公開日:
ChatGPTに仕事のメールや顧客リストを貼って作業している人へ。
その情報を狙う攻撃が実際に起きていて、6月4日から無料でも使える防御スイッチが来ました。
名前はLockdown Mode。
仕事の機密を扱う数分だけオンにして、終わったらオフに戻す保険みたいな設定です。
ただ全員には要りません。
雑談やブログのネタ出しにしか使わない人には、むしろ不便なだけ。
この記事はChatGPTに仕事の情報を貼って使っている非エンジニアの人向け（専門知識なしで読めます）。
Lockdown Modeって、結局なんのスイッチ？
ひとことで言うと、ChatGPTの「外とつながる機能」をまとめて止めるスイッチです。
OpenAIは公式ブログで、これを「機密情報やつながった機能を扱うとき、より安全寄りのChatGPT体験を望む人やチーム向けのオプション設定」と書いています（出典: OpenAI公式ブログ）。
大事なのは「オプション」という言葉。
デフォルトでは付いてないし、全員に推してもいません。
むしろ公式は"not intended for everyone"（全員向けではない）とはっきり言っています（出典: Engadget）。
私が面白いと思ったのはこの突き放し方です。
普通こういう新機能って「全員オンにしましょう」と煽るのに、OpenAI自身が「機密データを扱う人だけ」と対象を絞ってる。
無料で来た新しい防御。
でも使い道は限定されてる。
そういう設定だと考えてください。
なぜ今このスイッチが効くの？仕事情報を狙う攻撃が実在するから
ここが一番の本題です。なぜ無料開放のニュースに私が注目したか。
ChatGPTに仕事のメールや資料を貼る人を狙う攻撃が、実際に確認されているからです。
セキュリティ会社Radwareが報告した「ZombieAgent」という攻撃がわかりやすい例。
流れはこうです。
- 攻撃者が、悪意ある指示を仕込んだメールを送る
- 受け取った人が「このメール周りの作業、ChatGPTに頼もう」とお願いする
- ChatGPTがメールを読んだ瞬間、仕込まれた指示も一緒に実行してしまう
- 受信箱やドライブのデータが、文字単位で外部に送り出される
狙われたのはGmail・Outlook・Google Drive・GitHubのファイル。
しかもユーザーが何もクリックしなくても成立する「ゼロクリック型」も実証されています（出典: Infosecurity Magazine）。
これ、けっこう怖い。
発見した研究者は「一度侵入されると連続流出が続く。
ChatGPTとユーザーの会話がすべて外に出続ける」と説明しています。
この攻撃は2025年12月にOpenAIがパッチ済みですが、似た手法は次々生まれています。
別の研究では、Check Point ResearchがDNSという通信経路を使って機密情報をこっそり送り出す手口も実証しました（PoC段階、悪用実例は未確認。
出典: PointGuard AI）。
つまり「1個塞いだら終わり」ではなく、攻撃は形を変えて出てくる。
だからこそ、流出の出口をまとめて閉じるLockdown Modeに意味が出てくるわけです。
Lockdown Modeをオンにすると、何が止まって何が残る？
ここを正確に知らないと、いざ押したとき「なんで動かないの」と慌てます。
止まるのはChatGPT本体の外部接続系。
残るのは手元で完結する作業系。
線引きはこうです。
| 止まる機能（オン中は使えない） | 残る機能（オン中も使える） |
|---|---|
| Deep Research | 普通のテキストチャット |
| Agentモード | 画像生成 |
| ライブWebブラウジング（キャッシュは可） | 手元からアップロードしたファイルの読み込み |
| ファイルのダウンロード | メモリ機能 |
| Web由来の画像の取得・表示 | 会話の共有 |
| ライブコネクタ（外部サービス連携） | — |
| Canvasが外部ネットワークにつなぐ動き | — |
止まる機能は全部で7種類。出典はNeowinと公式ヘルプのキャッシュ情報です。
OpenAI公式はこう明言しています。
「Lockdown Modeはメモリ、ファイルのアップロード、会話の共有機能を変更しない」（出典: Engadget）。
個人的にここは安心材料。
手でアップした資料を読ませて要約させる、みたいな基本作業は止まらない。
逆に言うと、ChatGPTの売りである「自動でネットを調べてくる」系は全滅します。
だから常時オンは現実的じゃない。
1つ注意点。
OpenAIのコーディングAI「Codex」はこのモードの対象外です。
Hacker Newsでも「Codexは適用外で外への経路が開いたまま」と抜け穴として指摘されています（出典: Hacker News）。
Codexを使うときは別の話だと覚えておいてください。
勘違い注意：これは「攻撃を防ぐ」設定じゃない
ここを外すと記事ごと信用を失うので、はっきり書きます。
Lockdown Modeは、プロンプトインジェクションそのものを止めません。
止めるのは「盗んだデータを外へ送り出す出口」のほうです。
OpenAI公式はこう書いています。
「Lockdown ModeはChatGPTが処理する内容にプロンプトインジェクションが現れることを防がない。
たとえばアップロードされたファイルに仕込まれた悪意ある指示は、ChatGPTの挙動や回答の正確さに影響しうる」（出典: セキュリティ研究者の解説）。
そして保証範囲も限定的。
公式は「データ流出のリスクを大幅に減らすよう設計されているが、流出が起きないことを保証するものではない」と明言しています。
金庫にたとえると分かりやすい。
泥棒が部屋に入ってくること自体（＝注入）は防がない。
でも、盗んだものを外へ運び出す扉（＝流出経路）を閉める。
そういう設計です。
著名なセキュリティ研究者は、この狙いを「really good（とても良い）」と評価しています。
理由は、AIに判断を委ねず「決定論的で、AI自身に裏切られない仕組み」で出口を塞いでいるから（出典: simonwillison.net）。
一方でHacker Newsでは厳しい声も。
「Lockdown Modeが存在すること自体、デフォルトのChatGPTが本気の流出攻撃に強くない証拠だ」という指摘が上がっています（出典: Hacker News）。
私の見方では、両方とも正しい。
出口を塞ぐのは賢い。
でも入口は開いたまま、という前提を忘れた瞬間に過信が始まります。
同時に出た「Elevated Risk labels」とは何が違う？
ニュースを追ってると、Lockdown Modeと一緒に「Elevated Risk labels」という言葉も出てきます。
混同しやすいので1段落で整理します。
違いは「止めるか、教えるか」。
| 項目 | Lockdown Mode | Elevated Risk labels |
|---|---|---|
| やること | 機能を物理的に止める | リスクを警告ラベルで知らせる |
| 判断の主体 | 事前にまとめて遮断 | 使うかどうかは利用者に委ねる |
| 対象 | ChatGPT本体 | ChatGPT・Atlas・Codex共通 |
Help Net Securityは、前者を「能動的に機能を制限する設定」、後者を「製品内で使う側に知らせる警告」と対比しています（出典: Help Net Security）。
ざっくり言えば、片方は扉を閉める、もう片方は「この扉、開けると危ないよ」と貼り紙する。
役割が違う2つの防御です。
結局、誰がオンにすべき?私の運用提案
ここが本題です。全員オンでも全員オフでもない。
私の考えはシンプルで、「機密を扱う数分だけオン、終わったらオフ」の作業単位スイッチとして使うのが正解だと思います。
常時オンを勧めない理由は明確。
ChatGPTの売りであるWeb検索や自動調査が全部死ぬからです。
不便すぎてすぐオフに戻したくなる。
逆に、雑談・ブログのネタ出し・一般的な調べ物にしか使わない人。
この層にはそもそも要りません。
守る機密がないからです。
では、どういう人がオンにする価値があるか。判断の目安を表にしました。
| あなたの使い方 | Lockdown Modeの要否 |
|---|---|
| 顧客の個人情報・社外秘を貼って作業する | その作業の間だけオン推奨 |
| 受け取ったメールやPDFをそのまま読ませる | 送り主が不明なら作業中オン推奨 |
| ブログのネタ出し・文章の言い換え | 不要（オフのままでOK） |
| 最新情報を調べたい・自動で調査させたい | オフ（オンだと調査系が止まる） |
外部メディアもこの「絞り込み」を支持しています。
OpenAI自身が「機密データを扱う人や組織で、より厳格な保護を望む向け」と対象を限定しているからです（出典: Engadget）。
個人的には、これを「金庫の扉」だと思って運用するのがしっくりきます。
貴重品を出し入れする数分だけ閉める。
普段は開けておく。
ずっと閉めてたら生活できない。
Lockdown Modeをオン・オフする手順
使い分け運用を提案したので、実際に押す手順も渡します。
追加料金はゼロ、3ステップで終わります。
OpenAI公式ヘルプが示している操作はこうです（出典: OpenAI公式ヘルプ）。
- ChatGPTの「Settings（設定）」を開く
- 「Safety and security（安全性とセキュリティ）」→「Advanced security（高度なセキュリティ）」へ進む
- 「Lockdown mode」のトグルをオンにする
解除も同じ場所でトグルをオフにするだけ。作業が終わったら戻すのを忘れずに。
1つ前提条件。
6月4日からの展開は「順次」なので、まだ手元の画面にトグルが出ていない場合があります。
数日から数週間のラグがあると報じられているので、見当たらなければ少し待ってください。
対象はFree・Go・Plus・Proの全プランと、セルフサーブのBusinessアカウント。
Enterprise向けの初出が2月13日だったので、個人に降りてくるまで約3ヶ月半かかった計算です。
よくある質問
Lockdown Modeをオンにすれば、もうハッキングされませんか？
いいえ。
これは攻撃そのものを防ぐ設定ではありません。
盗まれたデータが外へ送り出される経路を塞ぐだけです。
OpenAI公式も「流出が起きないことを保証するものではない」と明言しています。
過信は禁物です。
追加料金はかかりますか？
かかりません。
Free・Go・Plus・Pro全プランで無料です。
2026年6月4日から順次、個人アカウントにも展開されています。
ずっとオンにしておくべきですか？
私はおすすめしません。
オン中はWeb検索やDeep Research、Agentモードなど外部接続系が全部止まります。
機密を扱う作業の数分だけオンにして、終わったらオフに戻す使い方が現実的です。
普段の文章作成しか使わない場合も必要ですか？
必要ありません。
守るべき機密情報を貼らないなら、このモードは不便になるだけです。
OpenAI自身も「全員向けではない」と案内しています。
オンにすると、アップロードした資料は読めなくなりますか？
読めます。
手動でアップロードしたファイルの読み込み、テキストチャット、画像生成、メモリ機能は止まりません。
止まるのは外部とライブでつながる機能だけです。
このページに出てきた言葉
- Lockdown Mode
- ChatGPTの外部接続系の機能をまとめて止める手動スイッチ。流出経路を塞ぐ保険
- プロンプトインジェクション
- メールやWebに隠した命令文でChatGPTを乗っ取る攻撃
- データ流出
- 機密情報が本人の知らないうちに外部へ持ち出されること
- ゼロクリック型
- ユーザーが何も操作しなくても成立してしまう攻撃
- Deep Research
- ChatGPTが自動で何度もWebを調べて長いレポートを作る機能
- Agentモード
- ChatGPTが人の代わりに自動でWeb操作する機能
- コネクタ
- ChatGPTを外部サービスとつなぐ連携機能
- Elevated Risk labels
- 危険な機能を止めずに警告ラベルで知らせる仕組み
- Codex
- OpenAIのプログラミング用AI。Lockdown Modeの対象外
- PoC（概念実証）
- 攻撃が理論上できることを研究者が実際に動かして証明した段階
参考リンク
- OpenAI公式ブログ（Lockdown Mode + Elevated Risk labels発表）
- OpenAI公式ヘルプ（Lockdown Mode）
- Engadget（個人向け開放報道）
- Neowin（機能詳細）
- セキュリティ研究者の解説
- Hacker News（批判・抜け穴の議論）
- Help Net Security（Lockdown Mode vs Elevated Risk labels）
- Infosecurity Magazine（ZombieAgent事件）
- PointGuard AI（DNS流出実証）
※この記事の内容は執筆時点のものです。AIは進化が速い分野のため、最新の仕様は公式サイトでご確認ください。