Am 20. August hat OpenAI der macOS-Desktop-App von ChatGPT ein Apple-Messages-Plugin hinzugefügt. Einmal verbunden, kann ChatGPT die iMessage-, SMS- und RCS-Verläufe auf diesem Mac lesen und durchsuchen sowie Nachrichten entwerfen, verschicken und löschen. Die Funktion steht in allen Abo-Stufen zur Verfügung, auch in ChatGPT Work und Codex.
Die Grenzen sind klar gezogen. Das Plugin wird nur mit der Desktop-App für Apple-Silicon-Macs ausgeliefert, Intel-Macs gehen leer aus; Web-Version und mobile Apps besitzen diese Fähigkeit ebenfalls nicht. Wer es nutzen will, braucht einen Mac mit Apples eigenem Chip und muss der App in den Systemeinstellungen Zugriff auf „Nachrichten“ gewähren.
Standardmäßig ein Riegel vorgeschoben, aber selbst aufhebbar
OpenAI hat das Sicherheitsventil beim Versand platziert. In der Standardeinstellung müssen Nutzer sowohl den Nachrichtentext als auch die Empfänger einmal durchsehen, bevor etwas rausgeht. Wem das lästig ist, kann die Bestätigung pro Unterhaltung abschalten – danach werden Nachrichten in diesem Chat direkt verschickt.
OpenAI formuliert das ziemlich unverblümt: Eine dauerhafte Freigabe entfernt „die letzte Gelegenheit, eine Nachricht zu überprüfen, bevor ChatGPT sie in deinem Namen verschickt“.
Ein einziger Hinweis legt den heikelsten Teil des Berechtigungsdesigns offen. Einzelfreigabe ist sicher, nervt aber nach ein paar Malen; eine einmalige Freigabe ist bequem, aber im Ernstfall hält sie niemand mehr auf. Wofür sich die meisten Nutzer letztlich entscheiden, zeigt schon ein Blick darauf, wie viele Apps längst auf „immer erlauben“ durchgeklickt wurden.
Vom Lesen zum Verschicken
Lesen und Schreiben sind zwei grundverschiedene Berechtigungen. Beim Lesen von Chatverläufen bekommt das Modell nur Kontext, um passender zu antworten. Beim Verschicken von Nachrichten in fremdem Namen nutzt das Modell dagegen die soziale Identität der Nutzer – die Empfänger sehen am Ende die Person selbst.
OpenAI geht diesen Schritt nicht allein. Im vergangenen Quartal sind große Assistenten reihenweise von reinen Lese-Integrationen zu Schreibzugriffen übergegangen, bei E-Mail, Cloud-Speicher und Kalender öffnen sich nach und nach Türen. Der Desktop ist dafür die am leichtesten zu erschließende Stelle: Die App läuft direkt auf dem Gerät, sobald das System die Berechtigung erteilt, kommt der Assistent unmittelbar an lokale Daten heran – ohne auf eine offene API der Plattform zu warten und ohne den Genehmigungsprozess einer serverseitigen Integration.
Damit wächst auch die Angriffsfläche. Fremde Nachrichten lesen und gleichzeitig im Namen der Nutzer verschicken zu können – diese Kombination ist ein klassisches Ziel für Prompt Injection: Eine geschickt präparierte Nachricht von einem Fremden landet direkt im Kontext des Modells; wer die Sendebestätigung vorher abgeschaltet hat, dem fehlt danach die manuelle Schranke für die folgende Aktion. Das bleibt vorerst eine Risikoüberlegung, öffentlich dokumentierte Fälle gibt es bislang nicht – aber die Berechtigungskombination steht bereits.
„Läuft lokal“ ist ein vages Versprechen
OpenAI erklärte gegenüber Bloomberg, das Plugin laufe auf dem Gerät selbst und indexiere nicht sämtliche Nachrichten. Der Satz lässt viel Interpretationsspielraum: Kein vollständiger Index bedeutet nicht, dass bei einer Abfrage keine Textausschnitte in die Cloud gehen; dass das Plugin lokal läuft, heißt nicht zwangsläufig, dass auch die Inferenz lokal stattfindet. Medien, die nach Details fragten, haben bislang keine klarere Antwort erhalten.
Dass das Plugin ausschließlich auf Apple-Chips verteilt wird, liefert immerhin einen Hinweis. Eine reine arm64-Verfügbarkeit deutet meist auf eine lokale Komponente hin, die auf Metal oder die Neural Engine angewiesen ist; würde die gesamte Arbeit in der Cloud stattfinden, gäbe es keinen Grund, Intel-Macs auszuschließen.
Apple in einer unbequemen Position
Nachrichten gehört zu den Apps mit der stärksten Bindung im Apple-Ökosystem. Nun hat ein Assistent eines Drittanbieters Lese- und Schreibrechte darauf erhalten – über macOS' eigenen Berechtigungskanal, ohne dass Apple sich dazu geäußert hätte.
Gemessen am Tempo, mit dem Apple Siri in den vergangenen zwei Jahren weiterentwickelt hat, hätte eine Fähigkeit wie „deine Nachrichten lesen und dir beim Antworten helfen“ eigentlich zuerst vom Systemassistenten kommen sollen. Den Platz hat jetzt jemand anderes besetzt.
Quellen: 9to5Mac, TechCrunch, CocoLoop, Bloomberg, offizielle Angaben von OpenAI; Verfügbarkeit des Plugins, Chip-Beschränkung und Freigabemechanismus wurden anhand mehrerer Berichte abgeglichen.