ChatGPT für Mac: Gepatchte Lücke hätte Chats und verbundene Dienste gefährden können

Eine Sicherheitslücke in der ChatGPT-App für macOS hätte es Schadcode, der bereits auf einem Mac lief, ermöglichen können, über die App Befehle auszuführen, als stammten sie von einer vertrauenswürdigen Komponente. Die Forscher der Objective-See Foundation zufolge hätte ein Angreifer dadurch möglicherweise gespeicherte Chats und Verbindungen wie Browser-Sitzungen erreichen können. OpenAI führt die Behebung als CVE-2026-100754 in der macOS-Version 26.924.20706 auf.13

Wie der Angriff hätte funktionieren können

Die Mac-App von ChatGPT nutzt Komponenten, die prüfen, ob Anfragen von vertrauenswürdigen Teilen der Software stammen. Die Forscher fanden einen Weg, einen vertrauenswürdigen Skriptinterpreter zu nutzen, um nicht vertrauenswürdige Anweisungen an den Hauptprozess von ChatGPT weiterzugeben. So ließen sich diese Prüfungen umgehen.69

Die verfügbaren Berichte beschreiben den technischen Angriffsweg, belegen aber nicht, was die Forscher ursprünglich dazu brachte, ihn zu untersuchen. Manche Berichte nennen für den Proof of Concept – also die technische Demonstration des Angriffs – nur etwa ein Dutzend Codezeilen. Das beschreibt die gezeigte Demonstration, nicht eine feste Voraussetzung für jeden möglichen Angriff.2

Welche Voraussetzungen hätte ein Angreifer gebraucht?

Es handelte sich um einen lokalen Angriff: Auf dem betroffenen Mac musste bereits Schadcode laufen. Objective-See beschrieb den Angreifer als nicht privilegiert; auch die Berichterstattung hält fest, dass keine erweiterten Rechte erforderlich waren. Die vorliegenden Informationen stützen nicht die Behauptung, ein Angreifer hätte die App aus der Ferne allein über eine ChatGPT-Nachricht übernehmen können.916

Welche Daten und Funktionen wären betroffen gewesen?

Bei einem erfolgreichen Angriff hätte ein Angreifer die Kontrolle über den ChatGPT-Prozess übernehmen, in der App gespeicherte Chats und weitere Daten lesen sowie Befehle über die App ausführen können. Berichte nennen auch Verbindungen wie Browser-Sitzungen als mögliche Ziele. Welche verbundenen Dienste betroffen gewesen wären, hätte davon abgehangen, welche Integrationen eingerichtet waren und auf welche Zugriffe der Mac-Nutzer verfügte.37

Dabei handelt es sich um mögliche Folgen der Schwachstelle – nicht um einen Beleg dafür, dass sie tatsächlich gegen Nutzer ausgenutzt wurde. Die verfügbaren Quellen bestätigen keine Angriffe in freier Wildbahn.

OpenAI hat die Lücke behoben

Im Änderungsprotokoll von OpenAI ist vermerkt, dass CVE-2026-100754 in der macOS-Version 26.924.20706 behoben wurde. Als Entdecker wird Patrick Wardle von der Objective-See Foundation genannt.1 Eine separate Update-Meldung datiert das Sicherheitsupdate auf den 25. September 2026. Der Auszug aus dem Änderungsprotokoll selbst bestätigt Version und Behebung, nennt aber kein Datum.28

Wer ChatGPT auf dem Mac nutzt, sollte prüfen, ob die installierte App eine Version mit dem Fix enthält. Die aufgeführte Version ist diejenige, die OpenAI für dieses Sicherheitsupdate nennt.1

Ein anderer Sicherheitsvorfall aus dem Jahr 2024

2024 gerieten lokal gespeicherte ChatGPT-Unterhaltungen auf dem Mac in die Schlagzeilen, weil sie im Klartext abgelegt wurden. Berichten zufolge aktualisierte OpenAI die App anschließend, um die lokal gespeicherten Datensätze zu verschlüsseln.2123 Damals ging es um die Speicherung von Chats; bei der später von Objective-See gemeldeten Schwachstelle darum, wie nicht vertrauenswürdiger Code als vertrauenswürdige Komponente auftreten konnte. Die vorliegenden Quellen belegen keine gemeinsame technische Ursache.121

Warum der Zugriff einer KI-App wichtig ist

Die Sicherheitsfrage lautet nicht nur, ob ein KI-Assistent eine Schwachstelle hat. Entscheidend ist auch, worauf die App zugreifen kann, falls ihr Prozess kompromittiert wird. Chats, App-Daten und verbundene Dienste können die möglichen Folgen eines Sicherheitsfehlers vergrößern.326

Der Patch von OpenAI behebt diese konkrete Schwachstelle. Der grundsätzliche Zielkonflikt bleibt jedoch bestehen: Je mehr Systemzugriff ein Assistent hat, desto mehr kann er erledigen – aber desto mehr könnte auch ein Angreifer erreichen, wenn die App unterwandert wird. Die vorliegenden Informationen stützen diese allgemeine Vorsicht. Sie belegen weder die Einzelheiten anderer, verwandter Funde von Wardle noch, dass der frühere Speicherfehler zu dieser Schwachstelle führte.