苹果收紧Mac完全磁盘访问权限：AI代理惹的祸？

从现在起，macOS 准备对 Personal Agent 把门关上了。

10月2日，苹果发布了一则不长的公告，表示后续版本将收紧在 macOS 上已经存在多年的「完全磁盘访问」（Full Disk Access, FDA）这项高级权限：

眼下，部分开发者对「完全磁盘访问」的用法存在隐患，用户可能既没有充分了解情况，也谈不上真正同意，自己系统里的全部内容就这样被暴露出来……接下来我们打算加上一些额外的管控手段：那些真心想把这种高等级权限交给某个应用的人，必须经过一道极其明确的用户操作，授权才算成立。而人工智能代理的本事和自主程度还在往上走，这类访问权限所牵涉的风险，也会随之明显放大。

这个权限从 2018 年 macOS Mojave 10.14 就加入了，怎么到了 AI 时代，忽然就变得不安全了？

Personal Agent，把 macOS 的「君子协议」玩坏了

要想弄明白来龙去脉，得先了解「完全磁盘访问」到底是个什么功能。

在 10.14 之前，macOS 管文件系统权限的方式跟现在的 Windows / Linux 差不多：程序一旦跑起来，当前账户身份能读的文件它都能读。

此后，macOS 陆续引入了更细、更现代的隐私管理机制。拿现在的版本来说，邮件、聊天信息、浏览器记录、Time Machine 备份以及第三方软件的用户数据这类高敏感内容，程序默认都碰不了，除非用户手动给某个程序开「完全磁盘访问」。

留这个「后门」是有原因的：杀毒、文件备份、企业 IT 管理等少数软件，天生就得把整个文件系统翻一遍才能干活。要是每碰一次敏感数据都得用户点一次授权，那弹窗会多到没法用。

但让这些软件用「完全磁盘访问」，靠的是一种心照不宣的「君子协议」：macOS 相信备份软件翻全盘只是为了原样复制每个文件，杀毒软件翻全盘只是为了盯着文件改动和恶意行为……按理说，它们一心只扑在工作上，对用户的隐私数据本身没兴趣，也不会去侵害用户权益。

这是 macOS 内部的「宙斯法则」。很长时间里，这套机制运转得挺好，大家相安无事。

直到 AI Agent 破门而入。

尤其是以 Muse 为代表的 Personal Agent，完全没有老派软件那种客气。为了更懂你的目标和偏好、去「管理个人生活」，它们不光申请「完全磁盘访问」，还借这个渠道大量读取用户的隐私信息，比如日程、邮件沟通对象、聊天主题等，再把这些内容变成用户画像和个人上下文，用来决定下一步怎么做。

就算我们相信 Meta 自己不会把隐私数据拿去别处用（其实这一点都很难保证），也没法排除 Personal Agent 因为理解出错，或者被攻击者刻意诱导，把隐私数据全都抖搂出去。

事实上，这已经不是思想实验了，而是现实世界里真实存在的风险。

前一阵，安全研究机构 Salt Security 公开了一个邮件注入漏洞。攻击者只要发出一封带攻击代码的邮件，就能让受害者的 Manus Agent 执行代码，进而接触到 Manus 所连接的 Gmail、Google Drive 等第三方凭证。

还有另一个例子：科技博主 Matt Robb 让 Muse 代管二手交易，结果 Muse 在他完全不知情的情况下，把家庭地址发给了买家，让对方来「线下交易」。

确实，大多数 Personal Agent 都宣称要当你的「全能助理」，但代价就是让这个助理了解你的一切，而它的口风又是出了名的不严实——何况挖出漏洞攻击 AI Agent 并不算什么难事。

破坏法则、滥用权限的是 Personal Agent 这些「门口外的野蛮人」，可一旦信息泄露，搞不清状况的用户说不定连 macOS 一起骂。这么看就不难理解，苹果为何要着手进一步收紧「完全磁盘访问」权限。

开放与安全，无法兼得的两难

在资深开发者和科技评论者 John Gruber 眼里，更危险的一点是，大多数年轻人被 iPhone 和 iPad「照顾」得太好了。

一般来说，我们跟手机、平板朝夕相处，用移动设备的时间和场景都比 Mac 多，这就让大众更习惯前者的功能逻辑。

可苹果偏偏在 iOS 和 iPadOS 上用了比 macOS 严格得多的沙盒机制——哪怕我们闭着眼把所有权限申请弹窗都点了允许，系统底层机制也决定了 Agent 们没法直接碰邮件和聊天，关键隐私照样保得住。

但要是把这种习惯带到 Mac 上，风险就会成倍上升。

不少普通用户没意识到，Mac 本质上是一台「全功能」工作站，它在开放程度和可定制深度上，远不是 iPhone / iPad 能比的。在手机上，把权限申请统统点同意，风险或许还算可控；可放到 macOS 里，让 Agent 拿到「完全磁盘访问」，就等于答应它未来某一天可以把你所有的身份、地址信息原封不动交出去。

Agent 那种「亲和力掩饰」，让这件事变得更危险。

为了让用户放下戒心、显得「人畜无害」，现在市面上几乎每一款 Agent 产品都会特意做个萌化形象。Grok Bot 是只大眼圆球，Muse 是微笑树懒毛绒玩偶 Jolly，OpenAI dots 则是一群彩色卡通角色。

单从设计看，这些形象无疑很成功——人面对可爱的东西，天生就会松掉警惕。

可「萌化」越成功，难道不也越危险吗？

更早的一篇博文里，John Gruber 就警告过：Muse 其实把一个极强、甚至危险的 Agent，包装成了人人都会用的可爱消费产品。传统电锯一眼看过去就知道可能切掉手指，可一旦给它套上彩色塑料壳，孩子们说不定就忘了它终究还是台电锯。

如今的 Personal Agent，正站在这个位置上。

面对这种局面，让系统提前把权限收拢起来、以绝后患，看上去是个挺合理的办法；可任何改变都会有牺牲者，这一次被牺牲掉的，是开发者们的乐趣。

权限和能力从来是绑在一起的。早期 iOS 社区那么热衷「越狱」，就是因为 root 权限几乎等于无限的自定义空间；后来 Android 上会出现「李跳跳」这类跳过开屏广告的软件，靠的也是 Android 的无障碍服务（Accessibility Service）权限——它能读取用户界面，进而模拟点击「跳过广告」按钮，代价则是你得让这款软件看见你屏幕上的一切。

说白了，很多好用的软件，都建立在「相信它不作恶」这种高度信任和权限开放之上。

可一旦有人拿这些权限去「作恶」，秩序就会崩坏，系统随之收紧权限，原来的功能也就此作废——比如拜开屏广告「摇一摇」所赐，一些系统已经开始默认关掉陀螺仪和加速度计权限了。

所以看到苹果的公告后，John Gruber 头一个担心的是自己开发的软件：

苹果到底会把「完全磁盘访问」收紧到哪一步，这事让我挺发愁。我有好几个应用都靠这个权限跑起来，一旦没了它，这些应用根本没法正常工作；可要是它们每做一次操作都得我点一次授权，那它们能做的事就大打折扣了。

假如 macOS 真变得更封闭、更像 iOS，对普通用户来说当然是安全上的好事，可 macOS 原本就已摇摇欲坠的自由度也会跟着受威胁。这种苦涩，正如 John Gruber 在博客里感叹的那句：「这就是为什么我们没法拥有好东西」（this is why we can’t have nice things.）

我们真的需要这么多 Agent 吗？

聊到这儿，就不得不说说推倒这排多米诺骨牌的 Personal Agent 了。

Muse 登顶美区 App Store 之后，个人助理式的 Personal Agent 一时间成了显学。但这个业态，其实是搭在一套环环相扣的逻辑上的：

要系统最高权限，是为了拿到个人隐私信息；拿到个人隐私信息，是为了建立完整的个人上下文；建立个人上下文，又是为了帮人处理订票、网购、退货、做报表这些事……

这套逻辑看着天衣无缝，可要让它站住脚，还得先证成几个前提：第一，得证明所有这些事务都是需要被「解决」的「问题」；第二，得证明 Personal Agent 就是解决它们的最佳方案。

起码在我看来，这两个前提都没那么稳。

Personal Agent 之所以是个典型的硅谷式「发明」，是因为它处处带着硅谷工程师的价值观——把一切事务压缩成只有起点和终点的单调问题：

• 挑午饭太麻烦，那就做出 Soylent 这种「流体食品」，一瓶灌下去，热量和营养问题一并解决；

• 购物也烦，最好固定成黄仁勋的皮衣和扎克伯格的圆领 T 恤，定期下单送到家门口；

• 喜欢的歌手很久才出一张专辑，那不如用 AI 批量生成合口味的「自定义音乐」。

这种思路，拼多多黄峥其实早就回应过：「购物不全都是目的型的，本身是娱乐和生活的一部分。」目的性消费、定期消费当然存在，但多数人还是喜欢漫无目的地逛。商品连着商品、机票串出更多旅行计划，那种随手浏览、撞见新东西的兴奋感，不该也不能被 Agent 抛出的固定答案框死。

况且在「发现」这件事上，网页和 app 已经够用了。AI 来主导订票和购物，恐怕只适合商旅这类特定场景。

再说搜集数据、做报表和 PPT 这些活，交给 Personal Agent 当然行，可在 ChatGPT、Workbuddy 的受限空间里照样能干。「如无必要，勿增实体」——何必专门养一个掌握自己全部隐私的「电子室友」，而不是直接调用普通办公 Agent？如果个人事务并不都是等着被「解决」的「问题」，Personal Agent 也未必是最优解，那所谓助理式 Agent 的价值就很值得怀疑了。

所以我更想把 Personal Agent 叫作「智能 Soylent」。假如吃饭只为摄取能量和营养，Soylent 确实够用，可它喂不饱真正爱吃的人；生活如果全是「任务」，一个提前掌握个人信息的 Personal Agent 会是个好主意，问题是生活不全是「任务」。

Soylent 依然活着，只是缩成了年营收数百万美元、品牌价值早已计提为零的小众牌子。

热潮退去后，Personal Agent 的地盘大概也会跟着大幅缩水。

可因它们而被收紧的系统权限，却再也回不来了。