Гостев из будущего

OpenAI выпустила для ChatGPT на macOS функцию Computer History. После включения она наблюдает за работой в разрешённых приложениях и на сайтах: фиксирует клики, ввод с клавиатуры, сочетания клавиш, переключения между приложениями и доступный контекст. Затем всё это превращается в понятную историю: чем вы занимались, какие документы смотрели, какие задачи решали. Можно спросить ChatGPT «что я делал до обеда?» или попросить найти документ, который открывал утром. Круто, да? Посмотрим на это глазами атакующего 🍿 1. Сначала — куда вообще попадают данные. Сырые события хранятся на Mac до 48 часов. Но обработка не полностью локальная: Computer History периодически запускает временную Codex-сессию и отправляет события на серверы OpenAI, где из них создаются summaries и memories. OpenAI утверждает, что временные event-файлы после обработки не хранит, кроме случаев, когда этого требует закон, и для обучения моделей их не использует. Полученная память возвращается на Mac в виде обычных Markdown-файлов. Когда она понадобится в будущем разговоре, релевантная часть может снова попасть OpenAI как контекст ChatGPT. И этот контент уже подпадает под обычные настройки Data Controls. Но самое интересное — где всё это лежит локально. Сырые события находятся внутри ChatGPT App Group — контейнера Apple, изолированного от других приложений. А итоговые memories лежат обычными Markdown в ~/.codex/memories/extensions/skysight/, вне этой изоляции. OpenAI прямо предупреждает, что другие программы, работающие от имени пользователя, потенциально могут получить к ним доступ. Получается забавная асимметрия: шумная телеметрия защищена лучше, чем осмысленный AI-дистиллят из неё. 2. Для стилера появляется очень вкусная новая цель. Самое ценное здесь не клики. Не просто: AWS → Slack → Excel. А условно: «Пользователь разбирался с проблемой в AWS production, обсуждал её с Ивановым и затем открыл финансовую модель проекта X». Раньше стилеру приходилось красть browser history, документы, cookies, переписку и самому искать связи. Теперь AI часть работы уже сделал и заботливо разложил результат по Markdown-файлам 👍 3. Эти данные хороши не только для кражи — они идеальны для социальной инженерии. Из такой памяти можно узнать, чем человек занимается прямо сейчас, какими сервисами пользуется, с кем работает и какие проблемы решает. После этого письмо «AWS Security» или сообщение якобы от коллеги можно привязать не к абстрактной должности жертвы, а к тому, что она делала буквально вчера. 4. Память можно не только украсть, но и отравить. Markdown можно изменять. Malware с подходящим доступом потенциально может подправить memory так, чтобы через неделю ChatGPT «помнил» неверный факт или ложный источник. Malware уже удалили, а ложная память осталась. 5. Есть ещё persistent prompt injection. OpenAI сама предупреждает, что вредоносные инструкции на сайтах и в приложениях могут повлиять на ChatGPT или Codex. Теперь возможна цепочка: вредоносная страница → события → summary → memory → будущий разговор. Сегодня вы просто открыли сайт. А через несколько дней заражённый контекст потенциально возвращается, когда вы просите AI продолжить работу. В итоге Computer History создаёт новый объект для защиты — машиночитаемую память о жизни и работе человека. И если когда такие функции станут массовыми и для других платформ и ИИ — то после cookies, browser profiles и криптокошельков стилеры начнут штатно собирать ещё и каталоги AI memories. @gostev_future