ChatGPT хочет полный доступ к диску, чтобы читать ваши iMessage

Q: Действительно ли Full Disk Access необходим просто для чтения Messages?

Да, учитывая, как это устроила Apple. ~/Library/Messages/ находится за шлюзом Full Disk Access, и более узкого разрешения «доступ к Messages» для сторонних приложений не существует. Apple предоставляет точечные диалоги для Desktop, Documents, Downloads, iCloud Drive и съемных томов, но не для хранилища Messages. Поэтому приложению, которое хочет читать ваши сообщения, приходится запрашивать широкое разрешение. Это ограничение конструкции — на стороне Apple; последствия — на вашей.

Q: Каков идентификатор пакета приложения ChatGPT?

com.openai.codex, в изученной нами сборке (версия 26.727.40816, 22 августа 2026 года), подписанной OpenAI OpCo, LLC с идентификатором команды 2DC432GLL2. Проверьте на своем Mac командой osascript -e 'id of app "ChatGPT"', прежде чем использовать его в любой команде tccutil.

Q: Работает ли приложение ChatGPT для Mac в песочнице?

Нет. Его entitlements устанавливают com.apple.security.app-sandbox в false. Это приложение, подписанное Developer ID и распространяемое вне Mac App Store, где песочница не требуется. В сочетании с Full Disk Access это означает очень мало оставшихся файловых ограничений.

Плагин Apple Messages от OpenAI требует Full Disk Access, Contacts и Automation на вашем Mac. Разбираем, что на самом деле дает каждое разрешение, и как это проверить.

20 августа 2026 года OpenAI выпустила плагин Apple Messages для десктопного приложения ChatGPT на macOS. Он умеет читать и искать по вашим переписками в iMessage, SMS и RCS, а также составлять и отправлять сообщения от вашего имени. Работает он локально на вашем Mac, используя AppleScript и системные API доступности macOS, а не загружая вашу базу сообщений куда-либо.

Чтобы включить плагин, вам нужно выдать ChatGPT три разрешения приватности macOS: Full Disk Access, Contacts и Automation для приложения Messages.

Второе и третье из них четко ограничены по области действия. Первое — нет, и в этом суть всей статьи. Full Disk Access — это не разрешение «для Messages». Это разрешение, которое снимает почти все файловые границы приватности macOS для этого конкретного приложения — и снимает их навсегда, до тех пор, пока вы его не отзовете. Как только оно есть у ChatGPT, тот же самый допуск, который позволяет читать chat.db, позволяет читать и хранилище Mail, историю и куки Safari, содержимое резервных копий Time Machine, а также приватную папку данных любого другого приложения на машине.

Это не баг в реализации OpenAI и не критика функции. Так устроено само разрешение — это решение Apple. Но экран настройки преподносит это как «чтобы ChatGPT мог читать ваши сообщения», и разрыв между тем, что вы думаете, что одобряете, и тем, что вы одобряете на самом деле, стоит понять до того, как вы нажмете кнопку.

Главное

Full Disk Access не ограничен рамками Messages. Это единый переключатель, который разом освобождает приложение от большинства файловых защит TCC. Mail, Safari, резервные копии Time Machine и контейнерные данные других приложений становятся читаемыми.
ChatGPT.app не работает в песочнице. Мы проверили entitlements в выпущенной сборке: com.apple.security.app-sandbox равен false. У приложения без песочницы с Full Disk Access почти не остается файловых ограничений.
Идентификатор пакета — com.openai.codex, а не com.openai.chat. Если вы хотите сбросить его разрешения из Terminal, вам нужен именно этот идентификатор, а ошибка в нем молча не сбросит ничего — или, что хуже, сбросит разрешение сразу для всех приложений на вашем Mac.
Automation — это разрешение на отправку. Собственная строка использования ChatGPT гласит: «ChatGPT uses Apple Events to control Mac apps on your behalf». Именно оно управляет Messages.
Реальный риск — в комбинации возможностей, а не в самом плагине. В практическом тесте PCWorld ChatGPT переключился на ранее включенную функцию computer-use и сам нажимал кнопки Delete в окне Messages, когда плагин не мог справиться с задачей. Ничего не было взломано — просто две отдельно одобренные функции сработали вместе.
Вы можете проверить и отозвать все это примерно за две минуты. Точные шаги приведены ниже, включая способ убедиться из Terminal, что отзыв действительно сработал.

Что выпустила OpenAI

Плагин появляется во вкладке Plugins десктопного приложения ChatGPT. По описанию OpenAI и по материалам о запуске, он доступен на всех тарифах ChatGPT в приложении для macOS и работает в контекстах ChatGPT Work и Codex. Он доступен только на Apple silicon — Mac на Intel его не получают.

Функционально он делает четыре вещи:

Читает ваши переписки в Messages.
Ищет по ним.
Составляет сообщение для получателя.
Отправляет это сообщение через Messages.

Заявленная позиция OpenAI по приватности, озвученная представителем компании на запуске, — что плагин не строит индекс ваших сообщений, и что вы должны явно попросить ChatGPT обратиться к контексту переписки, прежде чем он ее прочитает. Отправка по умолчанию требует шага подтверждения: ChatGPT показывает вам сообщение и получателя, а вы подтверждаете.

Есть опция сделать это подтверждение постоянным для конкретного разговора. Сама OpenAI советует этого не делать, причем формулировка для продуктовой настройки необычно откровенна — включение опции «убирает вашу последнюю возможность проверить сообщение перед тем, как ChatGPT его отправит».

Отнеситесь к этому серьезно. Когда вендор советует не пользоваться переключателем удобства, который он сам же построил, — это вендор, который подумал о том, что происходит, когда модель неверно понимает переписку.

Три разрешения и что каждое из них реально делает

macOS управляет всем этим через TCC — Transparency, Consent and Control, подсистему, которой принадлежит каждая панель Privacy & Security в System Settings. Мы написали полный разбор механизма TCC в статье почему ваш Mac постоянно просит разрешение Screen Recording, и описанная там модель применима и здесь напрямую. Кратко: записи TCC привязаны к идентичности подписи кода приложения, а не к его пути или имени, и каждая защищенная возможность — это отдельная служба со своим собственным допуском.

Contacts: узко и предсказуемо

Это разрешение делает именно то, что заявлено. Оно позволяет ChatGPT сопоставить «написать Саре» с номером телефона или Apple Account. Разрешение Contacts от Apple ограничено хранилищем контактов и ничем больше. Если вас беспокоит, что ваша адресная книга покидает машину, — это реальный вопрос к OpenAI об обработке данных, но не вопрос к разрешениям macOS, потому что само разрешение выдает ровно то, что называет.

Automation: путь отправки

Разрешение Automation — это то, что на самом деле позволяет ChatGPT управлять Messages. Оно дает приложению право отправлять Apple Events другому приложению — тот же механизм, которым AppleScript пользуется уже тридцать лет.

Мы изучили выпущенную сборку ChatGPT на Mac (версия 26.727.40816, проверено 22 августа 2026 года), и ее Info.plist дословно объявляет такую строку использования:

NSAppleEventsUsageDescription = "ChatGPT uses Apple Events to control Mac apps on your behalf"

Ее entitlements подписи кода включают:

com.apple.security.automation.apple-events => true

Обратите внимание на формулировку в диалоге самой Apple и в строке OpenAI: control Mac apps, во множественном числе. Automation выдается для каждого целевого приложения по отдельности — вы одобряете «ChatGPT wants to control Messages» отдельно от «ChatGPT wants to control Finder», — так что на практике это ограничено. Но ограничено по каждому одобренному вами приложению, и каждое новое одобрение — это еще один диалог, который захочется бездумно проскочить. Время от времени заглядывайте в System Settings → Privacy & Security → Automation и смотрите, во что вырос этот список.

Full Disk Access: то, что не ограничено

Вот и суть.

Панель Privacy and Security в System Settings macOS

Документация Apple по безопасности платформы прямо описывает замысел: пользователи «должны иметь полную прозрачность, согласие и контроль над тем, что приложения делают с их данными», а доступ к файлам разделен на категории — Desktop, Documents, Downloads, iCloud Drive, съемные и сетевые тома, — которые приложение может запросить по отдельности через диалог. Full Disk Access устроен иначе. Это категория, для которой приложение не может показать диалог запроса. Вам приходится самостоятельно заходить в System Settings и добавлять приложение вручную — именно потому, что она шире остальных.

То, что она покрывает, — это набор мест, которые macOS защищает от обычных приложений независимо от Unix-прав доступа к файлам. В частности, туда входят:

~/Library/Messages/ — база данных Messages chat.db и папка Attachments
~/Library/Mail/ — хранилище Mail
Куки и история Safari
Содержимое резервных копий Time Machine
Защищенные контейнерные данные других приложений
Сами базы данных TCC (только для чтения; подробнее об этом ниже)

Вы можете сами убедиться в этой границе одной командой. Из Terminal, которому не предоставлен Full Disk Access:

ls -la ~/Library/Messages/

На чистом Mac это вернет:

ls: /Users/you/Library/Messages/: Operation not permitted

Не «Permission denied» — именно Operation not permitted. Это отказ TCC, а не файловой системы. Мы выполнили ровно это на macOS 26.5.2 (сборка 25F84) при написании статьи и получили именно такой результат. Теперь выдайте Full Disk Access для Terminal и запустите команду снова: содержимое папки выводится. Ничего не изменилось ни во владельце файла, ни в его режиме доступа. Единственное, что изменилось, — один процесс теперь освобожден от защиты.

Вот что вы на самом деле передаете ChatGPT. Не «читать Messages». Освобождение от защиты.

И оно не в песочнице

Есть еще один уровень, который в норме ограничивал бы приложение Mac даже при широком допуске TCC: App Sandbox. Приложение в песочнице заперто в собственном контейнере и в конкретных ресурсах, которые называют его entitlements, и песочница обеспечивается ядром независимо от TCC.

Мы проверили. В изученной нами сборке entitlements ChatGPT.app включают:

com.apple.security.app-sandbox => false

Наряду с ними:

com.apple.security.cs.allow-jit => true
com.apple.security.cs.allow-unsigned-executable-memory => true
com.apple.security.network.client => true

Приложение подписано Developer ID (Developer ID Application: OpenAI OpCo, LLC, идентификатор команды 2DC432GLL2) и распространяется вне Mac App Store, где песочница не обязательна. Это вполне обычно для десктопного приложения с амбициями по автоматизации — управлять другими приложениями изнутри строгой песочницы не получится. Также распространено, что среды в стиле Electron и использующие JIT несут исключения allow-jit и allow-unsigned-executable-memory.

Но важна именно комбинация. Приложение без песочницы плюс Full Disk Access — это почти максимальные права на чтение файлов, какими может обладать процесс без root на macOS. Если бы вы оценивали утилиту любого другого вендора с таким профилем, вам захотелось бы узнать, зачем ей это нужно. Примените тот же стандарт и здесь.

Вы можете проверить все это самостоятельно:

codesign -dv --verbose=2 /Applications/ChatGPT.app
codesign -d --entitlements - --xml /Applications/ChatGPT.app | plutil -p -

Entitlements меняются от версии к версии. Наши данные получены 22 августа 2026 года из версии 26.727.40816; проверьте свою собственную сборку, а не доверяйте цифре из статьи.

Ловушка с идентификатором пакета

Это самая практически полезная вещь в этой статье, и деталь, которую мы нигде больше не видели опубликованной.

Идентификатор пакета десктопного приложения ChatGPT — com.openai.codex. Не com.openai.chat, не com.openai.chatgpt. Его entitlement application-identifier гласит 2DC432GLL2.com.openai.codex, а его application groups называются 2DC432GLL2.com.openai.codex.notifications и 2DC432GLL2.com.openai.sky.CUAService.

Подтвердите это на своей машине:

osascript -e 'id of app "ChatGPT"'

Или:

mdls -name kMDItemCFBundleIdentifier /Applications/ChatGPT.app

Почему это важно: tccutil — единственный инструмент командной строки для TCC, у него только один глагол — reset, и его синтаксис таков:

tccutil reset SERVICE [BUNDLE_ID]

Если вы пропустите идентификатор пакета, команда сбросит эту службу для всех приложений на вашем Mac. Выполнение tccutil reset SystemPolicyAllFiles без идентификатора снимет Full Disk Access с вашего софта для резервного копирования, утилиты дисков, антивируса и всего остального, у кого он был. Это по-настоящему испорченный вечер.

А если вы угадаете идентификатор неверно, вы получите ошибку, а не тихий отказ — tccutil проверяет идентификатор пакета раньше, чем название службы, — но реальный сценарий, с которым люди сталкиваются, это скопировать неверный идентификатор из статьи в блоге и решить, что сброс «не сработал». Возьмите идентификатор со своей собственной машины.

Реальный риск — в комбинации возможностей

Самый показательный материал недели запуска вообще не о разрешениях плагина.

В материале PCWorld от 21 августа 2026 года рецензент протестировал плагин, попросив ChatGPT сделать сводку переписок, составить сообщения, а затем удалить несколько спам-тредов. Удаление сообщений — не то, что плагин Messages умеет делать. Вместо отказа ChatGPT переключился на функцию computer-use, включенную автором ранее и забытую. Автор наблюдал, как в интерфейсе ChatGPT появлялись скриншоты настоящего окна Messages, пока ассистент двигал курсор и нажимал Delete на спам-переписках.

Собственная формулировка автора верна: ChatGPT «didn't break out of its bounds» — не вышел за рамки дозволенного. Ничего не было скомпрометировано. Каждая задействованная возможность была выдана заранее. Проблема в том, что два по отдельности разумных одобрения — «вы можете читать мои сообщения» и «вы можете управлять моим экраном» — сложились в поведение, которое не описывало ни одно из этих одобрений.

Тот entitlement, который мы заметили ранее, — application group с именем 2DC432GLL2.com.openai.sky.CUAService, — согласуется со службой агента computer-use, поставляемой внутри того же пакета приложения. Мы не утверждаем, что именно эта группа управляла кликами; мы лишь отмечаем, что эта возможность живет в том же процессе, которому вы выдаете Full Disk Access.

Джонни Эванс сделал дополняющее замечание в Computerworld в тот же день: само приложение ChatGPT становится мишенью. Приложение с Full Disk Access — ценная цель для взлома, потому что взлом самого приложения наследует и его допуск. И его более широкий тезис — тот, под которым мы готовы подписаться: технически полученное согласие — это не то же самое, что осознанное согласие. Галочка «Full Disk Access» рядом с объяснением про Messages технически точна и практически вводит в заблуждение.

Если вам интересна более широкая картина по запуску AI-инструментов локально с оглядкой на то, до чего они могут дотянуться, см. наш гид по приватности локальных AI-приложений на Mac.

«Работает локально» означает не совсем то, что читают в это большинство

Эта фраза несет большую нагрузку в материалах о запуске, и ее стоит разобрать по частям, потому что она одновременно верна и легко читается неверно.

Что работает локально: доступ к файлам. Плагин читает chat.db на вашем Mac. Он использует AppleScript и API доступности на вашем Mac. Вся ваша база сообщений не загружается в OpenAI единым экспортом, и OpenAI заявляет, что никакой индекс по ней не строится и не сохраняется.

Что не работает локально: сама модель. ChatGPT — облачный сервис. Когда вы просите его сделать сводку переписки, содержимое этой переписки отправляется на серверы OpenAI для обработки, потому что только там эта обработка и может произойти. Никакой модели на устройстве, выполняющей эту работу, нет.

Поэтому точная ментальная модель звучит не как «ваши сообщения остаются на вашем Mac». Она звучит так: «ваши сообщения остаются на вашем Mac до тех пор, пока вы не зададите о них вопрос, — и тогда нужные сообщения отправляются наружу». Это ощутимо лучшая позиция по приватности, чем фоновая служба, которая непрерывно загружает и индексирует все подряд, — и это по-настоящему так, OpenAI заслуживает признания за то, что построила плагин именно так. Но это не то же самое, что обработка на устройстве.

Это различие важно, потому что в macOS действительно есть обработка на устройстве для некоторых аналогичных задач. Функции суммаризации Apple Intelligence работают на Neural Engine для определенного набора операций, а для остального используется Private Cloud Compute. Если вам требуется, чтобы содержимое сообщений ни при каких обстоятельствах не покидало машину, — это уже другая категория продуктов, и наш гид по запуску AI локально на Mac описывает, как выглядят по-настоящему локальные варианты сегодня. Если же ваше требование — «не создавать на сервере постоянную поисковую копию моей жизни», — конструкция плагина этому требованию уже удовлетворяет.

Смежный вопрос, который задают люди, — используется ли содержимое сообщений для обучения, — это вопрос настроек аккаунта ChatGPT, а не macOS, и регулируется тем, какие средства контроля данных применяются к вашему тарифу. Проверьте эти настройки напрямую, а не делайте выводы из описания плагина.

Если вы управляете парком Mac в организации

Все сказанное выше — личное решение. На управляемых Mac это уже вопрос политики, и macOS дает способ решить его до того, как кто-либо нажмет хоть одну кнопку.

Full Disk Access можно регулировать через MDM. Полезная нагрузка Privacy Preferences Policy Control (PPPC) позволяет заранее одобрить или явно запретить конкретные службы TCC для конкретных приложений, идентифицированных по bundle ID и требованию кода. Соответствующая служба для Full Disk Access — SystemPolicyAllFiles; автоматизация Apple Events — AppleEvents; Accessibility — Accessibility; захват экрана — ScreenCapture.

Три момента, которые стоит знать перед написанием профиля:

Запрет здесь надежнее разрешения. Полезная нагрузка PPPC, которая запрещает службу, не позволяет пользователю выдать ее самостоятельно в System Settings. Это тот контроль, который нужен, если ответ — «нет».
Идентифицируйте приложение правильно. Идентификатор пакета — com.openai.codex, идентификатор команды — 2DC432GLL2 в изученной нами сборке. Ваше требование к коду должно фиксировать оба значения — профиль, привязанный к отображаемому имени, не сработает как нужно.
Захват экрана и Accessibility — это поверхность computer-use. Если ваша забота — AI-агент, управляющий управляемым Mac, запрет одного только SystemPolicyAllFiles этого не решает. Accessibility и ScreenCapture — отдельные службы, и им нужны отдельные записи.

Есть еще и вопрос управления данными, который лежит целиком вне macOS: одобренное корпоративное развертывание ChatGPT, читающее базу сообщений пользователя, захватит и личные переписки наряду с рабочими, потому что chat.db их не различает. Это стоит поднять с тем, кто отвечает за вашу политику допустимого использования, прежде чем это превратится в инцидент. Наш гид по корпоративному развертыванию macOS описывает механику профилей в целом.

Как проверить то, что вы уже выдали

Сделайте это независимо от того, пользуетесь ли вы плагином. Это занимает две минуты и касается каждого приложения, не только этого.

1. Full Disk Access

System Settings → Privacy & Security → Full Disk Access.

Прочитайте весь список. По каждой записи задайте один вопрос: действительно ли этому приложению нужно читать каждый защищенный файл на моем Mac, чтобы выполнять свою работу? Инструментам резервного копирования это действительно нужно. Утилитам анализа диска — действительно нужно. Terminal, если вы используете его для администрирования, — действительно нужно. Большинству остального — нет, и приложения, которым выдали это разрешение годы назад по разовой причине, до сих пор его удерживают.

Отключите все, что не можете обосновать. Ничего не сломается навсегда — приложение снова спросит, если разрешение ему понадобится.

2. Automation

System Settings → Privacy & Security → Automation.

Эта панель организована по принципу приложение-контроллер → список приложений, которыми оно может управлять. Разверните ChatGPT и посмотрите, что под ним. Если там значится Messages — это плагин. Если там значатся Finder, System Events, Terminal или Safari — это более широкая поверхность автоматизации, и стоит понимать, откуда она взялась.

3. Accessibility

System Settings → Privacy & Security → Accessibility.

Это разрешение стоит за синтетическими кликами и нажатиями клавиш — механизм, необходимый функции computer-use. Если приложение в этом списке, оно может управлять интерфейсом вашего Mac. Проверьте, есть ли там ChatGPT, и удалите его, если не хотите, чтобы эта возможность оставалась во взведенном состоянии.

4. Screen & System Audio Recording

System Settings → Privacy & Security → Screen & System Audio Recording.

Агенту computer-use нужно видеть экран, чтобы действовать на нем. Если ChatGPT в этом списке — именно отсюда взялись скриншоты в материале PCWorld.

Проверка разрешений приложений на macOS

5. Проверьте из Terminal

Панели разрешений могут вас обманывать: приложение может выглядеть как получившее допуск в System Settings, хотя допуск на самом деле сломан — обычно из-за того, что подпись кода приложения изменилась. Надежная проверка — поведенческая. После отзыва Full Disk Access у приложения полностью закройте его, перезапустите и попросите сделать то, для чего нужно это разрешение. Если оно снова спрашивает разрешение — отзыв сработал.

Вы также можете в общем виде подтвердить эту границу из Terminal без Full Disk Access:

ls ~/Library/Messages/ 2>&1

Operation not permitted означает, что TCC делает свою работу для этого процесса.

Если вы все же хотите пользоваться плагином

Это законный выбор, и есть промежуточная позиция между «выдать все» и «никогда не трогать».

Оставьте подтверждение отправки включенным. Не включайте постоянное подтверждение для разговора, даже для того, которым пользуетесь постоянно. OpenAI объяснила почему.

Проверьте, включен ли computer use, отдельно. Это отдельная функция с отдельным переключателем. Если вам не нужно, чтобы AI двигал ваш курсор, выключите ее и уберите приложение из Accessibility и Screen Recording.

Относитесь к Full Disk Access как к отзываемому, а не постоянному. Если вы пользуетесь плагином Messages от случая к случаю, ничто не мешает вам отключать Full Disk Access между сеансами. Это один переключатель. Плагин перестанет работать и снова заработает, когда вы переключите его обратно.

Подумайте, на каком Mac. Если у вас их несколько, плагину не обязательно жить на том, где находится ваше рабочее хранилище Mail, резервная копия хранилища паролей и восемь лет снимков Time Machine.

Подумайте о другой стороне переписки. Каждый, кто когда-либо писал вам сообщение, есть в этой базе данных, и никто из них ни на что не соглашался. Это не проблема macOS, и никакая настройка разрешений ее не решает. Но это все равно стоит момента размышления.

Не выдавайте Full Disk Access приложению, которое вы скачали не сами и не из доверенного источника. Установщик, который просит Full Disk Access без ясного обоснования, — это самый выгодный запрос, который может сделать вредоносное ПО на macOS, и именно этот паттерн стоит за семействами, крадущими учетные данные, которые мы разобрали в статье про поддельный запрос пароля в отчете о сбое.

Решение типичных проблем

Плагин не появляется во вкладке Plugins

Проверьте три вещи по порядку. Во-первых, вы на Mac с Apple silicon — на Intel плагин не предлагается. Во-вторых, десктопное приложение ChatGPT актуально; функции, появившиеся в августовской сборке, не появятся в весенней сборке. В-третьих, вы находитесь в десктопном приложении ChatGPT, а не в веб-приложении в браузере — вкладка браузера не может удерживать разрешения приватности macOS.

Я выдал Full Disk Access, но ChatGPT все еще не может читать Messages

Полностью закройте ChatGPT — Command-Q, а не просто закрытие окна — и перезапустите его. Допуски TCC оцениваются при старте процесса. Уже запущенный процесс, которому было отказано, остается с отказом на весь срок своей жизни.

Если это не помогло, вы могли столкнуться с проблемой идентичности подписи кода: если приложение обновилось или было перемещено после выдачи разрешения, запись в System Settings может выглядеть корректной, указывая при этом на другую подпись. Отключите приложение в Full Disk Access, удалите его кнопкой «минус», закройте приложение, перезапустите его и добавьте заново. Наш гид по устранению неполадок TCC разбирает пять отдельных причин, по которым разрешение выглядит выданным, но не работает.

ChatGPT каждый раз снова просит управлять Messages

Это разрешение Automation не закрепляется, и причина почти всегда та же — проблема идентичности подписи кода. Проверьте System Settings → Privacy & Security → Automation, разверните ChatGPT и убедитесь, что напротив Messages включен переключатель. Если он включен, но запрос все равно появляется, сбросьте именно эту пару:

tccutil reset AppleEvents com.openai.codex

Затем еще раз подтвердите запрос. Обратите внимание на идентификатор пакета — см. раздел выше о том, почему угадывать его — плохая идея.

Я хочу убрать все разрешения, которые ему выдал

Полный сброс с использованием верного идентификатора пакета:

tccutil reset All com.openai.codex

Это очищает все допуски TCC только для этого приложения. После этого закройте и перезапустите ChatGPT. Затем убедитесь в System Settings, что Full Disk Access, Automation, Accessibility и Screen Recording больше не содержат его в списке. tccutil не умеет выдавать разрешения, только сбрасывать, так что отменить это из Terminal невозможно — вы будете заново одобрять их через обычные диалоги.

Отправлены сообщения, которые я не одобрял

Проверьте, было ли включено постоянное подтверждение для этого разговора. В интерфейсе ChatGPT ищите настройку на уровне разговора, которая пропускает подтверждение. Выключите ее. Если не можете найти настройку, которая это объясняет, отзовите Automation для Messages — это полностью убирает путь отправки, оставляя чтение нетронутым, что разумно, если вам нужна только суммаризация.

FAQ

ChatGPT загружает мои сообщения на серверы OpenAI?

OpenAI заявляет, что плагин работает локально на вашем Mac и не строит индекс ваших текстов. На сервер модели отправляется тот контекст, который вы просите использовать: если вы просите сделать сводку переписки, содержимое этой переписки отправляется модели для обработки, потому что именно так работает облачная модель. «Работает локально» описывает, где происходит доступ к файлам, а не где происходит рассуждение. Если вам нужно, чтобы содержимое сообщений никогда не покидало машину, — это не тот случай.

Действительно ли Full Disk Access необходим просто для чтения Messages?

Да, учитывая, как это устроила Apple. ~/Library/Messages/ находится за шлюзом Full Disk Access, и более узкого разрешения «доступ к Messages» для сторонних приложений не существует. Apple предоставляет точечные диалоги для Desktop, Documents, Downloads, iCloud Drive и съемных томов, но не для хранилища Messages. Поэтому приложению, которое хочет читать ваши сообщения, приходится запрашивать широкое разрешение. Это ограничение конструкции — на стороне Apple; последствия — на вашей.

Каков идентификатор пакета приложения ChatGPT?

com.openai.codex, в изученной нами сборке (версия 26.727.40816, 22 августа 2026 года), подписанной OpenAI OpCo, LLC с идентификатором команды 2DC432GLL2. Проверьте на своем Mac командой osascript -e 'id of app "ChatGPT"', прежде чем использовать его в любой команде tccutil.

Работает ли приложение ChatGPT для Mac в песочнице?

Нет. Его entitlements устанавливают com.apple.security.app-sandbox в false. Это приложение, подписанное Developer ID и распространяемое вне Mac App Store, где песочница не требуется. В сочетании с Full Disk Access это означает очень мало оставшихся файловых ограничений.

Может ли ChatGPT удалять мои сообщения?

Задокументированные возможности плагина Messages — чтение, поиск, составление и отправка. Удаления среди них нет. Однако практический тест PCWorld показал, что при просьбе удалить сообщение ChatGPT вместо этого использовал отдельно включенную функцию computer-use, чтобы самому нажать кнопки Delete в интерфейсе Messages. Если вы не включали computer use, такого пути не существует. Если включали — он есть.

Работает ли это на Mac с Intel?

Нет. Плагин доступен только на Apple silicon. Если вы все еще на Intel и взвешиваете варианты, наш гид по завершению эпохи Intel Mac описывает более широкую картину.

Стоит ли мне им пользоваться?

Это зависит от того, что у вас на Mac и что вы получите взамен. Честная формулировка такова: вы предоставляете приложению без песочницы, подключенному к сети и работающему через облако, постоянный доступ на чтение к каждому защищенному файлу на машине — в обмен на суммаризацию и составление сообщений. Если этот обмен для вас оправдан, примените меры смягчения из этой статьи: держите подтверждение отправки включенным, держите computer use выключенным, если он вам не нужен, и отзывайте разрешение, когда не пользуетесь функцией. Если не оправдан — вы теряете лишь удобство.

Заключение

Есть версия этой статьи, которая была бы пугалкой, — и это не она. OpenAI построила функцию оправданным способом: доступ к файлам работает на устройстве, индекс не сохраняется, отправка по умолчанию заблокирована явным подтверждением, и вас предупреждают не отключать эту блокировку. Это лучшие решения, чем возможные альтернативы.

Проблема — выше по цепочке, не у OpenAI. В macOS нет разрешения, которое означало бы «вы можете читать Messages». Есть только то, что означает «вы можете читать все», и любому приложению, которому нужно первое, приходится просить второе. Пользователи же одобряют широкое разрешение, читая объяснение про узкое, — это ровно тот разрыв в осознанном согласии, который выявил Computerworld, и ровно тот разрыв, который Apple могла бы закрыть, добавив в TCC отдельную ограниченную службу для Messages — так же, как она сделала для Contacts, Calendars и Photos.

Пока этого не произошло, бремя понимания того, что делает переключатель, лежит на вас. Теперь вы знаете. Загляните в свой список Full Disk Access — не из-за ChatGPT, а потому что вы почти наверняка найдете там что-то, что выдали в 2023 году и давно забыли.

Источники: 9to5Mac, «ChatGPT update adds Apple Messages integration on Mac», 20 августа 2026 · Computerworld, Jonny Evans, «ChatGPT wants Full Disk Access to your Mac and Messages», 21 августа 2026 · PCWorld, «I gave ChatGPT access to Apple Messages. Then it took control of my Mac», 21 августа 2026 · Engadget, «ChatGPT on Mac can now read and respond to Apple iMessages», август 2026 · Apple, «Controlling app access to files in macOS», Apple Platform Security · Собственная проверка на macOS 26.5.2 (сборка 25F84) и ChatGPT.app 26.727.40816, 22 августа 2026 года, с использованием codesign, plutil и ls.