OpenAI Lockdown-modus is een waarschuwing, geen oplossing
Toen OpenAI in juni 2026 de algemene uitrol van Lockdown Mode voor ChatGPT aankondigde, was de belangrijkste les vooral organisatorisch. OpenAI heeft geconcludeerd dat door prompt-injectie aangedreven data-exfiltratie een ernstig genoeg beveiligingsrisico vormt voor ondernemingen om een toegewijde architecturale oplossing te vereisen. Die conclusie is belangrijk. Maar het roept een lastigere vraag op: is een lockdown-schakelaar wel het juiste antwoord op een architecturaal probleem?
Wanneer ingeschakeld, beperkt Lockdown Mode ChatGPT op specifieke manieren: het schakelt Agent Mode en Deep Research uit, beperkt web browsing tot gecachte content, blokkeert uitgaande netwerkverzoeken die data buiten de omgeving van de organisatie kunnen brengen, en geeft werkruimtebeheerders rolgebaseerde toegangscontrole voor MCP-connectors met per-connector risicobeoordeling.
Wat Lockdown Mode niet doet, is minstens zo belangrijk. Het voorkomt niet dat prompt-injecties plaatsvinden. Het biedt geen forensische audittrail van elke contentinteractie. Het handhaaft geen op attributen gebaseerde beleidsregels voor contenttoegang — een agent die via een ingeschakelde connector werkt, kan alles benaderen wat die connector ontsluit, zonder restricties op contentniveau. En het breidt de gegevensbeheerperimeter van de organisatie niet uit om het gedrag van AI-agenten te omvatten.
Voor de meeste ondernemingen is de kloof tussen wat Lockdown Mode biedt en wat gereguleerde gegevensverwerking vereist aanzienlijk. Securityteams moeten in real time weten welke data hun AI-tools benaderen, welke acties agenten ondernemen en of deze acties buiten de goedgekeurde governance vallen. Lockdown Mode verkleint het aanvalsoppervlak door bepaalde mogelijkheden uit te schakelen; het biedt geen inzicht in het aanvalsoppervlak dat overblijft.
5 Belangrijke Inzichten
1. OpenAI’s Lockdown Mode is marktvalidatie, geen oplossing.
Door een specifieke exfiltratiepreventie-functie te introduceren, bevestigt OpenAI dat door prompt-injectie veroorzaakte datadiefstal een reëel, grootschalig beveiligingsprobleem is voor ondernemingen. Die conclusie bevestigt wat securityprofessionals al jaren beweren. Maar Lockdown Mode pakt alleen de laatste stap van een aanvalsketen aan — niet de governance-architectuur die bepaalt tot welke gevoelige content AI-agenten überhaupt toegang hebben.
2. Lockdown Mode onderbreekt het exfiltratiepad, niet de aanval zelf.
OpenAI geeft expliciet aan dat deze functie prompt-injecties in verwerkte content niet voorkomt. Het voorkomt alleen de laatste overdrachtsstap nadat een injectie het model al heeft beïnvloed. Voor gereguleerde organisaties is het verschil tussen een lockdown en een governance-architectuur geen nuance — het is de kernvraag. Een falen in gegevensbescherming is ook een compliance-incident, wat meldingsplichten en mogelijke sancties tot gevolg heeft.
3. Connector-niveau controles zijn geen governance op datalaag.
Workspace RBAC voor MCP-connectors beperkt de beschikbare integratiepaden, maar regelt niet welke data door de ingeschakelde connectors stroomt. ABAC en RBAC op connectorniveau bepalen welke integratiepaden beschikbaar zijn — niet tot welke content een AI-agent via die paden toegang heeft. Governance op datalaag handhaaft contentclassificatie, gevoeligheidslabels en toegangsbeleid op de onderliggende data, ongeacht welke applicatie wordt gebruikt om toegang te krijgen.
4. Gereguleerde sectoren vereisen auditklare AI-governance.
HIPAA, CMMC 2.0, FedRAMP, GDPR en NIS2 leggen allemaal verplichtingen op voor hoe gevoelige data wordt verwerkt, gelogd en beschermd — verplichtingen die niet vervallen omdat de actor een AI-agent is in plaats van een menselijke gebruiker. Lockdown Mode biedt geen onveranderlijke audittrail van welke data de AI heeft benaderd, wat de agent ermee heeft gedaan of wat de output van het model was.
5. Het architecturale antwoord is een conforme AI-laag, geen lockdown-schakelaar.
Organisaties die gevoelige content verwerken in gereguleerde omgevingen hebben infrastructuur nodig die beleidsgestuurde agenttoegang afdwingt, cryptografische audittrails genereert en bestaand gegevensbeheer uitbreidt naar AI-contentinteracties. De Kiteworks Secure MCP Server levert dit — en handhaaft governance op de datalaag, onafhankelijk van wat het AI-platform wel of niet doet met de verbinding.
Je vertrouwt erop dat je organisatie veilig is. Maar kun je het ook aantonen?
Lees nu
Waarom connector-niveau controles gereguleerde ondernemingen blootstellen
De MCP-governancelaag die OpenAI aan Lockdown Mode heeft toegevoegd, is een betekenisvolle stap vooruit. Werkruimtebeheerders kunnen nu het risico op data-exfiltratie van elke gekoppelde applicatie beoordelen voordat ze deze inschakelen, en rolgebaseerde rechten toepassen die bepalen welke gebruikers toegang hebben tot welke connectors. Voor veel organisaties is dit een echte verbetering.
Het probleem zit in de architecturale reikwijdte. ABAC- en RBAC-controles op connectorniveau bepalen welke integratiepaden beschikbaar zijn — niet welke data er via die paden stroomt zodra ze zijn ingeschakeld. Een organisatie kan correct inschatten dat haar documentmanagementconnector een laag exfiltratierisico heeft, om vervolgens te zien hoe een prompt-injectie het model elk document in de gekoppelde repository laat samenvatten.
Governance op datalaag werkt op een ander abstractieniveau. In plaats van te bepalen welke connectors beschikbaar zijn, bepaalt het tot welke content een AI-agent via die connectors toegang heeft — en handhaaft het contentclassificatie, gevoeligheidslabels en toegangsbeleid die gelden voor de onderliggende data, ongeacht welke applicatie wordt gebruikt. Dit is het kernprincipe achter de Kiteworks Secure MCP Server: beleidsgestuurde AI-contenttoegang betekent dat beleid voor gevoelige data ook geldt voor elke AI-agentinteractie, niet alleen voor de menselijke interacties waarvoor dat beleid oorspronkelijk is ontworpen.
Voor defensie-aannemers onder CMMC 2.0 bepaalt dit onderscheid of het gebruik van AI-tools binnen de compliance-grenzen blijft. CUI-verwerkingsvereisten vervallen niet omdat een AI-agent de verwerking doet. Dezelfde documentatie van toegangscontrole, auditlogvereisten en meldingsplichten bij incidenten zijn van toepassing. Connector-niveau controles voldoen niet aan deze vereisten zonder een aanvullende gegevensbeheerlaag eronder.
Het governanceprobleem op datalaag
De prompt-injectieaanval die Lockdown Mode moet verstoren, werkt door misbruik te maken van het onvermogen van het model om onderscheid te maken tussen legitieme en geïnjecteerde instructies in verwerkte content. Wat deze categorie aanvallen lastig maakt op connectorniveau, is dat het aanvalsoppervlak de content zelf is. Elk document dat een AI-agent leest, is een potentiële aanvalsvector als dat document is gemanipuleerd.
De governance-oplossing vereist controles die direct op content werken, niet alleen op verbindingspaden. Organisaties hebben beleid nodig dat bepaalt tot welke content AI-agenten toegang hebben voordat interactie plaatsvindt; inspectiemechanismen die mogelijk geïnjecteerde content identificeren voordat deze het model bereikt; uitgaande datacontroles die contentbeleid afdwingen op alles wat een AI-agent buiten de perimeter van de organisatie probeert te verzenden; en zero-trust architectuurprincipes toegepast op AI-agentidentiteit en -toegang.
Dit is de logica achter AI-gegevensbeheer — AI-agenten behandelen als een aparte klasse van data-actoren die onderworpen zijn aan hetzelfde beleid, dezelfde controles en toezichtmechanismen als menselijke gebruikers. Voor organisaties met volwassen zero-trustprogramma’s is de uitbreiding naar AI-agenten conceptueel eenvoudig: verifieer elk verzoek tot toegang tot gevoelige content aan de hand van het toegangsbeleid; log elke interactie; handhaaf regels voor gegevensverwerking op contentniveau. Lockdown Mode pakt dit slechts aan de randen aan. Een conforme AI-governancelaag pakt het structureel aan.
Wat conforme AI-infrastructuur daadwerkelijk vereist
Op de toegangslaag vereist conforme AI-infrastructuur beleidsgestuurde agenttoegang tot bedrijfscontent — toegangscontroles die dezelfde classificatie- en contextbewuste beleidsregels toepassen op AI-agentverzoeken als op menselijke gebruikersverzoeken. Een agent mag alleen toegang krijgen tot content die nodig is voor de huidige taak, onder toezicht van de vastgestelde gegevensbeheerregels van de organisatie.
Op de contentlaag vereist een conforme AI-architectuur de AI Data Gateway-functie — contentinspectie en filtering tussen de bedrijfsdataomgeving en AI-tools. Classificaties van gevoelige content worden afgedwongen voordat data de governanceperimeter verlaat. Uitgaande contentstromen worden beheerst door dezelfde DLP-beleidsregels die gelden voor e-mail en bestandsoverdracht.
Op de auditlaag vereist compliance in gereguleerde sectoren een onveranderlijk log van elke AI-agentinteractie met gevoelige content — waarmee precies wordt aangetoond welke data de AI heeft benaderd, wat ermee is gedaan en wat het resultaat was. De Kiteworks Secure MCP Server handhaaft governance op de datalaag, onafhankelijk van wat het AI-platform wel of niet doet met de verbinding. Elke AI-agentinteractie genereert een gelogde, controleerbare, beleidsgestuurde transactie. Het Kiteworks Private Data Network breidt dit uit over e-mail, bestandsoverdracht, MFT, SFTP, webformulieren en API’s onder één beleidsengine en één geconsolideerde auditlog.
AI besturen in CMMC, HIPAA en GDPR omgevingen
Voor defensie-aannemers onder CMMC 2.0 gelden CUI-verwerkingsverplichtingen ongeacht welke tool de informatie verwerkt. AI-agenten die CUI verwerken, zijn data-actoren binnen scope — onderworpen aan dezelfde documentatie van toegangscontrole, auditlogging en incidentrespons als CUI die door traditionele applicaties wordt verwerkt.
Voor zorgorganisaties geldt dat beschermde gezondheidsinformatie die door een AI-tool wordt verwerkt, nog steeds PHI is. De HIPAA-verplichtingen van de betrokken entiteit bepalen wat er met die data mag gebeuren, inclusief of het gebruik als AI-input is toegestaan onder de BAA van de organisatie en de minimum noodzakelijke criteria.
Voor organisaties onder GDPR of NIS2 creëren privacy by design– en default-principes een actieve verplichting om governance vanaf het begin in AI-inzet te integreren. Een Data Protection Impact Assessment voor AI-toolinzet die “Lockdown Mode inschakelen” als belangrijkste technische maatregel noemt, zal geen stand houden bij een post-datalek onderzoek. GDPR Artikel 32 vereist technische maatregelen die in verhouding staan tot het risico — een standaard die voor gevoelige persoonsgegevens in AI-workflows toegangslagen en auditlagen governance vereist, niet slechts een connector-niveau feature toggle.
Wil je meer weten over conforme AI-gegevensbeheer, plan dan vandaag nog een demo op maat.
Veelgestelde vragen
Lockdown Mode is een optionele ChatGPT-beveiligingsfunctie die Agent Mode, Deep Research en onbeperkt web browsen uitschakelt — en uitgaande netwerkverzoeken blokkeert die gevoelige data naar een aanvaller kunnen sturen. OpenAI geeft expliciet aan dat het prompt-injecties in verwerkte content niet voorkomt; het voorkomt alleen de laatste exfiltratiestap nadat een injectie al is geslaagd. Dit onderscheid is essentieel voor elke organisatie die beoordeelt of Lockdown Mode voldoet aan haar risicobeheer of compliance-verplichtingen voor AI.
Lockdown Mode werkt op het niveau van connectoren en mogelijkheden — het verwijdert functies en beperkt integratiepaden. Een conforme AI-architectuur werkt op de datalaag: het dwingt beleidsgestuurde toegang tot bedrijfscontent af voordat deze het AI-model bereikt, genereert onveranderlijke logs van elke agent-contentinteractie en past dezelfde gegevensbeheerregels toe op AI-agenten als op menselijke gebruikers. Voor gereguleerde sectoren vereisen de audittrail- en datalaag-handhavingsvereisten van de geldende kaders het laatste.
Niet zelfstandig. Lockdown Mode vermindert het risico op data-exfiltratie maar biedt niet de toegangs-, audit- en integriteitscontroles die de HIPAA Security Rule vereist voor systemen die elektronische PHI verwerken — noch de equivalente controles die CMMC 2.0 oplegt voor CUI-verwerking. Beide kaders vereisen gedocumenteerd toegangsbeheer en onveranderlijke auditlogs die Lockdown Mode niet biedt. Lockdown Mode is een nuttige risicoreductiemaatregel; het is geen complianceprogramma.
De Kiteworks Secure MCP Server dwingt beleidsgestuurde, op attributen gebaseerde toegangscontrole af tussen AI-agenten en gevoelige content — waarbij elk verzoek wordt geëvalueerd op toegangsbeleid, contentclassificatie en geldende gegevensbeheerregels voordat toegang wordt verleend of geweigerd. Elke interactie genereert een gelogd, controleerbaar record. De AI Data Gateway biedt een extra contentinspectielaag, waarbij DLP-beleid en handhaving van gevoeligheidsclassificatie worden toegepast voordat content het AI-model bereikt en voordat door AI gegenereerde content de governanceperimeter verlaat.
De meest relevante: CMMC 2.0 voor defensie-aannemers die CUI verwerken; HIPAA voor zorginstellingen die PHI verwerken; FedRAMP voor federale en contractuele AI-inzet; GDPR voor organisaties die EU-persoonsgegevens verwerken; en NIS2 voor exploitanten van kritieke infrastructuur in de EU. Elk kader stelt eisen aan gegevensverwerking, toegangscontrole en auditlogging voor AI-toolgebruik wanneer deze tools data binnen scope verwerken. Het gebruik van een AI-model in plaats van een traditionele applicatie biedt geen vrijstelling van deze technische vereisten.
Aanvullende bronnen
- Blog Post
Zero‑Trust strategieën voor betaalbare AI-privacybescherming - Blog Post
Hoe 77% van de organisaties faalt in AI-gegevensbeveiliging - eBook
AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025 - Blog Post
Er bestaat geen “–dangerously-skip-permissions” voor jouw data - Blog Post
Toezichthouders zijn klaar met vragen of je een AI-beleid hebt. Ze willen bewijs dat het werkt.