ChatGPT 的 Mac 客户端曾存在一个已修复的漏洞，攻击者可以借此基本接管受害者电脑上的 ChatGPT —— 读取应用保存的全部聊天记录与其他数据，以及浏览器会话一类的关联资源，Wired 报道了这件事。OpenAI 已在 9 月 25 日的系统变更日志中确认该漏洞及修复。发现方是 Objective-See Foundation 的研究者。真正值得记住的不是这一个 bug，而是它的形态：一个以你的权限运行、长期持有你数据访问权的桌面 AI 应用，任何能碰到这个进程的东西，都可能借用它的权限。
关键事实
| 项目 | 内容 |
|---|---|
| 回答的问题 | ChatGPT Mac 版漏洞已修复：桌面 AI 真正的风险是「常驻权限」 |
| 简答 | 安全研究机构 Objective-See Foundation 在 ChatGPT 的 Mac 客户端里发现一个已修复的漏洞：本地恶意软件可借此接管应用、读取聊天记录，甚至让 ChatGPT 代为执行命令。这篇说清事情本身，以及同一类风险在所有桌面 AI 应用上怎么收敛。 |
| 阅读时长 | ~3 分钟 |
| 最后更新 | 2026-10-03 |
事件本身
- 谁发现的：Objective-See Foundation；长期做 macOS 安全研究的 Patrick Wardle 将在 11 月的 Objective by the Sea 大会上分析多个 AI macOS 应用漏洞。
- 能做什么：接管应用、读取聊天记录与其他存储数据，并让 ChatGPT 替攻击者执行命令 —— 包括打开浏览器或其他敏感应用。
- 看起来像什么：对其余系统而言，这些恶意请求会显示为「由 OpenAI 软件发出的正常指令」。
- 前提条件：目标机器上已装有恶意软件。
- 成本：Wardle 形容利用过程「简单到离谱」，概念验证代码只有十几行。
- 状态：已修复，OpenAI 于 9 月 25 日在变更日志中披露。
报道还提到两件相邻的事：Meta 新助手 Muse 的听写功能中一个已修复的漏洞，本地攻击者可借它拿到被错误处理的认证令牌、进而访问用户数据；以及 Wardle 提交给 OpenAI 的另一份新报告，涉及 ChatGPT 与该公司「常听」助手 Dots 的集成，OpenAI 正在复核。
为什么「常驻权限」才是关键
Wardle 自己的比喻把风险模型说得很清楚：
「智能体要干活就需要很多权限。它们就像拿着所有房间钥匙的楼宇管理员。所以一旦它被污染或劫持，问题会非常严重。」
这正是每个桌面 AI 产品都要做的交换：要能读你的文件、驱动你的浏览器、执行命令，它就必须拿到钥匙。一旦拿到，安全问题的重点就不再是「模型表现规矩吗」，而是「还有谁能碰到这个进程，碰到之后影响范围有多大」。
聊天记录也绝不是无足轻重的资产 —— 它是你项目、粘贴过的文档和提到过的系统的一份工作记录，这正是它值那十几行代码的原因。
在 Windows 上跑 agent 的人该看什么
平台差异是真实的，但它们都不改变底层模式。Windows 上的桌面智能体同样以你的用户身份运行，同样在本地保留会话历史、文件路径等状态，也往往因为「权限太窄就不好用」而被交出了很宽的文件夹访问权。
可执行的结论：
- 「本机已有恶意软件」是前提，不是边缘情况。 一旦机器上有不该有的东西在跑，每个被信任的应用都会变成跳板 —— 所以「少随手下载运行」本身就是 AI 安全的一部分，而不是另一件事。
- 收窄范围比「相信它」更有效。 只给它需要的文件夹。读不到某个目录的应用，被劫持后也没法把那个目录泄出去。
- 把 agent 的会话数据当敏感数据。 对话历史、缓存的文件内容、保存的令牌，都值得按浏览器配置那个级别来对待。
- 保持应用为最新版本。 这个具体漏洞已修；这一类风险靠「及时打补丁」长期压低。
- 留意功能面。 正如 Wardle 所说，功能越多，攻击面越宽 —— 每加一个集成，就多一份暴露。当下值得盯的例子就是「常听助手」这类集成。
我们自己的默认值
同样的逻辑也决定了 MOOGH 的做法：在你自己的机器上工作的桌面智能体，涉及你文件的那部分工作留在本地，不给第三方服务留下一个「可以被借用」的会话。这不代表任何软件零风险 —— 它改变的是「有什么可以被够到」。下载之后先只指向一个测试文件夹，就能看清它到底能打开什么、不能打开什么。
结论
十几行代码、一份本已在机器上的恶意软件、一个握着钥匙的应用 —— 桌面 AI 的威胁模型就这一句话。也正因如此，「把权限收窄」比「哪家助手最安全」这类说法重要得多。打补丁、收权限，并让跑 agent 的那台机器保持干净。
相关阅读：