《ChatGPT 对话可以上锁了：4 位 PIN + 生物识别，但它不是端到端加密》

2026 年 10 月 20 日，OpenAI 开始向 ChatGPT 逐步推送一个新功能：Locked Chats（锁定对话）。用户可以把选定的对话移入一个独立的"锁定区"，之后每次打开都需要先过一道身份验证——网页和桌面端用 4 位账户 PIN，手机上则可以用 Face ID、Touch ID 或设备解锁。按 TechCrunch 当天的报道，这个功能的设计场景非常具体：当你把手机递给朋友家人看另一个对话，或者在公交地铁上被人从身后瞄到屏幕时，那些不想被看到的对话已经提前藏好了。

OpenAI 自己的说法更直白：很多人会在拥挤的公交车或地铁站台上用 ChatGPT，并不希望周围的人看到屏幕上的内容；把设备递给朋友家人、指着其中一个对话说"你看这个"也是日常。Locked Chats 就是为这种"半公开场合的瞬间"准备的。它不是什么密码学突破，而是一次精准的产品手术——切掉的不是数据，而是"被看见"的可能性。

这听起来像 WhatsApp 的 Chat Lock，逻辑也确实相近。但这篇要讲的不是"又多了一个锁"，而是锁背后的两处设计很见功力、一处诚实边界必须说清楚的地方。如果你正在做 AI 产品，"锁定区"的记忆隔离机制和"重置 PIN 即焚"的规则，是可以直接抄进自己产品里的设计。

一、功能是什么：三步上锁，锁完对话从所有常规入口消失

操作路径很短：在某个对话的更多选项菜单（•••）里点「Lock chat」，二次确认，然后设置一个 4 位数字 PIN（如果之前没设过）。对话随即从常规历史记录、置顶列表和搜索结果中消失，被搬到侧边栏「Projects > Locked chats」专区。注意一个细节：侧边栏会显示「Locked chats」这个项目入口，但锁定对话的标题是隐藏的——别人能看到"有这么个锁着的区"，但看不到里面有什么。

解锁方式按设备区分，但规则统一：网页端和 macOS / Windows 桌面端用 PIN；支持的 iPhone 可用 Face ID 或 Touch ID，Android 可用设备解锁。PIN 永远是最后的回退手段，且同一个 PIN 在登录同一账户的所有设备上通用——这是账户级的锁，不是设备级的锁。

锁还有"自动重锁"，这点做得比很多 App 的私密模式更认真：

• 网页和桌面端：离开标签页或窗口、刷新页面、关闭标签页，锁定区自动重新上锁；
• iOS 和 Android：离开锁定区超过 1 分钟，或 App 进入后台超过 1 分钟，访问权限自动失效；
• 任何时候都有一个「Lock now」按钮可以立即上锁；退出登录或切换账户同样立即失效。

另外两个实用细节：在锁定区里可以直接新建对话，上传或在锁定对话里创建的文件同样被保护，不会出现在常规文件空间里；之前分享过的链接在锁定后依然有效，直到你手动删除它——锁的是入口，不是已经发出去的链接。

这里顺带澄清一个容易混淆的点：锁定 ≠ 归档 ≠ 临时对话。三者的关系可以用一张表说清：

	锁定对话	归档对话	临时对话
从历史记录隐藏	是	是	是（根本不保存）
需要身份验证才能看	是（PIN / 生物识别）	否	否
对话会被保存	是	是	否
新消息更新记忆	只更新锁定区记忆	更新常规记忆	不更新记忆
能再锁一次吗	—	归档对话不能再锁定	临时对话不能锁定

一句话区分：归档是"眼不见为净"的整理术，临时对话是"说完就忘"的无痕模式，锁定则是"看得见但打不开"的保险箱。三者解决的是不同的问题，别互相替代。

覆盖范围：Free、Go、Plus、Pro、Business、Enterprise、Edu 全档位，逐步推送中（没看到「Lock chat」选项就是还没轮到）。唯一的例外是 ChatGPT for Healthcare——医疗场景的合规要求更高，OpenAI 干脆整个档位不上这个功能。以下几类对话不支持锁定：临时对话、已归档对话、群聊、由共享链接生成的对话、带计划任务的对话、含会议记录的对话。

二、最值得讲的技术细节：两个记忆池，写隔离、读不隔离

锁定对话最有意思的设计不在锁本身，而在 Memory（记忆）打开时的行为。OpenAI 给锁定区配了一套独立的"共享记忆"，规则是三条：

• 锁定之后，在锁定对话里发的新消息，只更新锁定区记忆，不会渗入常规记忆；
• 锁定之前 ChatGPT 已经记住的信息不受影响，仍然留在常规记忆里——锁定动作不会帮你"洗掉"过去；
• 锁定对话可以使用常规记忆里的相关信息，也就是读是通的，写是隔离的。

这个"写隔离、读不隔离"的选择很值得品。完全隔离（锁定区连常规记忆都读不到）最安全，但用户体验会断裂：你在锁定对话里问"接着上次的方案继续"，模型却装作不认识，锁就变成了功能的阉割。OpenAI 的做法是把隔离做在"写"这一侧——敏感的新信息不向外渗，但历史上下文照常用。这是一种典型的产品权衡：隐私保护的强度，取决于信息流向的单向阀装在哪一边。

但第二条规则是个诚实的"坑"，必须点名：如果你在锁定之前，已经在某个普通对话里告诉过 ChatGPT 你的真实姓名、公司、健康状况，这些信息已经进了常规记忆，之后你把相关对话锁起来，并不会把记忆里的那条删掉。锁管的是"对话入口的可见性"，不是"记忆库的遗忘"。想要彻底，得去记忆管理里手动删。

举个具体例子就明白了：假设你先在普通对话里让 ChatGPT 帮你写求职信，模型记住了"你在找工作、目标公司是 X"；一周后你把这段对话锁了，觉得万事大吉。但之后你在另一个普通对话里随口问"帮我准备面试"，模型依然可能调用那条记忆——因为记忆从来没被锁过，锁的只是那段对话的"门"。这个行为完全符合 OpenAI 的文档，但很容易违背用户的直觉。直觉上，"锁起来"约等于"藏起来"，而工程上，"藏对话"和"删记忆"是两个独立的操作。

更进一步想，这套"双记忆池"其实回答了一个所有带记忆的 AI 产品都会遇到的问题：当用户要求"这段别记住"时，到底该发生什么？OpenAI 的答案是分层的——锁定对话的新内容进独立池，老内容留在原地，既不回溯清洗，也不跨界污染。这种"只隔离增量、不追溯历史"的策略，工程实现简单，心智模型也清晰：用户只需要记住"从锁定的那一刻起，新的东西不会漏出去"，而不用去理解一套复杂的回溯删除逻辑。代价就是上面那个"坑"，需要用文档和 UI 文案反复提醒。

三、诚实的边界：OpenAI 亲口说的四个"不"

OpenAI 在支持页面里用加粗列出了锁定「不会」改变的东西，这种把丑话说在前面的写法，恰恰是这篇最值得转述的部分：

• 不创建端到端加密，也不创建独立的加密 vault——锁是访问控制，不是加密；
• 不改变留存政策——对话在 OpenAI 服务器上的保留时长和以前一样；
• 不改变「Improve the model for everyone」训练授权设置——如果你开着用对话数据改进模型，锁不会帮你关掉，锁定对话照样可能被用于训练；
• 不覆盖工作区政策、安全要求与法律合规义务——在 Enterprise 和 Edu 版里，锁定对话仍然会出现在合规平台（Compliance Platform）的会话消息日志里，老板和合规官该看还是看得到。

翻译一下：这把锁防的是"坐在你旁边的人"，不是"拥有服务器的人"。OpenAI 自己能访问锁定对话（在你授权训练时还能拿去训练），你的雇主在合规场景下也能看到。把它理解成"屏幕级的隐私"，而不是"密码学级的隐私"，就不会用错。

其中第三条最值得展开说说，因为它反直觉。很多人会下意识觉得："都上锁了，总该默认不拿去训练吧？"但 OpenAI 的逻辑是：锁定改变的是"对话在哪里出现、谁能点开"，而训练授权是账户级的数据使用设置，两者正交，井水不犯河水。一个管"可见性"，一个管"数据用途"，互不干涉。这种正交设计在工程上是干净的，但在用户心智上是危险的——因为"上锁"这个动作的心理暗示太强了，强到用户会默认它顺带解决了一切隐私问题。OpenAI 选择把四个"不"写进文档，而不是在用户锁定时弹窗提醒，算是一种折中：既保持了流程的顺滑，也留下了"我早就告诉过你"的证据。如果你是产品经理，这个细节值得记下来：当一个功能的心理暗示强于它的实际能力时，告知义务就不能只放在帮助文档里。

还有一个极端但必须知道的规则：重置 4 位 PIN，会永久删除所有锁定对话、只存在于锁定区的记忆、以及仅受旧 PIN 保护的文件，且无法恢复——连 OpenAI 客服也恢复不了。这是"忘记 PIN = 数据火化"的设计，没有例外。好处是，没有后门可走，锁的可信度不依赖客服的嘴严不严；代价是，PIN 一定要记牢，重要的锁定对话最好先有备份。

另外两个现实世界的"漏缝"：搜索结果更新有延迟，刚锁定的对话标题可能短暂残留；在其他已打开 ChatGPT 的设备上，标题要到列表刷新才会消失，iPhone 上已经加载好的内容在 App 刷新前依然可见。所以"马上要把屏幕共享出去"的那一分钟，先去其他设备上确认一遍，比信锁更保险。

最后说说那个 4 位 PIN 本身：10000 种组合，从密码学角度看弱得可笑，为什么 OpenAI 敢用？因为这把锁的威胁模型里就没有"暴力破解"这个对手——能试 PIN 的人，首先得已经登录了你的 ChatGPT 账户，而账户本身还有密码、邮箱验证甚至 SSO 守着。PIN 防的是"已经站在你屏幕前的人随手一点"，不是"黑客写脚本爆破"。安全设计的强度永远要和威胁模型匹配，过度设计（比如强制 12 位复杂密码）只会让用户干脆不用这个功能。4 位 PIN + 生物识别，是"刚好够用"的典型。

四、给 vibe 开发者的四个设计点：可以直接抄

如果你正在给自己的 AI 产品做"私密模式 / 锁定区"，Locked Chats 的这套设计有四个现成的答案，每一个背后都是一次真实的用户行为观察，而不是拍脑袋的安全想象：

1. PIN 做成账户级，生物识别只做"快捷方式"。同一个 PIN 跨设备通用，Face ID / Touch ID / 设备解锁只是降摩擦的入口，PIN 永远保留为回退。启示：不要让生物识别成为单点依赖——换手机、传感器失灵、戴口罩，每一种情况都需要一条不依赖硬件的逃生通道。

2. 自动重锁不能靠用户自觉。离开页面即锁、后台 1 分钟即锁，再加一个显眼的「立即锁定」按钮。很多产品的私密模式败就败在"用户忘了锁回去"这一步，把重锁做成默认行为，把"保持解锁"做成需要用户主动选择的状态。

3. 记忆（或任何跨会话状态）要做写隔离，而不是读写全隔离。锁定区的新信息不向外渗，但允许读取常规上下文，用户体验不断裂。如果你做的产品有长期记忆、知识库、偏好设置，"隐私模式下产生的数据不污染主画像，但可以使用主画像"是更成熟的默认策略。

4. 把最坏情况写进规则，并提前告诉用户。"重置 PIN 即永久删除，连客服都救不回"听起来吓人，但它是整套设计里可信度最高的承诺：没有后门，就没有"被要求开后门"的风险。做敏感功能时，与其含糊其辞，不如把不可恢复性变成明示的契约——用户会自己决定什么值得放进去。

这四点合在一起，其实是一套"社交隐私功能"的完整 checklist：账户级凭证 + 生物识别快捷方式 + 默认自动重锁 + 状态写隔离 + 不可恢复删除的明示契约。下次你给自己的产品加私密模式，可以直接照着这五项打勾，缺哪一项，就在 PRD 里写清楚为什么缺——缺的每一项，未来都会变成用户投诉或安全事件。

五、判断：这是"防身边人"的锁，别给它不属于它的安全感

给 Locked Chats 一个准确的定位：它是优秀的"社交隐私"功能，不是"数据安全"功能。它的威胁模型从头到尾只写了一个对手——能看到你屏幕、能拿到你解锁设备的人。对这个对手，它给的是一套完整答案：隐藏入口、隐藏标题、PIN + 生物识别、自动重锁、记忆写隔离、文件同步保护。

但它防不住的名单更长：OpenAI 平台本身、开了训练授权时的数据使用、雇主的合规审计、法律要求的调取。OpenAI 把这份名单亲手写进了支持页面，这种诚实值得肯定，但也意味着产品有义务不让用户产生误解——如果你在自己的产品里做类似功能，记得把"这个锁防谁、不防谁"写在用户点下锁定的那一屏，而不是藏在帮助文档第 7 页。

还有一个视角：Locked Chats 的出现，说明"AI 对话"正在从"个人工具"变成"半公开场合的日常用品"。当人们开始在地铁上、会议室里、家人面前频繁使用 ChatGPT，对话列表就成了一个新的隐私暴露面——它不像浏览器历史那样可以一键清空，也不像聊天 App 那样有"阅后即焚"的传统。OpenAI 的解法不是做更重的加密，而是做更轻的"可见性管理"，这本身就是一个判断：对大多数用户来说，隐私焦虑的来源不是 NSA，而是旁边那个探头探脑的人。产品设计的功力，往往体现在"准确识别用户到底在怕谁"这件事上。

最后给普通用户的三条实用建议：第一，点下「Lock chat」之前，先备份那些丢不起的对话，PIN 丢失没有后悔药；第二，检查一下之前分享出去的链接，锁不会让它们失效，不用的删掉；第三，去设置里看一眼「Improve the model for everyone」是不是开着的——锁管不住训练授权，那个开关得你自己动手。第四，如果你用的是公司或学校的 Enterprise / Edu 账户，记住锁定对话依然进合规日志，工作相关的敏感内容该走公司规定的渠道还是走，别指望这把锁替你挡审计。