ChatGPT Apple Messagesプラグインとは？Macでの使い方・対象プラン・安全性【2026年8月最新】

Apple Messagesプラグインは、macOS版ChatGPTデスクトップアプリから、Macの「メッセージ」アプリ（iMessage / SMS / RCS）を読む・検索する・下書きする・送信するためのOpenAI純正プラグインです。 2026年8月20日（米国時間）に提供が始まり、料金プランは無料プランを含む全プランが対象ですが、実際に使えるのは「Apple SiliconのMac」で「デスクトップアプリのWorkまたはCodex」を開いている場合に限られます。

この記事でわかること:

• Apple Messagesプラグインで具体的に何ができて、何ができないのか
• 自分のMacと契約プランで使えるかを最短で判定する条件
• インストールから権限付与、最初の指示までの手順
• 有効化時に渡すことになる「フルディスクアクセス」が、実際にはどこまで見える権限なのか
• 受信メッセージ経由のプロンプトインジェクションと、「このチャットには常に許可」を押してはいけない理由
• 権限を取り消す・法人ワークスペースで無効化する具体手順
• LINEが主流の日本で、このリスクを取る価値があるかの判断材料

Macで日常的にChatGPTを使っている個人ユーザー、Codexで開発している方、そして「社員のMacでこれが有効化されたらどうなるか」を判断したい情報システム部門の担当者に向けて整理します。

Apple Messagesプラグインの要点一覧

特に押さえるべきは次の3点です。

1. 「全プランで使える」は正しいが、条件は「デスクトップアプリのWork / Codex」 — 通常のチャット画面では表示されません。
2. Apple Silicon限定 — Intel Macでは新しいChatGPTデスクトップアプリ自体が動きません。
3. 利便性の対価はフルディスクアクセス — メッセージ以外の保護対象ファイルにも読み取り経路が開きます。

Apple Messagesプラグインとは？

出典: OpenAI 公式GitHub

Apple Messagesプラグインは、ChatGPTがMac上の「メッセージ」アプリを操作するために、OpenAIが公式に配布しているプラグインです。 ChatGPTがiMessageやSMSの中身を読み、内容を要約し、返信文を作り、承認を得たうえで送信します。

OpenAIは公式チェンジログ（2026年8月20日）で次のように説明しています。

read and search Messages chats on your Mac and prepare or send messages

Available on all plans in the ChatGPT desktop app for macOS. You can use Apple Messages from Codex and ChatGPT Work.

— ChatGPT & Codex changelog（2026年8月20日）

公式Xアカウント（@ChatGPT）でも「メッセージの検索、会話のキャッチアップ、返信の下書きと送信を、Mac上のChatGPTから行える」と告知されています。

基本情報

なぜAppleScript経由なのか

Appleはサードパーティ向けに「メッセージ」の公式APIを提供していません。そのためOpenAIは、macOSに古くから存在するAppleScriptと、アクセシビリティAPIというOS標準の仕組みを組み合わせて実現しています。

この実装方式が、利用条件のほぼすべてを規定しています。AppleScriptはmacOSにしかなくiOSには存在しないため、構造的にMac限定になります。また、メッセージ履歴のデータベースを読むにはフルディスクアクセスが、Messagesアプリを操作するにはオートメーション権限が、それぞれ必要になります。

OpenAIは動作について「Macの上でローカルに動作し、全メッセージのインデックス（索引）は作らない」と説明しています。Siriのように常時全文検索用の索引を構築する方式ではない、という趣旨です。

自分は使えるのか？導入条件チェックリスト

出典: Apple 公式サイト（Mac）

判定はプランではなく「Macの機種」と「アプリのどの画面か」で決まります。 以下を上から順に確認してください。

Appleメニューの「このMacについて」でチップ名（M1 / M2 / M3 / M4など）を確認するのが最短の判定方法です。「Intel Core i5」などと表示される場合は対象外です。

対象プラン早見表

Apple Messagesプラグイン自体は追加課金なしで、既存プランに含まれます。

ここで誤解が生まれやすいのが「Free でも使える」という点です。Web版・モバイル版のWorkは有料プラン向けですが、デスクトップアプリのWorkは無料プランでも開けます。結果として、無料プランでもApple Messagesプラグインは利用できます。ただし無料プランのWorkでは使用モデルが固定され、モデル選択はできません。

なお法人プランはUSD建てで、為替により実負担が変動します。個人プランの円建て価格も国内メディアが契約画面の表示として報じている額であり、契約前にアプリ内の決済画面で実額を確認してください。プラン全体の違いはChatGPT料金一覧｜Plus 3,000円・Pro 16,800円と法人3層で整理しています。

そもそもChatGPTの「プラグイン」とは何か

現在のプラグインは、ChatGPTとCodexに共通の機能拡張を追加する仕組みで、2023年にベータ提供されて廃止された旧「ChatGPTプラグイン」とは別物です。 ここを混同すると、記事や公式ドキュメントの記述が読み解けなくなります。

2026年7月9日、OpenAIは従来のAppディレクトリをPluginディレクトリに統合しました。公式ドキュメントによれば、プラグインはスキル・コネクタ・MCPサーバー・ブラウザ拡張・フック・スケジュールタスクといった要素を束ねたパッケージです。

MCPという規格そのものについてはMCPとは？仕組み・できること・対応ツール・セキュリティ、他社の同種の仕組みはClaudeコネクタの使い方で解説しています。

デスクトップアプリの「3つの面」を理解する

2026年7月9日、Codexアプリが新しいChatGPTデスクトップアプリに統合され、アプリ内は次の3面構成になりました。

Apple Messagesプラグインが動くのは、エージェントとして自律的に手を動かすWorkとCodexの2つの面だけです。「インストールしたのに反応しない」という場合、Chat画面を開いている可能性が高いです。ChatGPT Workの全体像はChatGPT Workとは？Codex統合の業務AIエージェント｜料金・対応プランで解説しています。

できること・できないこと

できること

読む・探す

• iMessage / SMS / RCS の会話履歴を読み取り、キーワードで検索する
• 数日分の会話をまとめて要約し、見逃したやり取りをキャッチアップする
• 返信していない相手・フォローアップすべき話題を抽出する
• 会話の中に埋もれた誕生日・住所・待ち合わせ場所などの情報を拾い出す
• スパムらしきメッセージを識別して仕分ける

書く・送る

• 会話の文脈を踏まえた返信の下書きを作る
• 承認後、Messages経由で実際に送信する
• カレンダーなど他のプラグインと組み合わせ、空き時間を確認して返信する

プロンプト内で @message のように @ でプラグインを指定すると、明示的に呼び出せます。

できないこと・制約

「メッセージの削除」については扱いが分かれています。海外メディアの実機検証では、削除を依頼したところプラグインでは処理できず、別途有効化されていた「Computer use」機能がMessagesウィンドウをGUI操作して削除した、という報告があります。削除はプラグイン単体の機能ではない可能性が高く、現時点では断定できません。

この事例は「一見無害な依頼が、有効化済みの別機能を呼び出して予期しない操作につながる」という重要な示唆でもあります。PC操作エージェント側の挙動はOpenAI Codex Computer Use 使い方｜Mac直接操作・画像生成・90+プラグインで整理しています。

使い方：インストールから最初の指示まで

出典: Apple 公式サイト（macOS）

手順は「プラグインを入れる → macOSの権限を3つ許可する → Work / Codexで指示する」の3ステップです。

手順1: プラグインをインストールする

1. macOS版ChatGPTデスクトップアプリを最新版に更新する
2. アプリ内のPlugins（プラグイン）を開く
3. 「Public」から Messages を検索する
4. インストールを実行する

手順2: macOSの権限を許可する

インストール後、実際に使い始めると次の3種類の権限要求が段階的に表示されます。

「システム設定 > プライバシーとセキュリティ」から、あとで個別に付与・取り消しができます。

手順3: Work または Codex で指示する

アプリ内でWorkまたはCodexの画面を開き、通常の指示文としてお願いします。

• 「この3日間のメッセージを要約して、返信が必要なものを挙げて」
• 「@message で『佐藤さん』とのやり取りから、来週の待ち合わせ場所を探して」
• 「宅配業者からの不在通知だけ抜き出して」
• 「このスレッドに、明日15時なら大丈夫と返信を下書きして」

送信を伴う指示では、既定で送信内容と宛先の確認ダイアログが表示されます。内容を確認してから承認してください。

安全性の核心：フルディスクアクセスで何が渡るのか

出典: Apple 公式サイト（プライバシー）

最大の論点は、フルディスクアクセスが「メッセージのデータだけ」に絞れない単一の権限であることです。 ここは日本語のニュース記事ではほとんど触れられていませんが、導入判断で最も重要な点です。

macOSのフルディスクアクセスは、アプリごとにオン／オフを切り替える仕組みで、対象データを細かく指定することはできません。ChatGPTデスクトップアプリにこれを許可すると、原理上は次のような保護対象データにも読み取り経路が開きます。

つまり「テキストのやり取りを整理してもらうつもりが、ローカルデータ資産全体に対する読み取り権限を渡している」という構図になります。Appleの通常のサンドボックス保護は、この経路での読み取りを制御しません。

これは Apple Messagesプラグイン固有の脆弱性ではなく、macOSの権限モデルとAppleScript実装を選んだことの必然的な帰結です。「OpenAIが不当に広い権限を要求している」というより、「メッセージ履歴を読むための、より狭い正規の手段がmacOSに存在しない」と理解するのが正確です。

ただし、判断する側にとって重要なのは意図ではなく結果です。渡した権限の範囲は、意図の善し悪しにかかわらず技術的に存在します。

OpenAI側の説明と、開示されていない点

OpenAIは「Mac上でローカルに動作し、全メッセージのインデックスは作らない」と説明しています。一方で、次の点は現時点で十分に開示されていません。

• 処理の過程で、どの範囲のメッセージ本文がOpenAIのサーバーへ送られるのか
• 第三者によるセキュリティ監査が実施されているか

そのため、「ローカル動作＝本文が一切外に出ない」と読み替えるのは危険です。生成AI全般の情報の扱いについては生成AIのセキュリティリスクと対策も参考にしてください。

プロンプトインジェクションと「常に許可」を押してはいけない理由

受信メッセージは、誰でも送り込める「信頼できない外部入力」です。 そこにAI向けの指示文を混ぜ込み、ユーザーになりすました送信や情報の抜き出しを狙う攻撃が、プロンプトインジェクションです。

想定される攻撃の流れは単純です。

1. 攻撃者が、AIへの指示文を含むメッセージをターゲットに送る
2. ユーザーが「未読を要約して」とChatGPTに依頼する
3. ChatGPTが受信メッセージを読み込む過程で、埋め込まれた指示を「ユーザーの指示」と誤認する
4. 別の相手に情報を送る、リンクを開くといった動作につながる

この構造は、外部データを読み込むAIエージェント全般に共通する問題です。詳しくはAIエージェントのセキュリティ設計ガイド、対策機能の例はChatGPT Lockdown Modeとは｜プロンプトインジェクション対策で解説しています。

「Always allow sending to this chat」の危険性

送信時の確認ダイアログには「Allow once（今回だけ許可）」と「Always allow sending to this chat（このチャットには常に許可）」の2択があります。OpenAI自身が後者について注意喚起しています。

Keep per-send approval for chats that may contain untrusted or misleading instructions.

— OpenAI公式ドキュメント

恒久承認をオンにすると、「ChatGPTが自分の名前で送信する前に確認する最後の機会」を失うと公式が明記しています。プロンプトインジェクションが成立した場合、都度承認が残っていれば不審な送信内容に気づけますが、恒久承認では気づけません。

推奨は、家族など明確に信頼できる少数のスレッドを除き、都度承認のまま運用することです。 手間が増えても、この確認は最後の防波堤として機能します。

SMSのワンタイムパスワードも読み取り範囲に入る

見落とされがちですが、日本ではSMSが銀行・行政・各種サービスの二要素認証コード（ワンタイムパスワード）の受け取り口として広く使われています。プラグインはSMSを読めるため、理論上、これらの認証コードも読み取り範囲に含まれます。

「認証コードを読み上げさせる」ような明示的な使い方をしなくても、読める状態にあること自体がリスク評価の対象になります。ネットバンキングや証券口座のSMS認証を日常的に使っている方は、この点を含めて判断してください。

既知の不具合（タスク × Full access）

公式ドキュメントには、スケジュール実行されるタスクが「Full access」設定、または承認プロンプトを無効にする構成になっている場合、Apple Messagesが送信確認ダイアログを表示できず、送信できないという不具合が記載されています。公式の回避策は「Ask for approval」または「Approve for me」への切り替えです。

一部メディアはこれを「タスク経由なら承認なしで送信され得る構成が生まれる」というリスクとして報じていますが、公式の記述は「送信できない」方向の不具合です。現時点では両論があると理解し、いずれにしてもタスクによる自動送信の構成は避けるのが無難です。

権限を取り消す・無効化する手順

個人はChatGPT側とmacOS側の2箇所、法人は管理者コンソールから止められます。

個人：ChatGPT側で送信の恒久許可を解除する

1. ChatGPTデスクトップアプリの「設定」を開く
2. 「Computer use（コンピューター使用）」を選ぶ
3. 「Messages」の「Manage」を開く
4. 「Always allowed to send」に登録されているチャットを削除する

これで該当スレッドも都度承認に戻ります。

個人：macOS側で権限そのものを取り消す

1. 「システム設定」を開く
2. 「プライバシーとセキュリティ」を選ぶ
3. 「フルディスクアクセス」からChatGPTのトグルをオフにする
4. 同様に「オートメーション」「連絡先」も必要に応じてオフにする

プラグインをアンインストールしても、macOS側に付与した権限は自動では消えません。 使わなくなった場合は、必ずシステム設定側も確認してください。

法人：管理者による無効化

Business / Enterprise ワークスペースの管理者は、既存の「Computer Use」コントロールから Apple Messages を無効化できます。Apple Messages専用のトグルではなく、Computer Use という括りの中で制御する設計である点に注意が必要です。

会社支給MacでのBYOD的な利用を想定している組織では、次の3点を先に決めておくことをおすすめします。

• そもそもComputer Use系機能を許可するか
• 許可する場合、業務用Macの「メッセージ」に業務連絡が入っているか
• MDMでフルディスクアクセスの付与を制限するか

関連する機能の管理者設計はChatGPTのComputer History機能とは？記録される内容・使い方・料金・プライバシー上の注意点でも整理しています。

日本で使う価値はあるか

日本の一般ユーザーにとっての実用価値は欧米より小さく、リスクとの釣り合いを慎重に見るべきです。 ただし用途を限定すれば有効な場面もあります。

価値が小さい理由

日本の個人間コミュニケーションはLINEが圧倒的で、iMessageやSMSでの日常会話の比率は欧米より明らかに低いのが実情です。「メッセージの会話をAIに要約させる」という最大の売りが、そもそも会話量の少ないアプリに対して働くことになります。

現時点で、このプラグインがLINEに対応する見込みはありません。AppleScriptでMessagesアプリを操作する実装である以上、構造的に対象外です。

それでも価値がある使い方

一方、日本のSMSには独自の役割があります。

つまり「会話の要約」ではなく「通知の受け皿としてのSMSを仕分ける」用途では、日本でも実用性があります。ただし同じ受信箱に認証コードが届いている以上、価値とリスクは同じ場所に同居しています。

RCS対応の前提

iPhoneのRCS対応は、au（2025年4月）、ソフトバンク（2026年春 / iOS 26.4以降）、NTTドコモ（2026年夏）の順で提供が始まり、日本でもようやく主要キャリアが揃った段階です。RCS対応を前提にした使い方は、環境によってはまだ十分に検証されていない可能性があります。

Siri・Apple Intelligenceや他社Macアプリとの違い

出典: Apple 公式サイト（Apple Intelligence）

「同じことがいずれSiriでできるのでは」という指摘は妥当で、乗り換えコストを考えるうえで無視できません。

OSに統合されたSiriは、そもそもメッセージにアクセスできる立場にあるため、追加の権限をユーザーが渡す必要がありません。この点は構造的な優位です。海外メディアの中には「iOS 27世代のSiriで同等のことが可能になるなら、わざわざフルディスクアクセスを渡す意味があるのか」と疑問を呈するものもあります。

Apple側の動きはApple Intelligenceとは、iOS 27 Apple Intelligence とは｜Claude・Gemini・ChatGPT選択対応、他社MacアプリはGemini for Macとは？Google純正macOSアプリの使い方、Perplexity Personal Computer for Mac とはで整理しています。

Appleとの関係という不確定要素

Appleはこの件について、報道機関の取材にコメントを出していません。Appleは過去に、iMessageをリバースエンジニアリングした第三者サービスを遮断した経緯があり、サードパーティのiMessageアクセスには厳格な姿勢を取ってきました。

さらに2026年7月には、AppleがOpenAIを営業秘密の窃盗で提訴しており、両社は係争中です（AppleがOpenAIを提訴｜AIハードウェアで営業秘密窃盗の疑い）。

一方、OpenAI側は「AppleScriptとアクセシビリティという公開されたOS標準機能を使っているだけ」という立場になります。仕様変更で塞がれるとすればmacOS側の権限モデルの変更が必要で、影響範囲が大きいため即座の遮断は考えにくいものの、中長期的に仕様が変わる可能性は残ると見ておくのが現実的です。

こんな人におすすめ

• Apple Silicon MacでiMessage / SMSを日常的に使っている人 — 会話量があるほど要約・検索の価値が出ます
• 英語圏の相手とiMessageでやり取りする機会が多い人 — 下書き作成の恩恵が大きい領域です
• SMSに届く配達通知・予約確認が多く、埋もれがちな人 — 通知の仕分け用途は日本でも実用的です
• すでにCodexでPC操作エージェントを使いこなしている人 — 権限モデルを理解したうえで追加する形になります
• プライベート用と業務用でMacを分けている人 — 影響範囲を限定できます

おすすめしない人

• Intel Macを使っている人 — 現時点で選択肢がありません
• 個人間の連絡がほぼLINEで完結している人 — 得られる価値に対してリスクが見合いません
• 同じMacで機密情報を扱っている人 — フルディスクアクセスの範囲を許容できないケースが多いはずです
• SMSで銀行・証券の二要素認証を日常的に受け取っている人 — 認証コードが読み取り範囲に入ります
• 会社支給のMacを使っている人 — 情報システム部門の承認なく有効化すべきではありません
• 「常に許可」を押して手間を省きたい人 — この機能で最も避けるべき運用です
• 仕組みを理解せずAIに全部任せたい人 — 権限とプロンプトインジェクションの理解が前提の機能です

現時点で未確認・変動しうる点

公式に明示されておらず、今後変わる可能性がある項目を明記しておきます。断定調の解説記事を読む際の判断材料にしてください。

よくある質問（FAQ）

Q. iPhoneのメッセージも操作できますか？

いいえ。操作対象はMacの「メッセージ」アプリです。iOSにはAppleScriptが存在しないため、iPhone単体では動作しません。ただしiCloudでメッセージが同期されていれば、Mac側に来ている履歴を通じて実質的に同じ内容を扱えます。

Q. 無料プランでも本当に使えますか？

はい。デスクトップアプリのWork / Codexで利用できます。ただしWeb版・モバイル版のWorkは有料プラン向けであり、「無料プランならどこでもWorkが使える」という意味ではありません。

Q. インストールしたのにプラグインが呼び出せません。

Chat画面を開いている可能性が高いです。WorkまたはCodexの画面に切り替えてください。それでも動かない場合は、フルディスクアクセスとオートメーションの権限が付与されているかをシステム設定で確認してください。

Q. ChatGPTが勝手にメッセージを送ることはありますか？

既定では、宛先と本文を承認してから送信されます。ただし「Always allow sending to this chat」を有効にしたスレッドでは確認が省略されます。この設定は、OpenAI自身が慎重な利用を呼びかけている項目です。

Q. メッセージの内容はOpenAIに送られますか？

OpenAIは「Mac上でローカルに動作し、全メッセージのインデックスは作らない」と説明しています。ただし処理過程でどの範囲の本文がサーバーへ送られるかは完全には開示されていません。「一切外に出ない」とは断定できない、というのが現時点の正確な理解です。

Q. フルディスクアクセスを許可せずに使えますか？

会話の読み取りと検索にはフルディスクアクセスが必要です。許可しない場合、プラグインの中心機能は動きません。権限を絞って限定的に使う、という選択肢は現状ありません。

Q. 会社のMacで使っても問題ありませんか？

情報システム部門の承認なしに有効化すべきではありません。フルディスクアクセスは業務データ全体に読み取り経路を開くため、シャドーIT的な導入はリスクが高い構成です。管理者側はComputer Useコントロールから無効化できます。

Q. Windowsでも使えますか？

現時点ではmacOS限定です。AppleScriptに依存した実装であるため、Windows版の提供予定は公表されていません。

Q. 2023年に廃止された「ChatGPTプラグイン」と同じものですか？

別物です。現在のプラグインは、スキル・コネクタ・MCPサーバーなどを束ねた新しい拡張の仕組みで、2026年7月にAppディレクトリを統合する形で整理されました。

まとめ

Apple Messagesプラグインは、macOS版ChatGPTデスクトップアプリのWork / Codexから、Macの「メッセージ」を読み・検索し・下書きし・送信できるOpenAI純正のプラグインです。追加料金はなく全プランが対象ですが、実際に使えるのはApple SiliconのMacに限られます。

判断のポイントは3つです。

1. 条件は「Apple Silicon Mac」×「デスクトップアプリのWork / Codex」 — プランよりこちらが先に効きます
2. 利便性の対価はフルディスクアクセス — メッセージ以外の保護対象データにも読み取り経路が開きます
3. 受信メッセージは信頼できない外部入力 — 「このチャットには常に許可」は原則使わず、都度承認を維持してください

LINEが主流の日本では、会話要約としての価値は限定的です。一方で、配達通知や予約確認などSMSに集まる情報の仕分けには実用性があります。同じ受信箱に二要素認証コードが届いている点を含め、得られる利便性と渡す権限の広さを天秤にかけたうえで有効化するかを決めるのが現実的な判断です。

ChatGPT全体の機能とプランについてはChatGPTとは？料金プラン・できること・モデル・使い方、業務利用の面についてはChatGPT Workとは？Codex統合の業務AIエージェント｜料金・対応プランを参照してください。