摘要： OpenAI於2026年2月16日在ChatGPT上線Lockdown Mode與Elevated Risk標示，用來抵禦prompt injection和資料外洩攻擊。前者在風險升高時約束可能造成傷害的行為，後者主動提醒使用者，兩者構成偵測在前、設限在後的防禦。平台層級的預設防護也讓企業買家更可能把這類能力視為AI助理的基本要求。
2026 年 2 月 16 日，OpenAI 在 ChatGPT 上線兩項安全機制：Lockdown Mode 與 Elevated Risk 標示，用來抵禦 prompt injection 與資料外洩（data-exfiltration）攻擊。OpenAI 說明中心的文件與 Help Net Security 的報導，背後描述的是同一套威脅模型。
雙層防禦背後的設計邏輯
兩個功能的名字就說明了各自的角色。Elevated Risk 負責「讓使用者看見」：情境風險升高時主動示警；Lockdown Mode 負責「設下圍欄」：進入高風險狀態時約束可能釀成傷害的行為。偵測在前、設限在後，這套縱深防禦的經典打法，如今成為產品原生的一部分：官方文件載明，並隨每次版本更新一同交付。
為何聚焦 prompt injection
在 agent 時代，prompt injection 屬於結構層級的威脅：model 一旦被派去瀏覽網頁、接收文件、銜接資料來源，任何外部內容都可能淪為夾帶指令的載體——攻擊者根本無需觸及你的帳號，只要一段惡意文字能被模型讀到就夠了。注入得手後，最常見的下一步就是把資料往外送，這正是 injection 與 data exfiltration 會被放進同一個防禦框架的原因。
ChatGPT 的體量讓這件事超出純技術範疇。防禦一部署，安全基線便同時覆蓋整個使用者群——這種平台級預設的影響力，遠非任何單一企業自建的防護所能比擬。再往下還有第二層效應：平台率先行動，等於重寫了「合理」的判準。當廣大使用者逐漸習慣在 ChatGPT 裡看到風險標示，企業買家很快就會帶著同樣的問題去質問每一家助理供應商——功能先轉為期待，再變成採購清單上的必選項。
自建 agent 團隊該怎麼跟上
防禦在 OpenAI 手上已經成為產品功能，自行打造 agent 的團隊沒有理由繼續落後：
- 任何外部內容都應視為不可信輸入，而非單純的資料
- 針對高風險行為——對外傳輸、寫入檔案、執行指令——建立明確的確認機制或限制層
- 持續追蹤平台級防禦的演進並納入自身威脅模型，而非預設「model 供應商會處理」
回頭看二月這場 agent 能力競賽——agent teams、long-horizon 任務、邊緣部署——每一項進展都在把攻擊面撐得更大。Lockdown Mode 選在此時登場，提醒了我們：能力每往前推一步，風險就跟著墊高一階，防禦的腳步不能慢於發布的腳步。