OpenAI ChatGPT Lockdown Mode 2026/6/8 GA 完整解析：中小企業老闆 prompt injection 攻防、合約紅線、5 個訊號 + 90 天行動清單

上週我們在自家內部把 ChatGPT Business 升級到 Lockdown Mode 的當天做了一件事：拿一份還沒簽完的客戶合約初稿丟進對話框，請它幫忙抓矛盾條款。原本平常會自動跑 Deep Research 去查業界同類合約做交叉比對，這次直接彈出一行字：在 Lockdown Mode 下這個功能已停用。那一刻我們才真正意識到，這個 6 月 8 日才剛 GA 的功能表面看像一個資安小修補，骨子裡其實是 OpenAI 自己親手寫下的一句承認。

這句承認的原文寫在 OpenAI 6/6 官方公告：Lockdown Mode 採取的是 deterministic 阻斷的設計路線，刻意避開「靠模型自己辨識惡意 prompt」這條無止盡的概率對抗，因為他們自己也知道，這在目前模型能力下做不到。所以乾脆關掉 live web browsing、Deep Research、Agent Mode、Canvas networking、live connectors、檔案下載、回應裡的網路圖片這 7 條對外管道。攻擊者要把資料 exfiltrate 出去，沒有出口就走不了。這套設計邏輯很俐落，但對中小企業老闆而言重點不在功能本身，在於 OpenAI 直接承認了「default ChatGPT 在企業敏感資料情境下不夠安全」。這是過去 18 個月 OpenAI 從未這樣直白說過的話。

這篇文章寫給的對象很明確：你是中小企業老闆，員工 10-200 人，公司正在評估或已經導入 ChatGPT Business / Enterprise 處理客戶資料、合約、報價、客服 SOP；或者你是採購評估者，桌上有一份 ChatGPT 採購合約草稿正在跑簽核。我們把 6/8 這次 GA 對你採購、合約、SOP 的真實影響拆成 5 個訊號、6 條合約紅線、3 個風險邊界、一份 90 天行動清單，文末附可下載的「ChatGPT 企業導入安全採購評估表」。

6 月 8 日這次 GA 到底做了什麼，又沒做什麼

先把事實面釐清。TechCrunch 6/6 的報導與 Help Net Security 6/8 後續追蹤 整理出來的時間軸大致是這樣：Lockdown Mode 其實在 2026 年 2 月就先給 ChatGPT Enterprise 用了，但只限超大型企業客戶；6 月 6 日 OpenAI 公告 rollout，6 月 8 日開始陸續開放給所有個人帳號（Free、Go、Plus、Pro）以及 self-serve Business 方案。換句話說：這次 GA 真正的意義是讓中小企業老闆（自己刷卡買 Business 方案的那群）終於有資格用上同一套保護。

啟用 Lockdown Mode 之後會立刻關閉的功能總共 7 條：live web browsing 只剩 cached 內容能查、image retrieval from web 整個關（圖片仍可生成）、Deep Research（含 shopping research）整個關、Agent Mode 整個關、Canvas networking 整個關、live connectors（連到 Drive / Notion / Slack 那種）整個關、檔案下載整個關。Plus、Pro、Business 用戶可以在帳號層級開關；Enterprise 由 admin 在組織層級設定強制策略。

最關鍵也是 OpenAI 自己寫進限制清單裡的一句話：即使開了 Lockdown Mode，cached web content 或者你上傳的檔案裡若藏了 prompt injection，仍然可能影響回答行為與準確度。換句話說：這個開關的設計目的就是把 attack surface 砍掉 80%，剩下 20% 仍要靠 SOP 與內部訓練去守，它從來不是「開了就萬無一失」的萬靈丹。

我們怎麼解讀這次 GA：這是 OpenAI 自己承認 default ChatGPT 不夠安全

市面上多數媒體把 Lockdown Mode 包裝成「新增的資安進階選項」，這套說法表面上沒錯，但對中小企業老闆很容易被誤導成「我的 Plus / Business 帳號預設就夠用、Lockdown 只是進階玩家在玩的東西」。我們的判斷恰好相反：這個功能存在的本身就是一句承認。

理由是這樣：VentureBeat 12 月那篇深度報導 引用 OpenAI 內部資安主管的話，prompt injection 大概率是「不會被完全解決」的問題；Fortune 同期報導 也提到 OpenAI 預期 AI 瀏覽器類產品的 prompt injection 永遠不會被「全部解掉」。當一家公司公開承認某個漏洞會永久存在，又在 6 個月內推出一個「把所有可能被利用的出口全部關閉」的模式，這代表他們對「default 狀態下這些出口安全」的信心已經低到要靠 deterministic 阻斷來兜底。

把 Deep Research、Agent Mode、Connectors 全關了，這代表 OpenAI 自己也不敢保證這些功能在企業敏感資料情境下對 prompt injection 安全。但 6 月 8 日之前，已經有大量中小企業老闆把 default ChatGPT 拿來跑採購比價、法務合約初審、客戶資料分析、業務報價回覆。這些工作流如果一直沒人想過 prompt injection 風險，現在問題是：這些對話歷史已經存在，未來客戶若要稽核你怎麼處理他們的資料，這段時間的對話紀錄會是一個風險點。

再加上 Cisco State of AI Security 2026 的調查數字：73% 受稽核的生產 AI 部署有 prompt injection 弱點、65.3% 組織完全沒有 dedicated 防禦、indirect prompt injection 已佔 2026 觀察到的攻擊 55% 以上、攻擊成功率落在 50-84%。Google 自家報告 也指出 2025 年 11 月到 2026 年 2 月之間，惡意 prompt injection 嘗試成長 32%。對中小企業老闆來說，這件事已經在發生、只是還沒輪到你。「要不要關心」這個問題其實沒有選擇空間。

中小企業老闆該讀懂的 5 個訊號（從這次 GA 解讀採購方向）

把 6/8 這次 GA 當成單一資安公告看會錯過重點。我們把它拆解成 5 個對中小企業採購決策有實際影響的訊號，每一條都對應一個明確的行動方向。

訊號 1：default ChatGPT 已被 OpenAI 自己分類為「不適合處理高敏感資料」

這次 GA 同時推出「Elevated Risk labels」標籤，會在連接到外部資料或進入 Agent Mode 時提醒使用者。OpenAI 透過這個 UI 動作正式承認：default 狀態下處理敏感資料是有風險的。這件事在過去產品文件裡是隱含的，現在變成 UI 上明確標示。對採購方來說，這代表如果你的客戶資料、未公開財報、合約初稿、員工個資已經被丟進過 default ChatGPT，這段時間的對話歷史就是一個需要被盤點與處置的風險庫存。

訊號 2：cached web content 是新的攻防主戰場

OpenAI 自己揭露：即使開了 Lockdown Mode，cached 內容裡藏的 injection 仍可能影響回答。這意味著未來 6 個月，攻擊者的目標會從「即時注入網頁」轉向「把惡意指令塞進會被 ChatGPT cache 的內容載體」，例如熱門新聞網站的留言區、SEO 內容農場、開源文件的舊版本。對中小企業而言，這代表你不能再用「我們的員工只用 ChatGPT 看自己貼進去的資料」這種理由免責，因為員工問完問題後若叫 ChatGPT 根據既有知識補充，cached 內容就會被讀進來。

訊號 3：採購合約必須增加 model behavior change clause

Lockdown Mode 從 2 月給 Enterprise、6 月才給 Business 與個人，這 4 個月時間差代表 OpenAI 對「企業客戶 vs 中小企業客戶」的待遇有明顯分層。對中小企業採購評估者來說，過去的合約模板只談 SLA 與資料留存政策，但這種「同樣付費，安全功能差別 4 個月以上才開放」的事實，未來會繼續發生。合約必須增加 model behavior change clause，要求廠商在任何安全相關功能調整時，提前 N 天通知並提供完整的差異說明。

訊號 4：員工教育成本要重新編列

Lockdown Mode 是一個帳號層級開關，但要員工真的開、開了之後知道哪些功能不能用、不能用時要走哪個替代流程，這需要一輪內部教育。

回顧我們先前寫過的 Samsung 三起 ChatGPT 洩密事件復盤（#523），Samsung 那種等級的公司都因為員工不知道「貼進去的資料會進訓練集」而出三次事。6/8 之後員工要學的東西更多了：Lockdown 開關、Elevated Risk labels 意義、cached content 風險、上傳檔案的 injection 預警。員工教育成本必須重新編列，年化估算 8-15 萬。

訊號 5：multi-vendor routing 變成資安戰略而不只是議價策略

過去多廠商策略主要是為了壓 ChatGPT 與 Anthropic 之間的價格。6/8 後出現一個新邏輯：高敏感資料只跑 Lockdown 模式或本地化 LLM、一般工作流跑開放 default 模型，這個分層本身就是一條資安縱深。中小企業若 100% 押在 default ChatGPT 上、所有業務一條 pipeline 過去，是把全公司的資料安全綁在單一廠商的單一模式設定。multi-vendor routing 的決策權重要從「成本」往「資安韌性」加碼。

採購合約 6 條紅線：簽 ChatGPT Business / Enterprise 前必看

如果你公司正在跑 ChatGPT 採購流程、或合約是 2026 年初簽的、現在要續約，這 6 條紅線必須當作不能讓步的底線寫進補充條款。每一條的存在原因我們在後面欄位裡用「為什麼這條」做說明，這是用來跟廠商業務溝通時的話術。

這 6 條我們從去年到今年協助過數家中小企業客戶評估 AI 合約的諮詢經驗整理出來。R1 與 R3 是 6/8 GA 之後新增、R2 R4 R5 R6 在 企業 AI 廠商資安紅線指南（#407）裡有更完整的 12 題評估清單。把這兩篇放在一起看，是這次採購重整最完整的合約話術庫。

Lockdown Mode 開了之後 3 個風險仍在的邊界（OpenAI 自己揭露）

這節要把話講得直接：開 Lockdown Mode 不等於沒事。OpenAI 自己公告裡有 3 個明確的殘留風險邊界，採購方一定要寫進員工 SOP，不能假裝 Lockdown 是一個萬靈丹開關。

風險邊界 1：Cached web content 內的 injection

Lockdown 模式只把 live web browsing 改成 cached，但 cached 內容本身若藏了 injection，仍會在回答時被讀進去。攻擊路徑很簡單：攻擊者把惡意指令塞在會被 ChatGPT cache 的網頁裡（例如知名新聞站留言、開源 README、PTT / Reddit 熱門文章），等員工問問題時，模型把 cached 那一段讀進 context，injection 被觸發。

風險邊界 2：上傳檔案內的 injection

員工把 PDF 合約、Excel 報表、Word 客戶名單上傳進 ChatGPT，這是中小企業最常見的工作流。但這些檔案若來自第三方（客戶寄來、業者提供），檔案內可能被刻意嵌入 prompt injection（白底白字、文件 metadata、PDF 註解都可以藏）。Lockdown Mode 不掃這層風險。

風險邊界 3：對話準確度仍可能被影響

OpenAI 的原文用詞是「could still affect the behavior or accuracy of a response」，意思是即使資料不被偷走，模型給出的答案本身可能已經被汙染。對中小企業而言，這代表用 ChatGPT 跑出來的合約初審、報價建議、客戶分類，本身就可能是被誤導的結果。這比資料洩漏更難察覺，因為老闆看到的是一份「看起來合理」的輸出。

90 天行動清單：從盤點到稽核的 5 段 SOP

把上面 5 個訊號、6 條合約紅線、3 個風險邊界整合進一張可執行清單。這 90 天分成 5 段，每段都有產出物，可以拿來向董事會或審計回報進度。

這 90 天的真實重點在 S1 與 S3：盤點階段最容易被低估的是「散落在各部門 Notion / Slack 對話裡的零星敏感資料」，這些不會出現在資安部門的視野內，但都是 risk surface。S3 的合約重審本質上是一場老闆親自下場的廠商業務交鋒，技術細節反而是其次。廠商業務的標準話術會是「Business 方案已內建 Lockdown，您不用擔心」，但實際上 R1 安全功能差異揭露、R2 cached content 處置都不在標準合約裡，需要爭取補充條款。

業界視角：客製化 LLM 整合 + 企業 AI 合規諮詢能補上哪一塊

這節要把話說清楚：恆遠的本業是客製化系統開發與 AI 系統整合，企業資安顧問這塊有更專業的同業在做。Lockdown Mode 這類事件對應到我們服務範圍的部分，是「如何把 ChatGPT / Claude API 接進你既有的企業系統時，在系統架構層處理掉 cached content 與上傳檔案的風險」。這本質上是一個整合架構問題，廠商選型只是其中一層。

舉例來說，業界目前一個正在成形的設計 pattern 是「企業 AI gateway」：所有員工的 ChatGPT 對話經過公司自架的 proxy 層，這層做三件事：

1. 對話紀錄與上傳檔案的內部 audit log（不依賴 OpenAI 提供）

2. 上傳檔案在進入 ChatGPT 前先做 injection 掃描與內容遮罩

3. 高敏感對話自動 routing 到本地化 LLM（如自家部署的 Llama / Mistral），不出公司網路

這類整合在我們的 AI 系統開發服務 範圍內是常見的需求情境。想討論「如何把 Lockdown Mode 的限制延伸到你的整體 ChatGPT 整合架構」放到你的系統怎麼長，聊聊現在的實際情況，我們會用業界已知的設計 pattern 跟你討論可行的方向。

誠實一點講：完整的企業 AI 資安諮詢、滲透測試、員工教育課程這類「AI 安全顧問」服務，不在我們的服務範圍，這塊建議找專業的資安顧問公司。我們能補上的位置在系統整合層，是工程師視角的 AI gateway 與 audit log 架構。

中小企業老闆最常踩到的 4 個地雷

1. 把 Lockdown Mode 當成「一勞永逸的開關」，忘了 cached content 與上傳檔案的殘留風險仍在，員工 SOP 缺一塊

2. 只啟用部分部門、其他部門照舊跑 default，這在客戶資料同步、跨部門協作時會出現混雜風險，整體安全等同最弱的一條

3. 合約照原樣續簽，沒爭取 R1 R3 紅線，一旦 OpenAI 下次推新功能又分層、Business 又比 Enterprise 晚 4 個月，採購方完全沒有議價籌碼

4. 員工訓練只講「不要貼公司資料」這種空話，沒講清楚 Lockdown 開關位置、cached content 是什麼、上傳檔案前該檢查什麼，結果員工照常踩坑

我們公司自己每天就在跑 20+ 個 AI 流程：踩過的 3 個真實狀況

順帶說一下，這篇講的方法我們公司自己每天都在跑：目前內部有 20+ 個 AI 工作流（含 Claude Code、ChatGPT Team、N8N + Claude API、自架 RAG），所以下面這 3 個狀況都是我們最近 60 天親身遇過的：第一是「員工把客戶 PDF 拖進 ChatGPT 整理摘要，但 PDF 是客戶從外部下載再轉交，原檔已被 inject 過」，我們的 SOP 改成所有外部來源 PDF 要先轉純文字、肉眼掃一輪再餵；第二是「Deep Research 自動跑業界對手資訊，但結果被某個排名前面的 SEO 內容農場 inject 了反向結論」，後來改成 Deep Research 結果一律要有第二位同事覆核才能進報告；第三是「Connectors 接 Notion 跑專案總結，發現有歷史頁面被舊 prompt 觸發出非預期行為」，已關掉所有 connectors，回到手動貼資料的工作流。

這 3 個狀況看似平常，全都是一般正常工作流就會撞到的事，攻擊本身的技術門檻並不高。Lockdown Mode 對第二與第三個情境直接有效（Deep Research 與 Connectors 整個關），對第一個情境只能靠 SOP 兜住。這也是為什麼我們強調員工教育不能省。

配套下載：ChatGPT 企業導入安全採購評估表

立即行動：把這次 GA 當成 AI 採購重整的觸發點

如果你公司目前有用 ChatGPT Business / Enterprise、或正在評估導入、或合約 Q3 要續簽，6/8 這次 GA 是一個天然的觸發點，剛好可以把採購重整、合約補充、員工 SOP 升級三件事打包進同一輪行動。

更深一層的「我們公司想完全把 AI 整合架構（含 ChatGPT、Claude、本地化 LLM 的混合 routing）建在自己控制的系統上」，這類整合在我們的 AI 系統開發服務 範圍內是常見場景。可以把現況丟過來，我們陪你看一下從哪一塊開始最划算。這個階段我們陪你想，後面真的要動手再談範圍跟費用。

如果想延伸閱讀同主題系列，Samsung 三起 ChatGPT 洩密事件復盤（#523）會給你企業實際出事時的全貌；OpenAI Frontier Governance 採購合約檢核點（#630）是更完整的合約面對策；企業 AI 廠商資安紅線指南（#407）是 prompt injection 防禦框架的完整 12 題評估清單。