Em 20 de agosto, a OpenAI adicionou um plugin do Apple Messages ao aplicativo de desktop do ChatGPT para macOS. Depois de conectado, o ChatGPT consegue ler e pesquisar o histórico de iMessage, SMS e RCS daquele Mac, além de redigir, enviar e excluir mensagens. O recurso está disponível em todos os planos de assinatura, incluindo ChatGPT Work e Codex.
Os limites foram bem definidos. O plugin só é distribuído com a versão do app de desktop para Macs com chip Apple silicon; Macs com Intel ficam de fora. As versões web e mobile também não têm esse recurso. Para usá-lo, é preciso ter um Mac com chip próprio da Apple e conceder ao app acesso ao Mensagens nas configurações do sistema.
Uma trava por padrão, que dá para desligar
A OpenAI colocou a válvula de segurança na etapa de envio. Na configuração padrão, tanto o texto da mensagem quanto o destinatário precisam passar pela revisão do usuário antes de serem enviados. Quem achar isso trabalhoso pode desativar a confirmação por conversa; depois disso, as mensagens daquele diálogo saem direto.
A forma como a OpenAI descreve esse interruptor é bem direta: manter a autorização ativa remove 'a última chance de revisar uma mensagem antes que o ChatGPT a envie em seu nome'.
Um único aviso já expõe a parte mais difícil do design de permissões. Aprovar mensagem a mensagem é seguro, mas cansa depois de algumas vezes; autorizar de uma vez é prático, mas ninguém segura a mensagem se algo der errado. Para saber qual lado a maioria das pessoas acaba escolhendo, basta olhar quantos aplicativos já foram clicados até virar 'permitir sempre'.
De ler mensagens a enviá-las
Ler e escrever são permissões de natureza diferente. Ao ler o histórico de conversas, o modelo ganha apenas contexto para responder de forma mais adequada; ao enviar mensagens em nome do usuário, o modelo está usando a identidade social dele — quem recebe do outro lado vê a própria pessoa.
Esse passo não é exclusividade da OpenAI. No último trimestre, os principais assistentes de IA vêm migrando de integrações somente leitura para operações de escrita, abrindo brechas em e-mail, armazenamento em nuvem e calendário. O desktop é o ponto mais fácil de explorar: o aplicativo roda na própria máquina e, assim que o sistema concede a permissão, o assistente chega direto aos dados locais, sem esperar que a plataforma abra uma API e sem passar pelo processo de aprovação de uma integração no lado do servidor.
A superfície de risco cresce junto. Conseguir ler mensagens de estranhos e, ao mesmo tempo, enviar mensagens em nome do usuário é uma combinação clássica para ataques de prompt injection: uma mensagem cuidadosamente construída enviada por um desconhecido entra diretamente no contexto do modelo; se o usuário já tiver desativado a confirmação de envio, falta justamente aquela barreira manual para a ação seguinte. Por enquanto isso é uma projeção de risco — não há casos públicos registrados —, mas a combinação de permissões já está montada.
'Rodar localmente' é uma promessa vaga
A OpenAI disse à Bloomberg que o plugin roda no próprio dispositivo e não indexa todas as mensagens. A frase deixa bastante espaço para interpretação: não indexar tudo não significa que trechos não sejam enviados à nuvem no momento de uma consulta; o plugin rodar localmente também não significa que a inferência aconteça localmente. A imprensa que pediu mais detalhes ainda não recebeu uma resposta mais clara.
O fato de ser distribuído só para chips Apple acaba dando uma pista. Exclusividade em arm64 costuma indicar um componente local que depende do Metal ou do Neural Engine; se todo o processamento acontecesse na nuvem, não haveria motivo para excluir os Macs com Intel.
A posição incômoda da Apple
Mensagens é um dos aplicativos com maior fidelidade dentro do ecossistema da Apple. Agora um assistente de terceiros ganhou acesso de leitura e escrita a ele, passando pelo próprio canal de permissões do macOS, e a Apple não se pronunciou.
Pelo ritmo com que a Apple vem evoluindo a Siri nos últimos dois anos, um recurso como 'ler suas mensagens e ajudar a responder' deveria ter partido primeiro do assistente do próprio sistema. Esse lugar já foi ocupado por outra empresa.
Fontes: 9to5Mac, TechCrunch, CocoLoop, Bloomberg, comunicado oficial da OpenAI; a abrangência do plugin, a restrição de chip e o mecanismo de aprovação de envio foram cruzados entre várias reportagens.