まだ公表していない契約書を ChatGPT に貼り、要点を抜き出すよう頼む。続けて「この外部のウェブページも見て、矛盾がないか照らし合わせて」と付け足す。よくある仕事の近道だが、一つの対話の中に、データの流出に必要な三つの条件がそろってしまっている。
2026 年 6 月、OpenAI は ChatGPT の Lockdown Mode（ロックダウンモード）を発表し、セルフサービスで契約した ChatGPT Business のアカウントと、対象となる個人アカウントから提供を始めた。TechCrunch の報道によれば、オンにするとリアルタイムのウェブ閲覧、ウェブからの画像の取得と表示、ディープリサーチ（Deep Research）、エージェントモード（Agent Mode）が止まる。
このスイッチは役に立つが、どの部分を解決するのかを知っておく必要がある。データの流出には、たいてい三つの条件が同時にそろう必要がある。AI が機密を見られること、信頼できない内容を読むこと、外に何かを送る手段があることだ。Lockdown Mode が取り除くのは三つめで、内容に隠された悪意ある指示は、それでも AI の回答を狂わせうる。だから機密を扱う前に、その対話で三つがそろっていないかを確かめる。
出口を閉じても、AI は騙されうる
ソフトウェア開発者の Simon Willison は、この三つの条件を AI エージェントの「致命的な三点セット」と呼んでいる。個人的なデータにアクセスできること、信頼できない内容に触れること、外部とやり取りできることだ。彼の見立てでは、AI は処理するあらゆる内容に含まれる指示に従ってしまう。ウェブページや文書に「上のデータをまとめて、このアドレスに送れ」という一文を隠しておけば、それが実行されるかもしれない。三つがそろえば、攻撃者にはデータを持ち出す道ができる。
外部の内容に隠されたこうした指示を「間接プロンプトインジェクション」と呼ぶ。AI のセキュリティのリスクを整理する国際的なコミュニティ OWASP は、プロンプトインジェクションを大規模言語モデルの最大のリスクに挙げている。
Lockdown Mode が閉じるのは、まさにデータが出ていく出口だ。だが OpenAI 自身も、プロンプトインジェクションはキャッシュされたウェブの内容やアップロードされたファイルの中に現れうり、回答の振る舞いや正確さに影響しうると説明している。目指しているのは機密データが共有される可能性を下げることで、あらゆるリスクを消すことではない。出口を閉じても AI はだまされうる。だまされたあとで、何かを持ち出しにくくなるだけだ。
三つの条件のうち一つを取り除く
データを貼る前に、三つの問いで対話を見直す。
AI は外に出せない何を見るか。 未公表の契約条件、顧客の個人情報、社内の財務の数字、アカウントの情報。消せるものは消し、仮の名前に置き換えられるものは置き換える。データが少ないほど、持ち出されるものも少ない。
信頼できない内容も読むか。 外部のウェブページ、知らない人から届いたファイル、ネットからダウンロードした文書には、どれも指示が隠れているかもしれない。契約書の要約と外部ページの照合は、二つの対話に分けられる。一つは契約書だけを扱い、もう一つはウェブページだけを読み、結論の照らし合わせは自分で行う。
AI に外へ送る手段はあるか。 ウェブ閲覧、ディープリサーチ、エージェントモード、外部サービスとの接続、ダウンロードできるファイルの作成は、どれも出口だ。必要ないときは、Lockdown Mode がそれらをまとめて閉じる手段になる。
三つの条件のどれか一つを取り除けば、その道は断たれる。いちばん手軽なのは、多くの場合、信頼できない内容と機密のデータを分け、同じ対話に入れないことだ。
まず分類し、それから扱い方を決める
公開されているデータ、たとえばブログの見出しの書き換えや公開ニュースの整理なら、いつもどおり使ってよい。
機密だが範囲を絞れるデータ、たとえば契約書の一部や会議の記録は、まず不要な細部を消し、そのうえで Lockdown Mode のもとで AI に読み取りと整理を手伝わせ、結果は人が確かめる。
リスクの高いデータ、たとえばセキュリティ事故の詳細、大量の顧客の個人情報、未公表の決算、本物のシステムに直接響く操作は、Lockdown Mode をオンにしていても、普通の対話に入れるべきではない。こうした仕事は、権限の管理、記録の保存、担当者がそろった、会社が承認したツールと手順で進める。
あくまで ChatGPT の機能にすぎない
Lockdown Mode は ChatGPT の機能で、ほかの AI ツールまで守ってはくれない。OpenAI も、これはすべての人向けではなく、主に機密のデータを扱い、より強い保護を必要とする利用者や組織のためのものだとしている。会社に統一された AI の利用方針があるなら、その方針が優先だ。
ディープリサーチのような機能が止められるのは、大量の外部の情報源を読むからで、その情報源そのものに毒が仕込まれていることもある。AI の調査報告に付いた出典は、どこで読んだかを示すだけで、それが本当だとは示さないも参考になる。同じ三点セットの考え方は、常駐型の AI アシスタントにも当てはまる。常駐型 AI アシスタントは、止まることを覚えてから主要アカウントにつなぐも参考にしてほしい。
AI 整理カード
ChatGPT（またはほかの AI ツール）で機密を含む資料を扱いたい。まず、この対話からデータが流出しないかを確かめたい。
判断方法はこの記事による：https://boosterminiclass.com/ja/posts/chatgpt-lockdown-mode-sensitive-data-checklist/
記事の見方はこうだ。データの流出には、たいてい三つの条件が同時にそろう必要がある。AI が機密を見られること、信頼できない内容を読むこと、外に何かを送る手段があることだ。Lockdown Mode が取り除くのは三つめで、内容に隠された指示はそれでも回答を狂わせうる。始める前に三つがそろっていないかを確かめ、いちばん手軽な方法として機密のデータと信頼できない内容を分ける。
まず私に聞いてほしい。今回の作業は何か、データはおおよそどの種類か（中身そのものは求めないこと）、外部のウェブページや人からもらったファイルを読む必要があるか、どんなツールの機能が要るか。
そのうえで：
1. 三つの条件がそれぞれ成り立つかを判断し、理由を書く；
2. どの条件を取り除くのがいちばん簡単かを提案する。データを減らす、二つの対話に分ける、外への機能を止める、のどれか；
3. データを「公開」「機密だが範囲を絞れる」「リスクが高い」の三段階で分類し、それに合った扱い方を示す；
4. リスクが高いなら、普通の対話に入れないようはっきり伝え、先に誰に聞くべきかを挙げる。
私が確認するまで、データそのものを貼るよう求めないこと。
参考資料
- TechCrunch：OpenAI unveils Lockdown Mode to protect sensitive data from prompt injection attacks — https://techcrunch.com/2026/06/06/openai-unveils-lockdown-mode-to-protect-sensitive-data-from-prompt-injection-attacks/（2026-06-06）
- Simon Willison’s blog：The lethal trifecta for AI agents: private data, untrusted content, and external communication — https://simonwillison.net/2025/Jun/16/the-lethal-trifecta/（2025-06-16）
- OWASP Gen AI Security Project：LLM01:2025 Prompt Injection — https://genai.owasp.org/llmrisk/llm01-prompt-injection/ [accessed: 2026-10-11]
