O ChatGPT Quer Acesso Total ao Disco para Ler Seus iMessages

Em 20 de agosto de 2026, a OpenAI lançou um plugin de Apple Messages para o app de desktop do ChatGPT no macOS. Ele consegue ler e pesquisar suas conversas de iMessage, SMS e RCS, além de redigir e enviar mensagens em seu nome. Ele roda localmente no seu Mac, usando AppleScript e as APIs de acessibilidade do macOS, em vez de enviar o banco de dados das suas mensagens para algum lugar.

Para ativá-lo, você precisa conceder ao ChatGPT três permissões de privacidade do macOS: Full Disk Access, Contatos e Automação para o app Messages.

A segunda e a terceira são delimitadas. A primeira não é, e é essa a história inteira deste artigo. Full Disk Access não é uma permissão do Messages. É a permissão que remove quase todas as barreiras de privacidade em nível de arquivo que o macOS tem, para esse único app, de forma permanente, até você revogá-la. Depois que o ChatGPT a possui, a mesma concessão que permite ler o chat.db também permite ler seu repositório do Mail, seu histórico e cookies do Safari, seus backups do Time Machine e a pasta de dados privados de qualquer outro app na máquina.

Isso não é um bug na implementação da OpenAI, nem uma crítica ao recurso. É assim que a Apple projetou a permissão. Mas o fluxo de configuração a apresenta como "para o ChatGPT poder ler suas Messages", e vale a pena entender a diferença entre o que você acha que está aprovando e o que está realmente aprovando antes de clicar.

Principais Conclusões

• O Full Disk Access não é limitado ao Messages. É um único interruptor que isenta um app da maior parte das proteções de arquivo do TCC de uma só vez. O Mail, o Safari, os backups do Time Machine e os dados de contêiner de outros apps ficam todos legíveis.
• O ChatGPT.app não roda em sandbox. Verificamos os entitlements da build lançada: com.apple.security.app-sandbox é false. Um app fora do sandbox com Full Disk Access tem pouquíssimos limites restantes em nível de arquivo.
• O identificador do bundle é com.openai.codex, não com.openai.chat. Se você quiser redefinir suas permissões pelo Terminal, é esse o identificador que você precisa, e errar silenciosamente não redefine nada — ou, pior, redefine a permissão para todos os apps do seu Mac.
• A Automação é a permissão de envio. A própria string de uso do ChatGPT diz "ChatGPT uses Apple Events to control Mac apps on your behalf" (o ChatGPT usa Apple Events para controlar apps do Mac em seu nome). É isso que realmente comanda o Messages.
• O risco real está na combinação, não no plugin isolado. O teste prático da PCWorld constatou que o ChatGPT recorria a um recurso de computer-use habilitado anteriormente e clicava em botões Delete na janela do Messages quando o plugin não conseguia fazer o trabalho. Nada foi comprometido; dois recursos aprovados separadamente simplesmente se combinaram.
• Você pode auditar e revogar tudo isso em cerca de dois minutos. Os passos exatos estão abaixo, incluindo como verificar pelo Terminal se a revogação funcionou.

O Que a OpenAI Lançou

O plugin aparece na aba Plugins do app de desktop do ChatGPT. Segundo a descrição da OpenAI e as reportagens em torno do lançamento, ele está disponível em todos os planos do ChatGPT no app para macOS, e funciona nos contextos do ChatGPT Work e do Codex. É exclusivo para Apple silicon — Macs com Intel não o recebem.

Funcionalmente, ele faz quatro coisas:

1. Lê suas conversas do Messages.
2. Pesquisa nelas.
3. Redige uma mensagem para um destinatário.
4. Envia essa mensagem pelo Messages.

A postura de privacidade declarada pela OpenAI, por meio de um porta-voz citado no lançamento, é que o plugin não cria um índice dos seus textos, e que você precisa pedir explicitamente ao ChatGPT para recorrer ao contexto das mensagens antes que ele leia uma conversa. O envio, por padrão, é bloqueado por uma etapa de aprovação: o ChatGPT mostra a mensagem e o destinatário, e você confirma.

Existe uma opção para tornar essa aprovação persistente em uma determinada conversa. A própria OpenAI desaconselha isso, com palavras incomumente francas para uma configuração de produto — ativá-la "remove sua última chance de revisar uma mensagem antes que o ChatGPT a envie".

Leve isso ao pé da letra. Um fornecedor que diz para você não usar um interruptor de conveniência que ele mesmo criou é um fornecedor que pensou sobre o que acontece quando o modelo interpreta mal uma conversa.

As Três Permissões, e o Que Cada Uma Realmente Faz

O macOS controla tudo isso por meio do TCC — Transparency, Consent and Control — o subsistema responsável por todos os painéis de Privacy & Security no System Settings. Escrevemos um guia completo sobre o mecanismo do TCC em por que seu Mac fica pedindo permissão de Screen Recording, e o modelo descrito lá se aplica diretamente aqui. Resumindo: as entradas do TCC se vinculam à identidade de assinatura de código de um app, não ao seu caminho ou nome, e cada capacidade protegida é um serviço separado com sua própria concessão.

Contatos: Restrito e Bem-Comportado

Essa aqui faz exatamente o que diz. Ela permite que o ChatGPT resolva "mandar mensagem para a Sarah" para um número de telefone ou uma Apple Account. A permissão de Contatos da Apple é limitada ao repositório de Contatos e nada mais. Se você está preocupado com sua agenda de contatos saindo da máquina, essa é uma pergunta legítima para fazer à OpenAI sobre o tratamento de dados dela — mas não é uma questão sobre as permissões do macOS, porque a própria permissão concede exatamente o que o nome diz.

Automação: O Caminho de Envio

A permissão de Automação é o que realmente permite ao ChatGPT operar o Messages. Ela autoriza o app a enviar Apple Events para outro app — o mesmo mecanismo que o AppleScript usa há trinta anos.

Inspecionamos a build lançada do ChatGPT em um Mac (versão 26.727.40816, verificada em 22 de agosto de 2026) e o Info.plist dela declara esta string de uso, ao pé da letra:

NSAppleEventsUsageDescription = "ChatGPT uses Apple Events to control Mac apps on your behalf"

Seus entitlements de assinatura de código incluem:

com.apple.security.automation.apple-events => true

Repare na redação usada tanto no diálogo da própria Apple quanto na string da OpenAI: control Mac apps, no plural. A Automação é concedida por aplicativo-alvo — você aprova "ChatGPT wants to control Messages" separadamente de "ChatGPT wants to control Finder" — então, na prática, ela é limitada. Mas é limitada por app que você aprova, e cada nova aprovação é mais um diálogo que você ficará tentado a clicar sem pensar. Verifique de vez em quando System Settings → Privacy & Security → Automation e veja no que a lista se transformou.

Full Disk Access: A Que Não É Limitada

Aqui está o cerne da questão.

A documentação de Platform Security da Apple descreve a intenção do design com clareza: os usuários "should have full transparency, consent, and control over what apps are doing with their data" (devem ter total transparência, consentimento e controle sobre o que os apps fazem com seus dados), e o acesso a arquivos é dividido em categorias — Desktop, Documents, Downloads, iCloud Drive, volumes removíveis e de rede — que um app pode solicitar individualmente por meio de um diálogo. O Full Disk Access é diferente. É a categoria para a qual um app não pode solicitar diálogo. Você precisa entrar no System Settings e adicionar o app manualmente, justamente porque ela é mais abrangente que as outras.

O que ela cobre é o conjunto de locais que o macOS protege de apps comuns, independentemente das permissões de arquivo do Unix. Isso inclui, entre outros:

• ~/Library/Messages/ — o banco de dados do Messages, chat.db, e a pasta Attachments
• ~/Library/Mail/ — o repositório do Mail
• Os dados de cookies e histórico do Safari
• O conteúdo dos backups do Time Machine
• Os dados de contêiner protegidos de outros aplicativos
• Os próprios bancos de dados do TCC (somente leitura; mais sobre isso abaixo)

Você pode comprovar essa barreira no seu próprio Mac com um único comando. A partir de um Terminal que não recebeu Full Disk Access:

ls -la ~/Library/Messages/

Em um Mac padrão, isso retorna:

ls: /Users/you/Library/Messages/: Operation not permitted

Não "Permission denied" — Operation not permitted. Isso é o TCC recusando, não o sistema de arquivos. Rodamos exatamente isso no macOS 26.5.2 (build 25F84) enquanto escrevíamos este artigo, e obtivemos esse resultado. Agora conceda Full Disk Access ao Terminal e rode de novo: o diretório é listado. Nada mudou quanto ao proprietário ou ao modo do arquivo. A única coisa que mudou foi que um processo agora está isento da proteção.

É isso que você está entregando ao ChatGPT. Não "ler o Messages". Isenção da proteção.

E Ele Não Roda em Sandbox

Existe uma segunda camada que normalmente restringiria um app de Mac mesmo com uma concessão ampla do TCC: o App Sandbox. Um app em sandbox fica confinado ao seu próprio contêiner e aos recursos específicos que seus entitlements nomeiam, e o sandbox é imposto pelo kernel de forma independente do TCC.

Verificamos. Na build que inspecionamos, os entitlements do ChatGPT.app incluem:

com.apple.security.app-sandbox => false

Junto com:

com.apple.security.cs.allow-jit => true
com.apple.security.cs.allow-unsigned-executable-memory => true
com.apple.security.network.client => true

O app é assinado com um Developer ID (Developer ID Application: OpenAI OpCo, LLC, Team ID 2DC432GLL2) e distribuído fora da Mac App Store, onde o sandbox não é obrigatório. Isso é totalmente normal para um app de desktop com ambições de automação — você não consegue controlar outros apps de dentro de um sandbox estrito. Também é comum que runtimes no estilo Electron e que usam JIT carreguem as exceções allow-jit e allow-unsigned-executable-memory.

Mas a combinação importa. Um app fora do sandbox mais Full Disk Access chega perto da autoridade máxima de leitura de arquivos que um processo não-root pode ter no macOS. Se você estivesse avaliando o utilitário de qualquer outro fornecedor com esse perfil, você ia querer saber por que ele precisa disso. Aplique o mesmo padrão aqui.

Você pode verificar tudo isso por conta própria:

codesign -dv --verbose=2 /Applications/ChatGPT.app
codesign -d --entitlements - --xml /Applications/ChatGPT.app | plutil -p -

Os entitlements mudam entre versões. Os nossos foram lidos em 22 de agosto de 2026, na versão 26.727.40816; verifique sua própria build em vez de confiar em um número publicado num artigo.

A Armadilha do Bundle ID

Esta é a parte mais útil na prática deste texto, e é um detalhe que ainda não vimos publicado em nenhum outro lugar.

O identificador de bundle do app de desktop do ChatGPT é com.openai.codex. Não com.openai.chat, nem com.openai.chatgpt. O entitlement de application-identifier dele registra 2DC432GLL2.com.openai.codex, e seus grupos de aplicativo se chamam 2DC432GLL2.com.openai.codex.notifications e 2DC432GLL2.com.openai.sky.CUAService.

Confirme isso na sua própria máquina:

osascript -e 'id of app "ChatGPT"'

Ou:

mdls -name kMDItemCFBundleIdentifier /Applications/ChatGPT.app

Por que isso importa: tccutil é a única ferramenta de linha de comando para o TCC, seu único verbo é reset, e sua sintaxe é:

tccutil reset SERVICE [BUNDLE_ID]

Se você omitir o identificador de bundle, isso redefine esse serviço para todos os apps do seu Mac. Rodar tccutil reset SystemPolicyAllFiles sem um identificador vai retirar o Full Disk Access do seu software de backup, do seu utilitário de disco, do seu antivírus e de tudo mais que o tinha. Isso é, de fato, uma tarde muito ruim.

E se você chutar o identificador errado, recebe um erro em vez de uma operação silenciosamente vazia — o tccutil valida o identificador de bundle antes de validar o nome do serviço — mas o modo de falha que as pessoas realmente encontram é copiar um identificador errado de um post de blog e concluir que a redefinição "não funcionou". Obtenha-o na sua própria máquina.

O Risco Real Está na Combinação

O relato mais instrutivo da semana de lançamento não é, de forma alguma, sobre as permissões do plugin.

Escrevendo na PCWorld em 21 de agosto de 2026, um avaliador testou o plugin pedindo ao ChatGPT que resumisse conversas, redigisse mensagens e depois excluísse algumas conversas de spam. Excluir mensagens não é algo que o plugin do Messages consegue fazer. Em vez de recusar, o ChatGPT recorreu a um recurso de computer-use que o autor havia ativado antes e esquecido. O autor viu capturas de tela da própria janela do Messages aparecerem na interface do ChatGPT enquanto o assistente movia o ponteiro e clicava em Delete nas conversas de spam.

A própria interpretação do autor é a correta: o ChatGPT "didn't break out of its bounds" (não extrapolou seus limites). Nada foi comprometido. Todo recurso envolvido havia sido concedido. O problema é que duas aprovações separadamente razoáveis — "você pode ler minhas Messages" e "você pode controlar minha tela" — se combinaram em um comportamento que nenhuma das duas aprovações descrevia.

Aquele entitlement que identificamos antes, o grupo de aplicativo chamado 2DC432GLL2.com.openai.sky.CUAService, é compatível com um serviço de agente de computer-use embarcado no mesmo bundle do app. Não estamos afirmando que esse grupo foi o responsável pelos cliques; estamos observando que o recurso vive no mesmo processo ao qual você está concedendo Full Disk Access.

Jonny Evans fez o argumento complementar na Computerworld no mesmo dia: o próprio app ChatGPT se torna um alvo. Um app que detém Full Disk Access é algo de alto valor para comprometer, porque comprometê-lo herda a concessão. E seu argumento mais amplo é algo que assinaríamos: consentimento tecnicamente obtido não é o mesmo que consentimento informado. Uma caixa de seleção que diz "Full Disk Access" ao lado de uma explicação sobre o Messages é tecnicamente precisa e, na prática, enganosa.

Se você quiser o panorama mais amplo sobre rodar ferramentas de IA localmente de olho no que elas conseguem alcançar, veja nosso guia de privacidade para apps de IA local no Mac.

"Roda Localmente" Não Significa o Que a Maioria das Pessoas Pensa

Essa frase está carregando muito peso na cobertura do lançamento, e vale a pena desmontá-la, porque ela é, ao mesmo tempo, verdadeira e fácil de interpretar mal.

O que roda localmente: o acesso a arquivos. O plugin lê o chat.db no seu Mac. Ele usa AppleScript e as APIs de acessibilidade no seu Mac. Seu banco de dados de mensagens inteiro não é enviado para a OpenAI como uma exportação em massa, e a OpenAI diz que nenhum índice dele é criado ou retido.

O que não roda localmente: o modelo. O ChatGPT é um serviço em nuvem. Quando você pede que ele resuma uma conversa, o conteúdo dessa conversa é enviado para os servidores da OpenAI para ser resumido, porque é o único lugar onde essa sumarização pode acontecer. Não existe um modelo on-device fazendo esse trabalho.

Então o modelo mental correto não é "suas mensagens ficam no seu Mac". É "suas mensagens ficam no seu Mac até você fazer uma pergunta sobre elas, e aí as relevantes viajam." Isso é uma postura de privacidade genuinamente melhor do que um serviço em segundo plano que envia e indexa tudo continuamente — de verdade, e a OpenAI merece crédito por construir dessa forma. Não é a mesma coisa que processamento on-device.

Essa distinção importa porque o macOS tem, sim, processamento on-device para algumas tarefas equivalentes. Os recursos de sumarização da Apple Intelligence rodam no Neural Engine para um conjunto definido de operações, com o Private Cloud Compute para o restante. Se sua exigência é que o conteúdo das mensagens nunca saia da máquina em nenhuma circunstância, isso é uma categoria de produto diferente, e nosso guia sobre rodar IA localmente em um Mac cobre como são hoje as opções genuinamente on-device. Se sua exigência é "não construir uma cópia pesquisável e permanente da minha vida em um servidor", o design do plugin já atende a isso.

A pergunta relacionada que as pessoas fazem — se o conteúdo das mensagens é usado para treinamento — é uma questão das configurações da conta do ChatGPT, não do macOS, e é regida pelos controles de dados que se aplicam ao seu plano. Verifique essas configurações diretamente, em vez de deduzir a partir da descrição do plugin.

Se Você Gerencia Macs para uma Organização

Tudo o que foi dito acima é uma decisão pessoal. Em Macs gerenciados, é uma decisão de política, e o macOS oferece uma forma de tomá-la antes que alguém clique em qualquer coisa.

O Full Disk Access pode ser controlado por MDM. O payload Privacy Preferences Policy Control (PPPC) permite pré-aprovar, ou negar explicitamente, serviços específicos do TCC para aplicativos específicos identificados por bundle ID e code requirement. O serviço relevante para o Full Disk Access é SystemPolicyAllFiles; a automação de Apple Events é AppleEvents; a Acessibilidade é Accessibility; a captura de tela é ScreenCapture.

Três pontos que vale a pena conhecer antes de escrever o perfil:

1. Negar é mais confiável do que permitir, neste caso. Um payload PPPC que nega um serviço impede o usuário de concedê-lo no System Settings. Esse é o controle que você quer se a resposta for "não".
2. Identifique o app corretamente. O identificador de bundle é com.openai.codex e o identificador de equipe é 2DC432GLL2 na build que inspecionamos. Seu code requirement deve fixar ambos — um payload baseado no nome de exibição não fará o que você quer.
3. Captura de tela e acessibilidade são a superfície do computer-use. Se sua preocupação é um agente de IA controlando um Mac gerenciado, negar apenas o SystemPolicyAllFiles não resolve isso. Accessibility e ScreenCapture são serviços separados e precisam de entradas separadas.

Também existe uma questão de governança de dados que fica totalmente fora do macOS: uma implantação corporativa aprovada do ChatGPT que lê o banco de dados de Messages de um usuário vai puxar conversas pessoais junto com as de trabalho, porque o chat.db não faz essa distinção. Vale a pena levantar isso com quem for responsável pela sua política de uso aceitável antes que vire um incidente. Nosso guia de implantação corporativa do macOS cobre a mecânica dos perfis de forma geral.

Como Auditar o Que Você Já Concedeu

Faça isso independentemente de usar o plugin ou não. Leva dois minutos e vale para todos os apps, não só para este.

1. Full Disk Access

System Settings → Privacy & Security → Full Disk Access.

Leia a lista inteira. Para cada item, faça uma pergunta: esse app precisa ler todos os arquivos protegidos do meu Mac para fazer o trabalho dele? Ferramentas de backup genuinamente precisam. Ferramentas de análise de disco genuinamente precisam. O Terminal, se você o usa para administração, genuinamente precisa. A maioria das outras coisas não precisa, e apps que receberam a permissão anos atrás por um motivo pontual ainda a mantêm.

Desative tudo o que você não conseguir justificar. Nada quebra permanentemente — o app vai pedir de novo se precisar.

2. Automação

System Settings → Privacy & Security → Automation.

Esse painel é organizado como app controlador → lista de apps que ele pode controlar. Expanda o ChatGPT e veja o que está listado sob ele. Se listar Messages, é o plugin. Se listar Finder, System Events, Terminal ou Safari, isso é uma superfície de automação mais ampla, e você deveria saber por que ela está lá.

3. Acessibilidade

System Settings → Privacy & Security → Accessibility.

Essa é a permissão por trás de cliques e teclas sintéticos — o mecanismo de que um recurso de computer-use precisa. Se um app está nessa lista, ele pode controlar a interface do seu Mac. Verifique se o ChatGPT está lá, e remova-o se você não quiser esse recurso ficar ativo à espreita.

4. Gravação de Tela e Áudio do Sistema

System Settings → Privacy & Security → Screen & System Audio Recording.

Um agente de computer-use precisa ver a tela para agir sobre ela. Se o ChatGPT estiver nessa lista, é dali que vieram as capturas de tela do relato da PCWorld.

5. Verifique Pelo Terminal

Os painéis de permissões podem mentir para você — um app pode aparecer como concedido no System Settings enquanto a concessão está quebrada, geralmente porque a assinatura de código do app mudou. A verificação confiável é comportamental. Depois de revogar o Full Disk Access de um app, feche-o completamente, reabra-o e peça que ele faça a coisa que exige a permissão. Se ele pedir de novo, a revogação funcionou.

Você também pode confirmar essa barreira de forma genérica a partir de um Terminal sem Full Disk Access:

ls ~/Library/Messages/ 2>&1

Operation not permitted significa que o TCC está fazendo seu trabalho para aquele processo.

Se Você Quiser Usar o Plugin Mesmo Assim

Essa é uma escolha legítima, e existe uma posição intermediária entre "conceder tudo" e "nunca tocar nisso".

Mantenha a aprovação de envio ativada. Não ative a aprovação persistente para uma conversa, mesmo uma para a qual você manda mensagens o tempo todo. A OpenAI já disse por quê.

Verifique se o computer-use está ativado, separadamente. É um recurso diferente, com um interruptor diferente. Se você não precisa de uma IA movendo seu ponteiro, desative-o e remova o app de Acessibilidade e de Screen Recording.

Trate o Full Disk Access como revogável, não permanente. Se você usa o plugin do Messages ocasionalmente, nada impede que você desative o Full Disk Access entre as sessões. É só um interruptor. O plugin vai parar de funcionar e voltará a funcionar quando você reativá-lo.

Pense em qual Mac. Se você tem mais de um, o plugin não precisa viver naquele que tem seu repositório do Mail de trabalho, o backup do seu cofre de senhas e oito anos de snapshots do Time Machine.

Pense no outro lado da conversa. Todo mundo que já mandou mensagem para você está nesse banco de dados, e essas pessoas não consentiram com nada. Isso não é um problema do macOS e nenhuma configuração de permissão resolve. Ainda assim, vale um momento de reflexão.

Não conceda Full Disk Access a um app que você não baixou por conta própria, de uma fonte em que confia. Um instalador que pede Full Disk Access com uma justificativa pouco clara é o pedido de maior alavancagem que um malware pode fazer no macOS, e é exatamente o padrão por trás das famílias de roubo de credenciais que cobrimos em o falso prompt de senha em relatório de falha.

Solução de Problemas Comuns

O plugin não aparece na aba Plugins

Verifique três coisas, nessa ordem. Primeiro, se você está em um Mac com Apple silicon — o plugin não é oferecido em Intel. Segundo, se o app de desktop do ChatGPT está atualizado; recursos que chegam em uma build de agosto não vão aparecer em uma build da primavera. Terceiro, se você está no app de desktop do ChatGPT, e não no app web em um navegador — uma aba de navegador não pode ter permissões de privacidade do macOS.

Concedi o Full Disk Access, mas o ChatGPT ainda não consegue ler o Messages

Feche o ChatGPT completamente — Command-Q, não apenas fechar a janela — e reabra-o. As concessões do TCC são avaliadas quando um processo é iniciado. Um processo em execução que foi negado permanece negado durante toda a sua vida útil.

Se isso não resolver, você pode estar esbarrando no problema de identidade de assinatura de código: se o app foi atualizado ou movido depois da concessão, a entrada no System Settings pode parecer correta enquanto aponta para uma assinatura diferente. Desative o app em Full Disk Access, remova-o com o botão de menos, feche, reabra e adicione-o de novo. Nosso guia de solução de problemas do TCC cobre as cinco causas distintas de uma permissão que aparece como concedida, mas não funciona.

O ChatGPT continua pedindo para controlar o Messages toda vez

Isso é a permissão de Automação não permanecendo, e a causa quase sempre é o mesmo problema de identidade de assinatura de código. Verifique System Settings → Privacy & Security → Automation, expanda o ChatGPT e confirme se o Messages está ativado. Se estiver ativado e continuar pedindo, redefina só esse par:

tccutil reset AppleEvents com.openai.codex

Depois aprove o diálogo mais uma vez. Preste atenção ao identificador de bundle — veja a seção acima sobre por que chutá-lo é uma má ideia.

Quero remover todas as permissões que dei a ele

A redefinição completa, usando o identificador de bundle correto:

tccutil reset All com.openai.codex

Isso limpa todas as concessões do TCC apenas para esse app. Feche e reabra o ChatGPT em seguida. Depois confirme no System Settings que Full Disk Access, Automation, Accessibility e Screen Recording não o listam mais. O tccutil não consegue conceder nada, só redefinir, então não há como desfazer isso pelo Terminal — você vai reaprovar pelos diálogos normais.

Mensagens enviadas que eu não aprovei

Verifique se a aprovação persistente estava ativada para aquela conversa. Na interface do ChatGPT, a configuração por conversa que pula a confirmação é o que você deve procurar. Desative-a. Se você não encontrar uma configuração que explique isso, revogue a Automação para o Messages — isso remove totalmente o caminho de envio, mantendo a leitura intacta, o que é uma configuração razoável se você só quer sumarização.

FAQ

O ChatGPT envia minhas Messages para os servidores da OpenAI?

A OpenAI diz que o plugin roda localmente no seu Mac e não cria um índice dos seus textos. O que é enviado ao modelo é o contexto que você pede para ele usar — se você pedir um resumo de uma conversa, o conteúdo dessa conversa vai para o modelo ser resumido, porque é assim que um modelo em nuvem funciona. "Roda localmente" descreve onde acontece o acesso a arquivos, não onde acontece o raciocínio. Se você precisa que o conteúdo das mensagens nunca saia da máquina, este não é o recurso certo.

O Full Disk Access é realmente necessário só para ler o Messages?

Sim, dado como a Apple construiu isso. ~/Library/Messages/ fica atrás da barreira do Full Disk Access, e não existe uma permissão mais restrita de "acesso ao Messages" para apps de terceiros solicitarem. A Apple oferece diálogos limitados para Desktop, Documents, Downloads, iCloud Drive e volumes removíveis, mas não para o repositório do Messages. Então um app que quer ler suas mensagens precisa pedir a permissão ampla. A limitação de design é da Apple; a consequência é sua.

Qual é o identificador de bundle do app ChatGPT?

com.openai.codex, na build que inspecionamos (versão 26.727.40816, 22 de agosto de 2026), assinado por OpenAI OpCo, LLC com Team ID 2DC432GLL2. Verifique no seu próprio Mac com osascript -e 'id of app "ChatGPT"' antes de usá-lo em qualquer comando tccutil.

O app ChatGPT para Mac roda em sandbox?

Não. Seus entitlements definem com.apple.security.app-sandbox como false. É um app assinado com Developer ID e distribuído fora da Mac App Store, onde o sandbox não é obrigatório. Combinado com o Full Disk Access, isso significa pouquíssimas restrições restantes em nível de arquivo.

O ChatGPT pode excluir minhas mensagens?

Os recursos documentados do plugin do Messages são ler, pesquisar, redigir e enviar. Exclusão não está entre eles. No entanto, o teste prático da PCWorld constatou que, ao ser solicitado a excluir, o ChatGPT usou um recurso de computer-use ativado separadamente para clicar nos botões Delete na interface do Messages. Se você não ativou o computer-use, esse caminho não existe. Se ativou, existe.

Isso funciona em um Mac com Intel?

Não. O plugin é exclusivo para Apple silicon. Se você ainda está no Intel e avaliando suas opções, nosso guia sobre o fim da era dos Macs Intel cobre o panorama mais amplo.

Devo usar?

Depende do que está no seu Mac e do que você ganha com isso. A forma honesta de colocar é: você está concedendo a um aplicativo fora do sandbox, conectado à rede e apoiado em nuvem, acesso de leitura permanente a todos os arquivos protegidos da máquina, em troca de sumarização e redação de mensagens. Se essa troca vale a pena para você, adote as mitigações deste artigo — mantenha a aprovação de envio ativada, mantenha o computer-use desativado a menos que você o queira, e revogue a permissão quando não estiver usando o recurso. Se não valer a pena, você não perde nada além de uma conveniência.

Conclusão

Existe uma versão deste artigo que seria um texto alarmista, e não é essa. A OpenAI construiu o recurso de uma forma defensável: ele roda on-device para o acesso a arquivos, não persiste um índice, bloqueia o envio atrás de uma aprovação explícita por padrão, e diz para você não desativar essa trava. Essas são escolhas melhores do que as alternativas.

O problema está a montante da OpenAI. O macOS não tem uma permissão que signifique "você pode ler o Messages". Ele tem uma que significa "você pode ler tudo", e qualquer app que queira a primeira precisa pedir a segunda. Os usuários então aprovam a permissão ampla enquanto leem uma explicação sobre a restrita — o que é exatamente a lacuna de consentimento informado identificada pela Computerworld, e exatamente a lacuna que a Apple poderia fechar adicionando um serviço limitado de Messages ao TCC, do jeito que fez para Contatos, Calendários e Fotos.

Até que isso aconteça, o ônus é seu de saber o que o interruptor faz. Agora você sabe. Vá dar uma olhada na sua lista de Full Disk Access — não por causa do ChatGPT, mas porque você quase certamente vai encontrar ali algo que você concedeu em 2023 e esqueceu.

Leitura relacionada: Por que seu Mac fica pedindo permissão: como o TCC realmente funciona · Apps de IA local no Mac: um guia de privacidade · Guia de segurança e privacidade do Mac 2026 · Integração do ChatGPT no macOS Tahoe · O iCloud Private Relay está vazando seu endereço IP real

Fontes: 9to5Mac, "ChatGPT update adds Apple Messages integration on Mac", 20 de agosto de 2026 · Computerworld, Jonny Evans, "ChatGPT wants Full Disk Access to your Mac and Messages", 21 de agosto de 2026 · PCWorld, "I gave ChatGPT access to Apple Messages. Then it took control of my Mac", 21 de agosto de 2026 · Engadget, "ChatGPT on Mac can now read and respond to Apple iMessages", agosto de 2026 · Apple, "Controlling app access to files in macOS", Apple Platform Security · Verificação local no macOS 26.5.2 (build 25F84) e no ChatGPT.app 26.727.40816, 22 de agosto de 2026, usando codesign, plutil e ls.