OpenAI は、Free、Plus、Pro、およびセルフサービス型の Business アカウントを含む、すべての ChatGPT ユーザーを対象に Lockdown Mode の展開を開始しました。この機能は、AI 環境において深刻化するセキュリティ懸念であるプロンプトインジェクション攻撃から機密データを保護するために設計されています。ライブウェブブラウジングや Agent mode といった主要機能を無効にすることで、攻撃者がデータ流出に利用する経路を遮断することを目的としていますが、ユーザビリティの面では大きな妥協を伴います。
フロンティアにおける脅威への新たな盾
プロンプトインジェクション攻撃は、OpenAI が「フロンティア」と呼ぶ、あらゆる大規模言語モデル（LLM）に影響を及ぼす課題であり続けています。これらの攻撃は、モデルが処理するコンテンツ（ウェブページやアップロードされたファイルなど）の中に悪意のある指示を隠すことで実行されます。モデルがその指示に従ってしまうと、攻撃者が制御するサーバーに機密データを送信するように操作される可能性があります。Lockdown Mode はインジェクションそのものを防ぐわけではありません。キャッシュされたコンテンツや PDF に埋め込まれた悪意のあるペイロードは、依然としてモデルの挙動に影響を与える可能性があります。その代わり、Lockdown Mode は攻撃者がデータを外部に持ち出すために使用する経路を遮断します。
Lockdown Mode で無効化される機能
Lockdown Mode を有効にすると、ChatGPT は最も高度な機能のいくつかが利用できなくなります。ライブウェブブラウジングはキャッシュされたコンテンツのみに制限されるため、検索結果が古くなっていたり、利用できなかったりする場合があります。Agent mode は完全に無効化され、Deep Research も同様です。ChatGPT はウェブから画像を取得したり表示したりすることはできませんが、ユーザー自身が画像をアップロードしたり、新しい画像を生成したりすることは引き続き可能です。Canvas のネットワーク機能もブロックされ、Canvas で生成されたコードがネットワークにアクセスすることはできなくなります。データ分析用のファイルダウンロードも禁止されますが、モデルは手動でアップロードされたファイルを使用して作業を行うことは可能です。
Lockdown Modeでは、Live web browsing（キャッシュのみ）、Agent mode、Deep Research、Image retrieval from web、Canvas networking、File downloadsが無効になります。
解決策ではなく、実用的な譲歩
OpenAI は、Lockdown Mode が万能薬ではないことを明確にしています。同社は次のように述べています。「Lockdown Mode は、プロンプトインジェクションによるデータ流出のリスクを大幅に低減するように設計されていますが、データ流出が絶対に起こらないことを保証するものではありません。有効化されたアプリ、予測不可能な機能の組み合わせ、または新たに見つかった手法を通じて、リスクが残る可能性があります。」この機能は、決してすべてのユーザー向けに意図されたものではありません。機能の低下を厭わず、より厳格な保護を求める機密データを扱う個人や組織のために設計されています。
提供状況と展開
Lockdown Mode は現在、個人向けの ChatGPT アカウント（Free、Go、Plus、Pro の各ティア）およびセルフサービス型の ChatGPT Business アカウント向けに順次展開されています。ユーザーは、ChatGPT の「設定」>「セキュリティ」からこの機能を有効にできます。以前はこの機能はエンタープライズプランおよびセキュリティ意識の高い一部のユーザーに限定されていました。Lockdown Mode と合わせて、OpenAI は「Active sessions」機能も公開しました。これにより、ユーザーは自分のアカウントがどのデバイスでサインインされているかを確認し、不正なアクティビティを発見した場合にはセッションを終了させることが可能です。
以下のプランで利用可能です：Free、Go、Plus、Pro、およびセルフサーブ型のChatGPT Businessアカウント。
拡大する攻撃対象領域
Lockdown Mode の登場は、AI エージェントに対するプロンプトインジェクション攻撃が懸念される中での出来事です。セキュリティ研究者は、Anthropic、Google、Microsoft のエージェントに対して、GitHub Actions の統合を悪用したハッキングに成功した事例を実証しています。これら3社はいずれもバグ報奨金を支払いましたが、公的な注意喚起は発行していません。根底にある脆弱性は根本的であり、LLM はデータと命令を確実に分離することができないのです。ChatGPT で機密データを扱うすべての人にとって、高度な機能を犠牲にしてセキュリティを強化するというトレードオフは、ますますその価値が高まっています。それ以外のユーザーにとっても、エージェントエコシステムの拡大とそれに伴う攻撃対象領域の増大は、リスクが常に高まり続けていることを意味しています。