對於許多剛接觸 AI 應用的工程師來說，我們習慣將 LLM（大型語言模型）視為一個強大的工具，但從安全工程的角度來看，LLM 的輸入端其實是一個巨大的攻擊面。最近 OpenAI 推出的 Lockdown Mode（鎖定模式），正是為了應對一個在 AI 安全領域極具挑戰性的問題：Prompt Injection（提示詞注入攻擊）。
首先我們需要理解什麼是 Prompt Injection。簡單來說，這是一種攻擊手段，攻擊者透過在輸入內容中植入惡意指令（例如在一個上傳的 PDF 檔案或網頁內容中隱藏指令），欺騙模型忽略原本的系統設定，轉而執行攻擊者的指令。如果模型具有存取外部網路的能力，攻擊者就可以利用這種漏洞實施 Data Exfiltration（資料外洩），將使用者的敏感資訊或對話紀錄偷偷傳送到攻擊者控制的伺服器。
Lockdown Mode 的核心邏輯並非試圖完全杜絕 Prompt Injection 的發生，因為目前 LLM 的架構特性使得完全防止注入幾乎是不可能的。相反地，OpenAI 採取的是一種縮小攻擊面（Attack Surface Reduction）的策略。既然無法阻止模型被欺騙，那就直接切斷模型將資料傳出去的通道。
具體而言，當開啟鎖定模式後，系統會大幅限制模型與外部世界的互動。例如，Live Web Browsing（即時網頁瀏覽）將被限制為僅能存取快取內容，而不能隨意發起新的網路請求。同時，Image Support（影像支援）、Deep Research（深度研究）、Agent Mode（代理模式）以及 Canvas 的網路存取權限都會被禁用。甚至連 File Downloads（檔案下載）這類用於資料分析的功能也會被封鎖。
這種做法在工程實務上是一種權衡（Trade-off）。為了獲得更高的安全性，使用者必須犧牲掉 AI 最強大的部分功能。這就像是在高安全性環境中禁用 USB 接口一樣，雖然不方便，但能有效防止資料被非法移出。
然而，工程師在部署或建議他人使用此模式時，必須意識到，Lockdown Mode 並非萬能的銀彈。它解決的是資料外洩的通道問題，但無法解決模型行為被操縱的問題。例如，如果一個上傳的文件中含有惡意指令，即便開啟了鎖定模式，模型仍然可能被誘導而給出錯誤或具誤導性的答案，只是攻擊者無法透過網路將結果傳回自己的伺服器而已。
此外，這個模式與 Developer Mode（開發者模式）互斥，這意味著在追求極限安全與追求高度可客製化開發之間，你只能選擇其一。
總結來說，Lockdown Mode 為處理敏感資料的組織提供了一層必要的防護層。它透過強化 Sandboxing（沙箱機制，將程式執行環境隔離以防止影響系統其他部分）與限制出站請求，將 Prompt Injection 的風險從資料外洩降低到僅剩行為操縱。對於開發 AI 應用的人員來說，這提醒我們在設計系統時，應始終遵循最小權限原則，不要給予 LLM 超出其必要需求的網路存取權限。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。