7月15日不少用户刷到了ChatGPT Mac版更新后擅自读取本地文件的相关讨论，有人晒出AI精准返回本地目录路径的截图，瞬间勾起了不少人对隐私泄露的担忧。但顺着后续的社区讨论和官方更新说明深挖，我发现这件事的真相和最初的恐慌预判完全不一样。

Mac设备上的Notes应用与ChatGPT功能弹窗 · Mac端Notes应用显示ChatGPT文

被误读的「文件读取」 本质是功能触发偏差

最初爆料的用户反馈，自己只是随口问了一句丢失的项目文件去向，ChatGPT就直接返回了完整的本地目录路径，不少人第一反应是应用绕过了苹果的安全机制，偷偷扫描了全磁盘内容。但很快Reddit社区的技术用户就给出了完全不同的解释，这根本不是什么偷偷入侵的漏洞。

从macOS的基础运行逻辑来看，所有未被强制锁死在沙盒内的应用，本身就有权限访问用户配置文件所在的常规目录，这是操作系统留给软件存放自身配置数据的默认路径，属于全平台通用的正常运行规则，Windows和Linux系统也遵循同样的逻辑。

不少普通用户此前没有留意到，这次ChatGPT Mac版更新，同步上线了适配本地开发场景的Codex功能，这个模式本身就支持在用户授权后，调用类终端指令完成文件查询、代码修改等操作。爆料用户大概率是在无意识状态下开启了该模式，才触发了后续的路径返回。

Codex的运行逻辑 从来都绕不开用户授权

很多人此前没有接触过Codex的底层运行机制，才会把正常的功能调用当成恶意窃密。它的核心运行链路其实是一套多轮迭代的闭环流程，完全不存在后台静默扫描的可能。

• 用户提交指令后，模型先判断是否需要调用本地工具，而非直接自行扫描文件
• 确认需要执行查询操作时，会先向用户申请对应目录的访问权限，获得许可后才会运行类ls的文件列取指令
• 工具返回的结果会重新传入模型，经过处理后再以自然语言的形式返回给用户

OpenAI7月14日刚发布的桌面端更新说明里明确标注，本地文件相关操作必须获得用户主动授权才能执行，在没有得到许可的前提下，AI代理完全没有权限擅自触碰用户的本地数据。

不少技术用户实测后发现，哪怕是开启了Codex模式，想要访问非工作区的其他目录，系统都会弹出二次授权提示，根本不存在无感知越权的空间。

苹果的隐私围栏 没那么容易被突破

从过往的应用审核规则来看，苹果对第三方应用的磁盘访问权限管控一直处于行业最严格的梯队，想要绕过系统自带的权限校验机制，几乎不可能通过App Store的上架审核。

这次引发讨论的路径返回内容，全部集中在ChatGPT自身的工作区目录范围内，根本没有触及用户的照片、文档等其他隐私分区，完全符合应用自身的权限边界。不少安全从业者实测后也确认，没有发现该应用存在任何越权扫描全磁盘的行为。

现在社交平台上超过半数的参与讨论用户，都已经厘清了事件的来龙去脉，不再将其判定为恶意隐私漏洞，只是普通用户对新上线的Codex功能不够熟悉，才引发了不必要的恐慌。

普通用户的隐私防护 其实只需要做好这几步

这次的小风波也给所有使用桌面端AI工具的用户提了醒，不用一看到相关讨论就过度焦虑，只要做好几个简单的设置，就能完全规避不必要的隐私泄露风险。

1. 在系统设置的隐私与安全性面板里，手动关闭ChatGPT不需要的目录访问权限，仅保留工作所需的文件夹授权
2. 日常非开发场景下，主动关闭Codex高级模式，避免误触本地工具调用流程
3. 遇到应用申请陌生权限时，仔细核对权限对应的功能用途，不要一键同意所有授权请求

AI桌面端的本地能力迭代，本身就是为了进一步提升用户的办公效率，让工具可以更顺畅地对接本地项目文件，不用反复手动上传内容。我们没必要把所有新功能都当成隐私洪水猛兽，厘清运行逻辑之后，完全可以在安全边界内享受到技术迭代带来的便利。

回头看这次的小风波，本质上是AI本地能力落地过程中，用户认知和新功能之间的一次信息差碰撞。随着后续相关功能的提示逻辑进一步优化，这类误判事件也会越来越少，AI工具和操作系统的隐私防护体系，最终会找到更适配普通用户的平衡点。