ChatGPT per macOS registra le attività del computer e le usa per l’addestramento

Computer History costruisce una cronologia delle azioni

ChatGPT per macOS ha introdotto Computer History, una funzione che registra le attività svolte dall’utente e le organizza in una cronologia consultabile dall’intelligenza artificiale.

La novità è stata descritta il 16 agosto 2026. Il sistema è progettato per aiutare ChatGPT e Codex a ricostruire il lavoro precedente, collegare informazioni provenienti da applicazioni diverse e riprendere attività rimaste incomplete.

La funzione non si limita a ricordare una singola conversazione. Può creare una rappresentazione sequenziale di ciò che l’utente ha fatto sul computer: quali documenti ha modificato, quali applicazioni ha utilizzato e quali passaggi ha eseguito tra un servizio e l’altro.

OpenAI non ha indicato numeri di versione specifici dell’applicazione macOS coinvolta. Non sono quindi note le versioni esatte interessate o i requisiti tecnici dettagliati per l’attivazione.

Come vengono utilizzati gli eventi raccolti

Secondo la descrizione disponibile, Computer History non acquisisce immagini, video o audio. Il suo funzionamento si basa invece su “eventi”, cioè registrazioni strutturate delle azioni compiute dall’utente.

Questa distinzione separa la funzione da strumenti basati principalmente su schermate, come Windows Recall di Microsoft. Tuttavia, l’assenza di screenshot non elimina la capacità di ricostruire attività articolate. Una sequenza di eventi può infatti rivelare il contesto operativo con notevole precisione.

In una dimostrazione, l’applicazione ha individuato l’ultimo documento modificato, verificato se fosse stato condiviso con altre persone attraverso Slack e prodotto un riepilogo delle attività svolte durante la mattinata.

Il sistema può quindi collegare dati provenienti da programmi e siti differenti. Una richiesta a ChatGPT o Codex potrebbe riguardare un’attività non direttamente visibile nella conversazione corrente, ma ricostruibile attraverso la cronologia locale o associata all’account.

La funzione viene inoltre presentata come uno strumento per proporre automazioni e comprendere le modalità di lavoro dell’utente. Per farlo, deve conservare abbastanza informazioni da riconoscere sequenze ricorrenti, attività interrotte e relazioni tra documenti, persone e servizi.

Il rischio principale riguarda privacy e dati aziendali

Non è stata indicata una vulnerabilità software, né è stato assegnato un livello formale di gravità. Non risultano identificativi CVE associati a Computer History e la funzione non è descritta come una compromissione tecnica.

Il problema riguarda piuttosto la quantità e la sensibilità delle informazioni che possono convergere nella cronologia. Tra gli elementi potenzialmente esposti rientrano:

• documenti aperti o modificati;
• attività svolte su applicazioni aziendali;
• condivisioni e conversazioni avviate tramite Slack;
• siti visitati e sequenze operative;
• abitudini di lavoro;
• compiti lasciati in sospeso;
• collegamenti tra dati presenti in programmi diversi.

Il rischio cresce quando il computer viene utilizzato per attività professionali. Una cronologia di eventi potrebbe descrivere processi interni, progetti non ancora annunciati, codice sorgente, informazioni su clienti o proprietà intellettuale, anche senza archiviare direttamente immagini o registrazioni audio.

Un ulteriore elemento riguarda l’uso della cronologia come materiale di addestramento. Le azioni raccolte non servirebbero soltanto a rispondere a una domanda sul passato, ma potrebbero contribuire all’apprendimento del sistema. Questo rende rilevante il controllo sui dati per aziende, consulenti e utenti che gestiscono contenuti riservati.

La funzione può inoltre creare correlazioni che l’utente non percepisce durante il normale utilizzo. Un documento aperto in un’applicazione, una condivisione effettuata su Slack e una ricerca svolta su un sito potrebbero essere ricondotti alla stessa attività, producendo un quadro più dettagliato di quello offerto da ciascun servizio singolarmente.

Cosa non è ancora noto sul trattamento dei dati

La descrizione disponibile non chiarisce diversi aspetti tecnici essenziali. Non sono noti il formato degli eventi, il periodo di conservazione, i meccanismi di cifratura e le modalità di accesso alla cronologia.

Restano inoltre da chiarire:

• se i dati siano conservati soltanto sul dispositivo o anche su infrastrutture remote;
• quali componenti possano consultarli oltre a ChatGPT e Codex;
• se esistano controlli amministrativi per gli ambienti aziendali;
• come venga isolata la cronologia tra utenti o dispositivi;
• se la cancellazione rimuova anche copie già utilizzate per l’addestramento;
• quali dati possano essere raccolti da applicazioni non escluse manualmente.

Il fatto che il sistema non utilizzi immagini, video o audio non risolve queste domande. Gli eventi possono comunque contenere nomi di file, indirizzi web, nomi di applicazioni, destinatari delle condivisioni e informazioni sufficienti a descrivere un’attività riservata.

Non sono stati comunicati indicatori di compromissione, procedure di risposta a incidenti o aggiornamenti di sicurezza specifici. Computer History non compare, sulla base delle informazioni disponibili, nel catalogo KEV della CISA: non è quindi una falla catalogata come vulnerabilità sfruttata attivamente.

Come limitare l’esposizione

Computer History è descritto come una funzione opt-in, quindi non dovrebbe risultare attivato automaticamente. La scelta più prudente, per chi gestisce dati sensibili, è lasciarlo disattivato salvo una necessità concreta.

Gli utenti possono anche:

• escludere applicazioni specifiche;
• escludere determinati siti web;
• cancellare singole voci o elementi della cronologia;
• usare finestre del browser in modalità privata o incognito.

Secondo Ari Weinstein, Product and Engineering manager di OpenAI, le schede private dovrebbero essere ignorate automaticamente dalla funzione. Non è però noto se questa protezione copra anche dati già raccolti, processi eseguiti in background o informazioni sincronizzate da servizi esterni.

Per un computer utilizzato in azienda, conviene definire prima quali applicazioni e domini non devono essere registrati. L’esclusione preventiva è preferibile alla cancellazione successiva, soprattutto quando la cronologia potrebbe essere già stata utilizzata per rispondere a richieste o per l’addestramento.

È inoltre consigliabile verificare periodicamente le voci memorizzate, rimuovere gli elementi non necessari e separare, quando possibile, le attività personali da quelle che trattano informazioni riservate. In assenza di dettagli su retention, cifratura e accessi amministrativi, le organizzazioni dovrebbero considerare Computer History una funzione di raccolta dati da sottoporre a valutazione privacy prima dell’adozione.