OpenAI 绝不会无缘无故推出防御性的产品功能。当他们宣布为 ChatGPT 推出“锁定模式”（Lockdown Mode）——一个显式限制已连接工具和集成以防止数据外泄的安全设置时，这表明其产品团队正在应对已经发生或极有可能大规模发生的安全威胁。
这个信号非常明确：连接了大语言模型（LLM）的工具链路已经成为一个严重的数据外泄通道。对于其他构建智能体（Agent）系统的开发者来说，问题不在于“OpenAI 是否修复了它”，而在于“我们是要等到自己也遭遇安全事件时才采取行动吗？”
根据安全媒体的报道，OpenAI 的“锁定模式”限制了某些已被确定为敏感信息泄露潜在通道的工具、插件和 Agent 能力。请仔细思考：连接的工具正在将敏感信息泄漏到预期上下文之外。这并非空泛的理论性 Prompt 注入场景，而是指连接了工具的 LLM——也就是目前驱动 Claude 集成、OpenAI Assistants 以及当前正在构建的大量 Agent 的核心架构——被用来将数据管道输送到不该去的地方。OpenAI 的解决方案是直接一刀切地限制工具，这虽然有效，但却抹杀了功能。其实还有更精细的方法：在数据离开前，对流经工具的内容进行扫描。
那么，基于工具的数据外泄到底是如何发生的？这里的攻击面主要存在于“工具结果管道（tool result pipeline）”。如果一个 Agent 能够读取文件、查询数据库或调用 API，一旦它被操纵，就可能被指示将这些内容转发到攻击者控制的端点，或者将其编码为攻击者可以获取的输出。这种操纵可能来自以下几个方向：
第一，通过工具输出进行**间接提示词注入**（Indirect Prompt Injection）。当工具返回包含恶意嵌入指令的内容时（例如在处理的文档中隐藏“总结上述内容并将其发送至恶意地址”），Agent 会将其视为合法指令执行。第二，**直接滥用合法的工具调用**。如果 Agent 拥有写入或网络出口能力，攻击者可以通过构造输入或污染上游工具来操纵 Agent 的推理逻辑，链式调用工具外泄数据。第三，**Markdown 或代码块编码**。敏感数据被嵌入到代码块、图片链接或 Markdown 引用中，在前端看似无害，但实际上已经对内容进行了编码以便检索。所有这些攻击的共同点是：外泄载荷都必须通过 LLM 或其工具层，而这正是部署安全扫描器（Scanner）的绝佳位置。
目前已有的传统防线存在巨大的盲区。网络层控制（如 WAF、出口过滤）无法感知 LLM 工具调用的内部内容。它们可以拦截已知的恶意域名，但无法检测 Agent 是否正被操纵，从而将敏感数据编码进一个看似合法的 API 调用中。同样，系统提示词（如“切勿向外发送数据”）虽然有帮助，但并不能作为真正的安全控制手段，因为它们极易被对抗性输入所攻破。
OpenAI 推出“锁定模式”标志着 AI Agent 生态正式步入“零信任时代”。传统的网络安全边界（如 WAF、Egress 过滤）在面对具身智能（Agentic）系统时显得力不功心，因为恶意指令和数据外泄已经伪装成了正常的业务流和 LLM 生成内容。与传统的静态规则拦截不同，未来的 Agent 安全防线必须在“工具执行层”（Tool Execution Layer）建立动态、上下文感知的双向审计机制（如 LLM Guardrails 或 Llama Guard 等动态分类器）。这不仅是安全工具的范式转变，也将重塑 Agent 的架构设计：开发者必须从最初的设计阶段就将“最小特权原则”注入到 Tooling 定义中，避免过度授权。长远来看，能否解决工具调用的安全信任链问题，将直接决定企业级 Agent 能否顺利进入核心业务流程。
