательской проблемой, а риск не исчезает полностью. Но индустрия начинает строить защиту так, как строят безопасность обычных IT-систем: не доверять одному слою, ограничивать каналы вывода и считать подключённые инструменты частью поверхности атаки.