ChatGPT quiere Full Disk Access para leer tus iMessages

El 20 de agosto de 2026, OpenAI lanzó un plugin de Apple Messages para la app de escritorio de ChatGPT en macOS. Puede leer y buscar tus conversaciones de iMessage, SMS y RCS, y puede redactar y enviar mensajes en tu nombre. Se ejecuta localmente en tu Mac, usando AppleScript y las API de accesibilidad de macOS en lugar de subir tu base de datos de mensajes a ningún servidor.

Para activarlo tienes que otorgarle a ChatGPT tres permisos de privacidad de macOS: Full Disk Access, Contactos y Automatización para la app Messages.

El segundo y el tercero de esos permisos están acotados. El primero no lo está, y esa es toda la historia de este artículo. Full Disk Access no es un permiso de Messages. Es el permiso que elimina casi todos los límites de privacidad a nivel de archivo que tiene macOS, para esa única app, de forma permanente, hasta que lo revoques. En cuanto ChatGPT lo tiene, el mismo permiso que le deja leer chat.db también le deja leer tu almacén de Mail, tu historial y cookies de Safari, tus copias de seguridad de Time Machine, y la carpeta de datos privados de cualquier otra app en la máquina.

Eso no es un error en la implementación de OpenAI ni una crítica a la función. Así diseñó Apple el permiso. Pero el flujo de configuración lo presenta como "para que ChatGPT pueda leer tus Messages", y vale la pena entender, antes de hacer clic, la brecha entre lo que crees que estás aprobando y lo que en realidad estás aprobando.

Puntos clave

• Full Disk Access no está acotado a Messages. Es un único interruptor que exime a una app de la mayoría de las protecciones de archivos de TCC a la vez. Mail, Safari, las copias de seguridad de Time Machine y los datos de contenedor de otras apps quedan todos legibles.
• ChatGPT.app no está en sandbox. Revisamos los entitlements de la compilación publicada: com.apple.security.app-sandbox es false. Una app sin sandbox con Full Disk Access tiene muy pocos límites a nivel de archivo que le queden.
• El identificador del bundle es com.openai.codex, no com.openai.chat. Si quieres restablecer sus permisos desde Terminal, ese es el identificador que necesitas, y equivocarse no restablece nada de forma silenciosa — o, peor aún, restablece el permiso para todas las apps de tu Mac.
• Automatización es el permiso de envío. La propia cadena de uso de ChatGPT dice "ChatGPT uses Apple Events to control Mac apps on your behalf" (ChatGPT usa Apple Events para controlar apps de Mac en tu nombre). Eso es lo que realmente maneja Messages.
• El riesgo real está en la combinación, no en el plugin por sí solo. La prueba práctica de PCWorld encontró que ChatGPT recurría a una función de uso del ordenador habilitada previamente y hacía clic en los botones de Eliminar de la ventana de Messages cuando el plugin no podía hacer el trabajo. No hubo ninguna brecha; simplemente se combinaron dos funciones aprobadas por separado.
• Puedes auditar y revocar todo esto en unos dos minutos. Los pasos exactos están más abajo, incluyendo cómo verificar desde Terminal que la revocación funcionó.

Qué lanzó OpenAI

El plugin aparece en la pestaña Plugins de la app de escritorio de ChatGPT. Según la descripción de OpenAI y la cobertura del lanzamiento, está disponible en todos los planes de ChatGPT dentro de la app de macOS, y funciona en los contextos de ChatGPT Work y Codex. Es exclusivo de Apple silicon — los Mac con Intel no lo reciben.

En términos funcionales hace cuatro cosas:

1. Lee tus conversaciones de Messages.
2. Las busca.
3. Redacta un mensaje para un destinatario.
4. Envía ese mensaje a través de Messages.

La postura de privacidad declarada por OpenAI, a través de un portavoz citado en el lanzamiento, es que el plugin no construye un índice de tus textos, y que tienes que pedirle explícitamente a ChatGPT que use el contexto de los mensajes antes de que lea un hilo. El envío está sujeto por defecto a un paso de aprobación: ChatGPT te muestra el mensaje y el destinatario, y tú confirmas.

Existe una opción para hacer que esa aprobación sea persistente en una conversación dada. La propia OpenAI aconseja no usarla, con palabras inusualmente francas para un ajuste de producto: activarla "elimina tu última oportunidad de revisar un mensaje antes de que ChatGPT lo envíe".

Tómalo al pie de la letra. Un proveedor que te dice que no uses un interruptor de conveniencia que él mismo construyó es un proveedor que ha pensado en lo que pasa cuando el modelo malinterpreta un hilo.

Los tres permisos, y qué hace realmente cada uno

macOS controla todo esto a través de TCC — Transparency, Consent and Control —, el subsistema propietario de cada panel de Privacidad y seguridad en System Settings. Escribimos una guía completa del mecanismo de TCC en por qué tu Mac sigue pidiendo permiso de Screen Recording, y el modelo que describimos ahí aplica directamente aquí. La versión corta: las entradas de TCC se vinculan a la identidad de firma de código de una app, no a su ruta ni a su nombre, y cada capacidad protegida es un servicio separado con su propio permiso.

Contactos: acotado y bien comportado

Este hace exactamente lo que dice. Le permite a ChatGPT resolver "mensaje a Sara" a un número de teléfono o una Apple Account. El permiso de Contactos de Apple está acotado al almacén de Contactos y nada más. Si te preocupa que tu agenda salga de la máquina, esa es una pregunta legítima para hacerle a OpenAI sobre su manejo de datos — pero no es una pregunta sobre permisos de macOS, porque el permiso en sí otorga exactamente lo que su nombre indica.

Automatización: la vía de envío

El permiso de Automatización es lo que realmente le permite a ChatGPT operar Messages. Autoriza a la app a enviar Apple Events a otra app — el mismo mecanismo que AppleScript ha usado durante treinta años.

Inspeccionamos la compilación publicada de ChatGPT en un Mac (versión 26.727.40816, verificado el 22 de agosto de 2026) y su Info.plist declara textualmente esta cadena de uso:

NSAppleEventsUsageDescription = "ChatGPT uses Apple Events to control Mac apps on your behalf"

Sus entitlements de firma de código incluyen:

com.apple.security.automation.apple-events => true

Fíjate en la redacción, tanto en el propio diálogo de Apple como en la cadena de OpenAI: control Mac apps, en plural. La Automatización se otorga por aplicación de destino — apruebas "ChatGPT quiere controlar Messages" por separado de "ChatGPT quiere controlar Finder" —, así que en la práctica está acotada. Pero está acotada por cada app que apruebes, y cada nueva aprobación es un diálogo más al que te sentirás tentado a darle clic sin pensar. Revisa de vez en cuando System Settings → Privacy & Security → Automation y mira en qué se ha convertido la lista.

Full Disk Access: el que no está acotado

Aquí está el meollo del asunto.

La documentación de Apple Platform Security describe la intención de diseño con claridad: los usuarios "deben tener transparencia, consentimiento y control totales sobre lo que las apps hacen con sus datos", y el acceso a archivos se divide en categorías —Escritorio, Documentos, Descargas, iCloud Drive, volúmenes extraíbles y de red— que una app puede solicitar individualmente mediante un aviso. Full Disk Access es distinto. Es la categoría para la que una app no puede pedir permiso con un aviso. Tienes que entrar tú mismo en System Settings y añadir la app a mano, precisamente porque es más amplia que las demás.

Lo que cubre es el conjunto de ubicaciones que macOS protege de las apps comunes, sin importar los permisos de archivo de Unix. Eso incluye, entre otras:

• ~/Library/Messages/ — la base de datos de Messages chat.db y la carpeta Attachments
• ~/Library/Mail/ — el almacén de Mail
• Los datos de cookies e historial de Safari
• El contenido de las copias de seguridad de Time Machine
• Los datos de contenedor protegidos de otras aplicaciones
• Las propias bases de datos de TCC (solo lectura; más sobre esto abajo)

Puedes comprobar el límite tú mismo en tu propio Mac con un solo comando. Desde una Terminal a la que no se le haya otorgado Full Disk Access:

ls -la ~/Library/Messages/

En un Mac sin modificar, esto devuelve:

ls: /Users/you/Library/Messages/: Operation not permitted

No "Permission denied" — Operation not permitted. Eso es TCC negándose, no el sistema de archivos. Ejecutamos exactamente esto en macOS 26.5.2 (build 25F84) mientras escribíamos este artículo y obtuvimos ese resultado. Ahora otórgale Full Disk Access a Terminal y ejecútalo de nuevo: el directorio se lista. Nada cambió respecto al propietario o los permisos del archivo. Lo único que cambió es que ahora un proceso está exento de la protección.

Eso es lo que le estás entregando a ChatGPT. No "leer Messages". Exención de la protección.

Y no está en sandbox

Hay una segunda capa que normalmente limitaría a una app de Mac incluso con un permiso amplio de TCC: el App Sandbox. Una app en sandbox está confinada a su propio contenedor y a los recursos específicos que nombran sus entitlements, y el sandbox lo aplica el kernel de forma independiente de TCC.

Lo comprobamos. En la compilación que inspeccionamos, los entitlements de ChatGPT.app incluyen:

com.apple.security.app-sandbox => false

Junto con:

com.apple.security.cs.allow-jit => true
com.apple.security.cs.allow-unsigned-executable-memory => true
com.apple.security.network.client => true

La app está firmada con un Developer ID (Developer ID Application: OpenAI OpCo, LLC, Team ID 2DC432GLL2) y se distribuye fuera de la Mac App Store, donde el sandbox no es obligatorio. Eso es completamente normal para una app de escritorio con ambiciones de automatización — no puedes controlar otras apps desde dentro de un sandbox estricto. También es habitual que los runtimes de estilo Electron y los que usan JIT lleven las excepciones allow-jit y allow-unsigned-executable-memory.

Pero la combinación importa. Una app sin sandbox más Full Disk Access está cerca de la máxima autoridad de lectura de archivos que puede tener un proceso que no es root en macOS. Si estuvieras evaluando la utilidad de cualquier otro proveedor con ese perfil, querrías saber por qué la necesita. Aplica el mismo criterio aquí.

Puedes verificar todo esto tú mismo:

codesign -dv --verbose=2 /Applications/ChatGPT.app
codesign -d --entitlements - --xml /Applications/ChatGPT.app | plutil -p -

Los entitlements cambian entre versiones. Los nuestros se leyeron el 22 de agosto de 2026 en la versión 26.727.40816; revisa tu propia compilación en lugar de confiar en un número publicado en un artículo.

La trampa del bundle ID

Esto es lo más útil en la práctica de todo este artículo, y es un detalle que no hemos visto publicado en ningún otro lado.

El identificador de bundle de la app de escritorio de ChatGPT es com.openai.codex. No com.openai.chat, ni com.openai.chatgpt. Su entitlement application-identifier dice 2DC432GLL2.com.openai.codex, y sus grupos de aplicación se llaman 2DC432GLL2.com.openai.codex.notifications y 2DC432GLL2.com.openai.sky.CUAService.

Confírmalo en tu propia máquina:

osascript -e 'id of app "ChatGPT"'

O bien:

mdls -name kMDItemCFBundleIdentifier /Applications/ChatGPT.app

Por qué importa esto: tccutil es la única herramienta de línea de comandos para TCC, su único verbo es reset, y su sintaxis es:

tccutil reset SERVICE [BUNDLE_ID]

Si omites el identificador de bundle, restablece ese servicio para todas las apps de tu Mac. Ejecutar tccutil reset SystemPolicyAllFiles sin un identificador le quitará Full Disk Access a tu software de copias de seguridad, tu utilidad de discos, tu antivirus y todo lo demás que lo tuviera. Eso es una tarde genuinamente mala.

Y si adivinas mal el identificador, obtienes un error en lugar de un no-op silencioso —tccutil valida el identificador de bundle antes de validar el nombre del servicio—, pero el fallo con el que la gente realmente se topa es copiar un identificador incorrecto desde una entrada de blog y concluir que el restablecimiento "no funcionó". Obtenlo de tu propia máquina.

El riesgo real está en la combinación

El informe más instructivo de la semana del lanzamiento no trata en absoluto sobre los permisos del plugin.

Escribiendo en PCWorld el 21 de agosto de 2026, un reseñador probó el plugin pidiéndole a ChatGPT que resumiera conversaciones, redactara mensajes y luego eliminara algunos hilos de spam. Eliminar mensajes no es algo que el plugin de Messages pueda hacer. En lugar de negarse, ChatGPT recurrió a una función de uso del ordenador que el autor había habilitado antes y había olvidado. El autor vio capturas de pantalla de la ventana real de Messages aparecer en la interfaz de ChatGPT mientras el asistente movía el puntero y hacía clic en Eliminar sobre las conversaciones de spam.

El propio planteamiento del autor es el correcto: ChatGPT "no se salió de sus límites". Nada se vio comprometido. Se habían otorgado todas las capacidades involucradas. El problema es que dos aprobaciones razonables por separado — "puedes leer mis Messages" y "puedes controlar mi pantalla" — se combinaron en un comportamiento que ninguna de las dos aprobaciones describía.

Ese entitlement que detectamos antes, el grupo de aplicación llamado 2DC432GLL2.com.openai.sky.CUAService, es coherente con un servicio de agente de uso del ordenador que se distribuye dentro del mismo bundle de la app. No afirmamos que ese grupo específico sea lo que impulsó los clics; señalamos que la capacidad vive en el mismo proceso al que le estás otorgando Full Disk Access.

Jonny Evans hizo el planteamiento complementario en Computerworld ese mismo día: la propia app de ChatGPT se convierte en un objetivo. Una app que tiene Full Disk Access es algo muy valioso de comprometer, porque quien la comprometa hereda el permiso. Y su argumento más amplio es uno que suscribiríamos: un consentimiento obtenido técnicamente no es lo mismo que un consentimiento informado. Una casilla que dice "Full Disk Access" junto a una explicación sobre Messages es técnicamente exacta y prácticamente engañosa.

Si quieres el panorama más amplio sobre ejecutar herramientas de IA localmente teniendo en cuenta a qué pueden acceder, consulta nuestra guía de privacidad para apps de IA local en Mac.

"Se ejecuta localmente" no significa lo que la mayoría cree

Esta frase está haciendo mucho trabajo en la cobertura del lanzamiento, y vale la pena desglosarla, porque es a la vez cierta y fácil de malinterpretar.

Lo que se ejecuta localmente: el acceso a archivos. El plugin lee chat.db en tu Mac. Usa AppleScript y las API de accesibilidad en tu Mac. Tu base de datos de mensajes completa no se sube a OpenAI como una exportación masiva, y OpenAI dice que no se construye ni se conserva ningún índice de ella.

Lo que no se ejecuta localmente: el modelo. ChatGPT es un servicio en la nube. Cuando le pides que resuma un hilo, el contenido de ese hilo se envía a los servidores de OpenAI para ser resumido, porque ese es el único lugar donde puede ocurrir la síntesis. No hay ningún modelo en el dispositivo haciendo este trabajo.

Así que el modelo mental correcto no es "tus mensajes se quedan en tu Mac". Es "tus mensajes se quedan en tu Mac hasta que haces una pregunta sobre ellos, y entonces los relevantes viajan". Esa es una postura de privacidad significativamente mejor que un servicio en segundo plano que sube e indexa todo continuamente — genuinamente mejor, y OpenAI merece crédito por haberlo construido así. No es lo mismo que el procesamiento en el dispositivo.

Esta distinción importa porque macOS sí tiene procesamiento en el dispositivo para algunas tareas equivalentes. Las funciones de resumen de Apple Intelligence se ejecutan en el Neural Engine para un conjunto definido de operaciones, con Private Cloud Compute para el resto. Si tu requisito es que el contenido de los mensajes nunca salga de la máquina bajo ninguna circunstancia, esa es una categoría de producto distinta, y nuestra guía sobre ejecutar IA localmente en un Mac cubre cómo se ven hoy las opciones genuinamente en el dispositivo. Si tu requisito es "no construir una copia permanente y buscable de mi vida en un servidor", el diseño del plugin ya lo cumple.

La pregunta relacionada que la gente hace — si el contenido de los mensajes se usa para entrenamiento — es una cuestión de los ajustes de cuenta de ChatGPT, no de macOS, y está gobernada por los controles de datos que apliquen a tu plan. Revisa esos ajustes directamente en lugar de inferirlo a partir de la descripción del plugin.

Si administras Macs para una organización

Todo lo anterior es una decisión personal. En Macs administrados es una decisión de política, y macOS te da una forma de tomarla antes de que nadie haga clic en nada.

Full Disk Access se puede gobernar mediante MDM. El payload de Privacy Preferences Policy Control (PPPC) te permite pre-aprobar, o denegar explícitamente, servicios específicos de TCC para aplicaciones específicas identificadas por su bundle ID y su requisito de código. El servicio correspondiente a Full Disk Access es SystemPolicyAllFiles; la automatización de Apple Events es AppleEvents; la accesibilidad es Accessibility; la captura de pantalla es ScreenCapture.

Tres puntos que vale la pena conocer antes de escribir el perfil:

1. Denegar es más fiable que permitir en este caso. Un payload PPPC que deniega un servicio impide que el usuario lo otorgue desde System Settings. Ese es el control que quieres si la respuesta es "no".
2. Identifica la app correctamente. El identificador de bundle es com.openai.codex y el identificador de equipo es 2DC432GLL2 en la compilación que inspeccionamos. Tu requisito de código debería fijar ambos — un payload basado en el nombre visible no hará lo que quieres.
3. La captura de pantalla y la accesibilidad son la superficie de uso del ordenador. Si tu preocupación es un agente de IA controlando un Mac administrado, denegar solo SystemPolicyAllFiles no lo cubre. Accessibility y ScreenCapture son servicios separados y necesitan entradas separadas.

También hay una cuestión de gobernanza de datos que queda totalmente fuera de macOS: un despliegue corporativo aprobado de ChatGPT que lee la base de datos de Messages de un usuario traerá consigo conversaciones personales junto con las laborales, porque chat.db no distingue entre ellas. Vale la pena plantearlo con quien sea responsable de tu política de uso aceptable antes de que se convierta en un incidente. Nuestra guía de despliegue empresarial de macOS cubre la mecánica de los perfiles en general.

Cómo auditar lo que ya has otorgado

Haz esto uses o no el plugin. Toma dos minutos y aplica a todas las apps, no solo a esta.

1. Full Disk Access

System Settings → Privacy & Security → Full Disk Access.

Lee toda la lista. Para cada entrada, hazte una pregunta: ¿necesita esta app leer todos los archivos protegidos de mi Mac para hacer su trabajo? Las herramientas de copia de seguridad genuinamente lo necesitan. Las herramientas de análisis de disco genuinamente lo necesitan. Terminal, si la usas para administración, genuinamente lo necesita. La mayoría de las demás cosas no, y las apps a las que se les otorgó hace años por una razón puntual todavía lo conservan.

Desactiva todo lo que no puedas justificar. Nada se rompe permanentemente — la app volverá a pedirlo si lo necesita.

2. Automatización

System Settings → Privacy & Security → Automation.

Este panel está organizado como app controladora → lista de apps que puede controlar. Expande ChatGPT y mira qué hay debajo. Si aparece Messages, eso es el plugin. Si aparecen Finder, System Events, Terminal o Safari, eso es una superficie de automatización más amplia, y deberías saber por qué está ahí.

3. Accesibilidad

System Settings → Privacy & Security → Accessibility.

Este es el permiso detrás de los clics y pulsaciones de teclas sintéticos — el mecanismo que necesita una función de uso del ordenador. Si una app está en esta lista, puede controlar la interfaz de tu Mac. Comprueba si ChatGPT está ahí, y elimínala si no quieres que esa capacidad esté armada.

4. Grabación de pantalla y audio del sistema

System Settings → Privacy & Security → Screen & System Audio Recording.

Un agente de uso del ordenador necesita ver la pantalla para actuar sobre ella. Si ChatGPT está en esta lista, de ahí vienen las capturas de pantalla del relato de PCWorld.

5. Verifica desde Terminal

Los paneles de permisos te pueden mentir — una app puede aparecer como otorgada en System Settings mientras el permiso está roto, normalmente porque la firma de código de la app cambió. La comprobación fiable es de comportamiento. Después de revocar Full Disk Access a una app, ciérrala por completo, vuelve a abrirla, y pídele que haga lo que necesita ese permiso. Si vuelve a pedírtelo, la revocación funcionó.

También puedes confirmar el límite de forma genérica desde una Terminal sin Full Disk Access:

ls ~/Library/Messages/ 2>&1

Operation not permitted significa que TCC está haciendo su trabajo para ese proceso.

Si quieres usar el plugin de todos modos

Esta es una elección legítima, y hay una posición intermedia entre "otorgar todo" y "no tocarlo nunca".

Mantén activada la aprobación de envío. No actives la aprobación persistente para una conversación, ni siquiera una a la que le escribas constantemente. OpenAI te dijo por qué.

Comprueba si el uso del ordenador está habilitado, por separado. Es una función distinta con un interruptor distinto. Si no necesitas que una IA mueva tu puntero, desactívala, y elimina la app de Accessibility y de Screen Recording.

Trata Full Disk Access como algo revocable, no permanente. Si usas el plugin de Messages ocasionalmente, nada te impide desactivar Full Disk Access entre sesiones. Es un solo interruptor. El plugin dejará de funcionar y volverá a funcionar cuando lo vuelvas a activar.

Piensa en qué Mac. Si tienes más de uno, el plugin no tiene por qué vivir en el que tiene tu almacén de Mail del trabajo, la copia de seguridad de tu gestor de contraseñas y ocho años de instantáneas de Time Machine.

Piensa en la otra parte de la conversación. Todos los que alguna vez te escribieron un mensaje están en esa base de datos, y no dieron su consentimiento para nada de esto. Eso no es un problema de macOS y ningún ajuste de permisos lo resuelve. Aun así, vale la pena pensarlo un momento.

No le otorgues Full Disk Access a una app que no descargaste tú mismo, de una fuente en la que confías. Un instalador que pide Full Disk Access con una justificación poco clara es la solicitud de mayor impacto que puede hacer un malware en macOS, y es exactamente el patrón detrás de las familias de robo de credenciales que cubrimos en el falso aviso de contraseña del informe de fallos.

Solución de problemas comunes

El plugin no aparece en la pestaña Plugins

Revisa tres cosas en orden. Primero, que estés en un Mac con Apple silicon — el plugin no se ofrece en Intel. Segundo, que la app de escritorio de ChatGPT esté actualizada; las funciones que llegan en una compilación de agosto no aparecerán en una compilación de primavera. Tercero, que estés en la app de escritorio de ChatGPT, no en la app web dentro de un navegador — una pestaña del navegador no puede tener permisos de privacidad de macOS.

Le otorgué Full Disk Access pero ChatGPT sigue sin poder leer Messages

Cierra ChatGPT por completo — Comando-Q, no solo cerrar la ventana — y vuelve a abrirla. Los permisos de TCC se evalúan cuando arranca un proceso. Un proceso en ejecución al que se le denegó el permiso sigue denegado durante toda su vida.

Si eso no lo soluciona, puede que te esté afectando el problema de identidad de firma de código: si la app se actualizó o se movió después de otorgar el permiso, la entrada en System Settings puede verse correcta mientras apunta a una firma distinta. Desactiva la app en Full Disk Access, elimínala con el botón menos, cierra, vuelve a abrir la app, y añádela de nuevo. Nuestra guía de solución de problemas de TCC cubre las cinco causas distintas de un permiso que aparece como otorgado pero no funciona.

ChatGPT sigue pidiendo controlar Messages cada vez

Eso es el permiso de Automatización que no se mantiene, y la causa casi siempre es el mismo problema de identidad de firma de código. Revisa System Settings → Privacy & Security → Automation, expande ChatGPT, y confirma que Messages está activado. Si está activado y sigue pidiéndolo, restablece solo ese par:

tccutil reset AppleEvents com.openai.codex

Luego aprueba el aviso una vez más. Fíjate en el identificador de bundle — consulta la sección anterior sobre por qué adivinarlo es mala idea.

Quiero quitarle todos los permisos que le di

El restablecimiento completo, usando el identificador de bundle correcto:

tccutil reset All com.openai.codex

Esto elimina todos los permisos de TCC solo para esa app. Cierra y vuelve a abrir ChatGPT después. Luego confirma en System Settings que Full Disk Access, Automation, Accessibility y Screen Recording ya no la listan. tccutil no puede otorgar nada, solo restablecer, así que no hay forma de deshacer esto desde Terminal — volverás a aprobar mediante los diálogos normales.

Se enviaron mensajes que no aprobé

Comprueba si la aprobación persistente estaba activada para esa conversación. En la interfaz de ChatGPT, el ajuste por conversación que omite la confirmación es lo que hay que buscar. Desactívalo. Si no encuentras un ajuste que lo explique, revoca la Automatización para Messages — eso elimina por completo la vía de envío mientras deja intacta la lectura, lo cual es una configuración razonable si solo quieres resúmenes.

Preguntas frecuentes

¿ChatGPT sube mis Messages a los servidores de OpenAI?

OpenAI dice que el plugin se ejecuta localmente en tu Mac y que no construye un índice de tus textos. Lo que se envía al modelo es el contexto que le pides que use — si le pides que resuma un hilo, el contenido de ese hilo va al modelo para ser resumido, porque así es como funciona un modelo en la nube. "Se ejecuta localmente" describe dónde ocurre el acceso a archivos, no dónde ocurre el razonamiento. Si necesitas que el contenido de los mensajes nunca salga de la máquina, esta función no es eso.

¿Es realmente necesario Full Disk Access solo para leer Messages?

Sí, dada la forma en que Apple lo construyó. ~/Library/Messages/ está detrás de la puerta de Full Disk Access y no existe un permiso de "acceso a Messages" más estrecho que las apps de terceros puedan solicitar. Apple ofrece avisos acotados para Escritorio, Documentos, Descargas, iCloud Drive y volúmenes extraíbles, pero no para el almacén de Messages. Así que una app que quiera leer tus mensajes tiene que pedir el permiso amplio. La limitación de diseño es de Apple; la consecuencia es tuya.

¿Cuál es el identificador de bundle de la app de ChatGPT?

com.openai.codex, en la compilación que inspeccionamos (versión 26.727.40816, 22 de agosto de 2026), firmada por OpenAI OpCo, LLC con Team ID 2DC432GLL2. Verifícalo en tu propio Mac con osascript -e 'id of app "ChatGPT"' antes de usarlo en cualquier comando tccutil.

¿La app de ChatGPT para Mac está en sandbox?

No. Sus entitlements ponen com.apple.security.app-sandbox en false. Es una app firmada con Developer ID que se distribuye fuera de la Mac App Store, donde el sandbox no es obligatorio. Combinado con Full Disk Access, eso significa que quedan muy pocas restricciones a nivel de archivo.

¿Puede ChatGPT eliminar mis mensajes?

Las capacidades documentadas del plugin de Messages son leer, buscar, redactar y enviar. Eliminar no está entre ellas. Sin embargo, la prueba práctica de PCWorld encontró que, al pedírselo, ChatGPT usó en su lugar una función de uso del ordenador habilitada por separado para hacer clic en los botones de Eliminar en la interfaz de Messages. Si no has habilitado el uso del ordenador, esa vía no existe. Si lo has hecho, sí existe.

¿Esto funciona en un Mac con Intel?

No. El plugin es exclusivo de Apple silicon. Si todavía usas Intel y estás evaluando tus opciones, nuestra guía del fin de la era de los Mac Intel cubre el panorama más amplio.

¿Debería usarlo?

Eso depende de qué tengas en tu Mac y de qué saques a cambio. El planteamiento honesto es: le estás otorgando a una aplicación sin sandbox, conectada a la red y respaldada por la nube, acceso de lectura permanente a todos los archivos protegidos de la máquina, a cambio de resúmenes y redacción de mensajes. Si ese intercambio te parece que vale la pena, aplica las mitigaciones de este artículo — mantén activada la aprobación de envío, mantén desactivado el uso del ordenador salvo que lo quieras, y revoca el permiso cuando no estés usando la función. Si no te parece que valga la pena, no pierdes nada más que una comodidad.

Conclusión

Existe una versión de este artículo que es una pieza alarmista, y esta no lo es. OpenAI construyó la función de una forma defendible: se ejecuta en el dispositivo para el acceso a archivos, no persiste un índice, restringe el envío por defecto tras una aprobación explícita, y te dice que no desactives esa restricción. Esas son mejores decisiones que las alternativas.

El problema está aguas arriba de OpenAI. macOS no tiene ningún permiso que signifique "puedes leer Messages". Tiene uno que significa "puedes leer todo", y cualquier app que quiera el primero tiene que pedir el segundo. Los usuarios entonces aprueban el permiso amplio mientras leen una explicación sobre el estrecho — que es exactamente la brecha de consentimiento informado que identificó Computerworld, y exactamente la brecha que Apple podría cerrar añadiendo un servicio acotado de Messages a TCC, como hizo con Contacts, Calendars y Photos.

Hasta que eso ocurra, la responsabilidad recae en ti de saber qué hace el interruptor. Ahora ya lo sabes. Ve a mirar tu lista de Full Disk Access — no por ChatGPT, sino porque casi con toda seguridad encontrarás algo ahí que otorgaste en 2023 y olvidaste.

Lecturas relacionadas: Por qué tu Mac sigue pidiendo permiso: cómo funciona realmente TCC · Apps de IA local en Mac: una guía de privacidad · Guía de seguridad y privacidad de Mac 2026 · Integración de ChatGPT en macOS Tahoe · iCloud Private Relay está filtrando tu dirección IP real

Fuentes: 9to5Mac, "ChatGPT update adds Apple Messages integration on Mac", 20 de agosto de 2026 · Computerworld, Jonny Evans, "ChatGPT wants Full Disk Access to your Mac and Messages", 21 de agosto de 2026 · PCWorld, "I gave ChatGPT access to Apple Messages. Then it took control of my Mac", 21 de agosto de 2026 · Engadget, "ChatGPT on Mac can now read and respond to Apple iMessages", agosto de 2026 · Apple, "Controlling app access to files in macOS", Apple Platform Security · Verificación local en macOS 26.5.2 (build 25F84) y ChatGPT.app 26.727.40816, 22 de agosto de 2026, usando codesign, plutil y ls.