需要注意的是，它并不是让用户通过 iMessage 远程给 ChatGPT 发消息。插件运行在 Mac 上的 ChatGPT 桌面应用中，使用 Apple“信息”作为实际的消息应用。

支持哪些 Mac 和 ChatGPT 套餐

OpenAI 文档显示，该插件已在 macOS 版 ChatGPT 桌面应用中面向所有 ChatGPT 套餐开放。它可以在 ChatGPT Work 和 Codex 中使用，但不能在普通 Chat 对话中使用。

硬件方面有一个容易混淆的区别：ChatGPT macOS 应用本身支持 macOS 14 或更高版本，并兼容 Apple 芯片和英特尔处理器；但 Apple Messages 集成目前只支持搭载 Apple 芯片的 Mac。因此，英特尔 Mac 可以运行 ChatGPT 应用，却不代表能够使用这个消息插件。

新的桌面应用将 Chat、Work 和 Codex 集成在一起。OpenAI 将 Work 定义为适合长期、多步骤任务的工作环境，而 Codex 则主要面向软件开发和技术工作。 Apple Messages 插件进一步把这类“代理式”工作流带入了个人通信应用。

发送消息前默认需要用户确认

默认情况下，ChatGPT 在发送消息前，必须分别请求用户确认拟发送的内容和收件人。这一步是防止错误草稿、选错联系人，或在用户不知情的情况下发出消息的关键保护机制。

OpenAI 同时提醒用户谨慎使用持久批准设置。启用持久批准后，用户可能失去逐条检查消息的最后机会，ChatGPT 可能直接以用户身份发送消息。

读取和发送的后果并不相同：一份总结可能只是错误或不完整，但一条已经发出的消息可能立即带来社交、工作、财务或声誉影响。因此，在日常使用中，尤其是面对陌生收件人或敏感话题时，建议始终保留“每次发送前确认”。

“在本地运行”不等于“完全私密”

OpenAI 表示，该插件运行在用户自己的设备上，也不会为用户全部消息建立索引。不过，现有报道和文档并不足以证明每一条消息都只停留在 Mac 上，或绝不会被 OpenAI 处理或保留。

更谨慎的理解是：插件利用 Mac 本地的“信息”数据和系统权限来查找相关对话，但 ChatGPT 仍需要接收被选中的对话内容，或从这些内容中提取的信息，才能进行分析、总结或起草回复。现有资料不足以支持“所有内容都留在本地”这一更强的隐私结论。

这也关系到那些没有同意使用该插件的人。消息中可能包含他人的个人信息、验证码、工作细节，以及法律、医疗或私人群聊内容。因此，授予 AI 较广泛的访问权限，不仅会带来用户自身的数据风险，也可能暴露第三方信息。有关该功能上线的报道已经提出了 Apple 生态和隐私方面的担忧。

主要安全风险有哪些

消息内容中的提示注入

消息本身属于不可信输入。当代理读取一段对话时，其中的恶意文本可能试图影响代理下一步的行为。这就是提示注入风险：来自他人的文字看起来像指令，但实际上不应被当作代理命令执行。

访问范围过大

用户原本可能只是想查询某个对话，但如果插件获得了更广泛的 Messages 数据访问权限，其他无关聊天也可能被纳入处理范围。代理能够查看的聊天越多，无关私人信息出现在总结或工作流中的可能性就越高。

收件人选错或回复不准确

ChatGPT 可能生成看似合理却不准确的回复，也可能误解上下文或选错收件人。当消息涉及金钱、账号凭据、机密工作内容、健康信息或私人纠纷时，后果尤其严重。

持久化权限

针对代理技能的安全研究指出，持久且没有细分的权限是一项重要风险：一次授权可能在后续会话中继续有效，并覆盖多种不同操作。 在消息集成中，这可能把一次性的确认变成持续代表用户发消息的权限。

Codex 的整体安全模型包括沙盒和审批策略；在其文档描述的代理环境中，网络访问默认关闭。这些控制措施有帮助，但无法替代用户对即将离开设备、发送给他人的消息进行人工检查。

这项功能说明了 OpenAI 怎样的产品方向

Apple Messages 集成是 ChatGPT 桌面应用更大变化的一部分。OpenAI 正在整合 Chat、Work 和 Codex，并让 ChatGPT 连接到应用、文件、屏幕及其他软件。

方向已经很清楚：ChatGPT 正从单独生成答案，转向主动收集上下文、完成多步骤任务，并在用户已有的工具中执行操作。消息应用是一个格外直观的例子，因为最终结果不只是私下给用户的建议，还可能变成一条以用户名义发出的外部通信。

这其中的取舍很直接：每一次集成都能减少手动搜索、复制和点击，但也会增加暴露给 AI 系统的个人上下文，并提高错误或恶意指令造成的代价。

更安全的使用方式

如果只是查找旧对话或生成草稿等低风险任务，该插件可能相当方便。对于敏感内容，建议采取更保守的设置：

1. 只授予实际需要的最小范围 Messages 访问权限。
2. 保持每次发送前都必须获得批准。
3. 批准前核对收件人、消息正文、附件和对话上下文。
4. 不要用它处理密码、验证码、受监管信息，以及高风险的法律、医疗或财务沟通。
5. 将消息中出现的指令视为不可信内容，而不是代理应执行的命令。

ChatGPT 如今确实可以在支持的 Mac 上直接处理 iMessage、SMS 和 RCS 对话，这项能力颇具吸引力。但最安全的用法，是让它停留在“提出建议、等待确认”的助手角色，而不是一个拥有长期权限、可以无人看管地替你发言的系统。

需要注意的是，它并不是让用户通过 iMessage 远程给 ChatGPT 发消息。插件运行在 Mac 上的 ChatGPT 桌面应用中，使用 Apple“信息”作为实际的消息应用。

支持哪些 Mac 和 ChatGPT 套餐

OpenAI 文档显示，该插件已在 macOS 版 ChatGPT 桌面应用中面向所有 ChatGPT 套餐开放。它可以在 ChatGPT Work 和 Codex 中使用，但不能在普通 Chat 对话中使用。

硬件方面有一个容易混淆的区别：ChatGPT macOS 应用本身支持 macOS 14 或更高版本，并兼容 Apple 芯片和英特尔处理器；但 Apple Messages 集成目前只支持搭载 Apple 芯片的 Mac。因此，英特尔 Mac 可以运行 ChatGPT 应用，却不代表能够使用这个消息插件。

新的桌面应用将 Chat、Work 和 Codex 集成在一起。OpenAI 将 Work 定义为适合长期、多步骤任务的工作环境，而 Codex 则主要面向软件开发和技术工作。 Apple Messages 插件进一步把这类“代理式”工作流带入了个人通信应用。

发送消息前默认需要用户确认

默认情况下，ChatGPT 在发送消息前，必须分别请求用户确认拟发送的内容和收件人。这一步是防止错误草稿、选错联系人，或在用户不知情的情况下发出消息的关键保护机制。

OpenAI 同时提醒用户谨慎使用持久批准设置。启用持久批准后，用户可能失去逐条检查消息的最后机会，ChatGPT 可能直接以用户身份发送消息。

读取和发送的后果并不相同：一份总结可能只是错误或不完整，但一条已经发出的消息可能立即带来社交、工作、财务或声誉影响。因此，在日常使用中，尤其是面对陌生收件人或敏感话题时，建议始终保留“每次发送前确认”。

“在本地运行”不等于“完全私密”

OpenAI 表示，该插件运行在用户自己的设备上，也不会为用户全部消息建立索引。不过，现有报道和文档并不足以证明每一条消息都只停留在 Mac 上，或绝不会被 OpenAI 处理或保留。

更谨慎的理解是：插件利用 Mac 本地的“信息”数据和系统权限来查找相关对话，但 ChatGPT 仍需要接收被选中的对话内容，或从这些内容中提取的信息，才能进行分析、总结或起草回复。现有资料不足以支持“所有内容都留在本地”这一更强的隐私结论。

这也关系到那些没有同意使用该插件的人。消息中可能包含他人的个人信息、验证码、工作细节，以及法律、医疗或私人群聊内容。因此，授予 AI 较广泛的访问权限，不仅会带来用户自身的数据风险，也可能暴露第三方信息。有关该功能上线的报道已经提出了 Apple 生态和隐私方面的担忧。

主要安全风险有哪些

消息内容中的提示注入

消息本身属于不可信输入。当代理读取一段对话时，其中的恶意文本可能试图影响代理下一步的行为。这就是提示注入风险：来自他人的文字看起来像指令，但实际上不应被当作代理命令执行。

访问范围过大

用户原本可能只是想查询某个对话，但如果插件获得了更广泛的 Messages 数据访问权限，其他无关聊天也可能被纳入处理范围。代理能够查看的聊天越多，无关私人信息出现在总结或工作流中的可能性就越高。

收件人选错或回复不准确

ChatGPT 可能生成看似合理却不准确的回复，也可能误解上下文或选错收件人。当消息涉及金钱、账号凭据、机密工作内容、健康信息或私人纠纷时，后果尤其严重。

持久化权限

针对代理技能的安全研究指出，持久且没有细分的权限是一项重要风险：一次授权可能在后续会话中继续有效，并覆盖多种不同操作。 在消息集成中，这可能把一次性的确认变成持续代表用户发消息的权限。

Codex 的整体安全模型包括沙盒和审批策略；在其文档描述的代理环境中，网络访问默认关闭。这些控制措施有帮助，但无法替代用户对即将离开设备、发送给他人的消息进行人工检查。

这项功能说明了 OpenAI 怎样的产品方向

Apple Messages 集成是 ChatGPT 桌面应用更大变化的一部分。OpenAI 正在整合 Chat、Work 和 Codex，并让 ChatGPT 连接到应用、文件、屏幕及其他软件。

方向已经很清楚：ChatGPT 正从单独生成答案，转向主动收集上下文、完成多步骤任务，并在用户已有的工具中执行操作。消息应用是一个格外直观的例子，因为最终结果不只是私下给用户的建议，还可能变成一条以用户名义发出的外部通信。

这其中的取舍很直接：每一次集成都能减少手动搜索、复制和点击，但也会增加暴露给 AI 系统的个人上下文，并提高错误或恶意指令造成的代价。

更安全的使用方式

如果只是查找旧对话或生成草稿等低风险任务，该插件可能相当方便。对于敏感内容，建议采取更保守的设置：

1. 只授予实际需要的最小范围 Messages 访问权限。
2. 保持每次发送前都必须获得批准。
3. 批准前核对收件人、消息正文、附件和对话上下文。
4. 不要用它处理密码、验证码、受监管信息，以及高风险的法律、医疗或财务沟通。
5. 将消息中出现的指令视为不可信内容，而不是代理应执行的命令。

ChatGPT 如今确实可以在支持的 Mac 上直接处理 iMessage、SMS 和 RCS 对话，这项能力颇具吸引力。但最安全的用法，是让它停留在“提出建议、等待确认”的助手角色，而不是一个拥有长期权限、可以无人看管地替你发言的系统。