新機能「ChatGPTロックダウンモード」、プロンプトインジェクションとデータ漏洩攻撃のブロックを目指す

OpenAIは今週、ChatGPTにセキュリティ重視の設定「ロックダウンモード」を導入しました。プロンプトインジェクション攻撃によるデータ漏洩リスクを軽減することを目的としています。

この機能は、対象となる個人アカウント（Free、Go、Plus、Pro）およびセルフサービスのChatGPT Businessワークスペースに順次展開されており、マネージドワークスペースの管理者はメンバーにロックダウンモードのロールを割り当てることができます。

プロンプトインジェクションは増大する脅威であり、攻撃者がユーザー入力、アップロードファイル、またはキャッシュされたウェブコンテンツに悪意ある指示を注入し、モデルに機密データを漏洩・送信させようとするものです。

ロックダウンモードは、悪意あるプロンプトの出現を防ぐものではありません。しかし、攻撃者がデータをプラットフォーム外に移動させる際に必要となる最終ステップ、すなわちモデルが利用できるツールセットを制限します。

ChatGPTロックダウンモード

ロックダウンモードは、製品・モデル・システムの各レイヤーにわたって制限を適用し、既存のサンドボックスやURLプロテクションを拡張しながら、外部ネットワーク通信に対するより厳格な制御を加えます。

有効にすると、ChatGPTはリアルタイムの外部ネットワークリクエストを生成したり書き込みアクションを実行したりする機能を無効化または制限します。無効化・制限される主な機能としては、リアルタイムのウェブ閲覧（キャッシュされたコンテンツのみ利用可能で、検索結果が古くなる場合があります）、ウェブからの画像取得・表示（ユーザーによる画像アップロードは引き続き可能）、詳細調査機能（ディープリサーチ）とエージェントモード、Canvasで生成したコードのネットワーク承認、データ分析のための自動ファイルダウンロード（手動アップロードは引き続き使用可能）などが挙げられます。

これらの制限の目的は、プロンプトインジェクションがモデルの動作を変更することに成功した場合でも、漏洩チャネルをブロックすることにあります。

アプリとコネクターの動作は、アカウントの種類やワークスペースの設定によって異なります。個人アカウントおよびセルフサービスのビジネスアカウントでは、ロックダウンモードは同期コネクターへの読み取りアクセスを許可しつつ、リアルタイムのコネクターアクセスとコネクターへの書き込みアクションをブロックします。また、ファイナンスやショッピングエージェントなど一部の連携機能は利用できなくなります。

マネージドワークスペースでは、管理者は細かい制御を維持できます。ロックダウンモードは、すべてのアプリ・コネクター・アクションを自動的に無効にするわけではありません。

ワークスペース管理者は、ロール・アプリの割り当て・必要な読み取り/書き込みアクションを見直す必要があります。メンバーがアプリを使用できない場合、その原因としてロールによる機能制限、アプリが割り当てられていないこと、または基盤となるソースシステムへのアクセス権がないことが考えられます。なお、ChatGPTのアプリアクセスは、連携先のソースシステム側のアクセス許可設定を上書きするものではありません。

OpenAIは管理者向けのリスクガイダンスを提供しています。ロックダウンモードを使用するメンバー向けのアプリ設定を行う際に参照できます。高リスク項目には、信頼されていないアプリに対する読み取り・書き込みアクション、および公開範囲が広いまたは不明確な信頼済みアプリに対する書き込みアクションが含まれており、これらは推奨されません。

中リスク項目には、同期コネクターおよび信頼済みアプリに対する読み取りアクションが含まれます。これらは新たなネットワークリクエストを生成しないため比較的リスクは低いですが、それでも機密データの漏洩源となり得ます。管理者は、副作用が信頼できる人物のみに見える状態であると確信できない限り、書き込みアクションの有効化は避けるべきです。

管理の透明性を確保するために、管理者はロールベースアクセス制御（RBAC）、アプリの許可リスト、監査ログ、およびCompliance API Logs Platformを活用して、アプリの使用状況・共有データ・連携ソースを詳細に把握することができます。

ロックダウンモードにはトレードオフが伴います。機能性と利便性が低下するため、機密データを扱い、強化された保護と引き換えに一部機能の制限を受け入れられるユーザーや組織を対象としています。万能な解決策ではなく、処理中のコンテンツ内のプロンプトインジェクションリスクを完全に排除するものではなく、Codexのネットワークアクセスにも影響しません。

それでも、外部リクエストと書き込みアクションを制限することで、ロックダウンモードは漏洩経路を減らす実践的な緩和策となります。組織は、プロンプトインジェクションが情報漏洩インシデントへとエスカレートするリスクを低減するため、アプリのガバナンス・RBAC・ログ管理と組み合わせてロックダウンモードの有効化を検討することをお勧めします。