苹果收紧macOS完全磁盘访问 防AI代理风险

10月2日消息，苹果宣布将围绕macOS的“完全磁盘访问权限”（Full Disk Access）新增一系列管控措施。在官方说明中，苹果明确警告：随着AI代理（AI agents）的能力越来越强，允许应用一次性大范围读取用户文件、即时信息、邮件和浏览记录的传统授权模式，正在变得风险更高。这一表态意味着，苹果的隐私防线正从“防应用越权”延伸到“防代理失控”。

一把能打开整个“数字人生”的钥匙

“完全磁盘访问权限”是macOS隐私体系中的顶级授权项。自2018年macOS Mojave将其纳入系统级“透明、同意与控制”（TCC）框架以来，任何应用想触达邮件、短信、浏览记录等敏感数据，都必须由用户手动授予这一权限。它之所以冠以“完全”二字，是因为获得授权的应用将绕过常规沙箱限制，几乎可以读取磁盘上所有受保护的内容。

苹果此次明确点名了四类最敏感的数据面：

• 用户文件：文档、桌面、下载等受保护目录中的个人资料；
• 即时信息：信息应用中的完整聊天记录；
• 邮件：邮箱里全部往来信件与附件；
• 浏览记录：浏览器历史与相关网站数据。

过去，索取这一权限的多是备份工具、磁盘清理软件、终端应用等用户高度信任的产品。用户看到弹窗、点击允许后，授权便长期生效，系统既不追问具体用途，也不限定访问范围。

AI代理为何让“大授权”变得危险

能力日益增强的AI代理，使对用户文件、信息、邮件和浏览记录的大范围访问变得风险更高。

问题出在授权“颗粒度”与应用行为方式的错配上。传统应用的边界相对清晰：用户主动打开它、指派它做什么，它就做什么。而AI代理的本质是自主执行——用户给出一个目标，代理自行规划步骤，跨应用读写文件、检索邮件、翻查浏览记录，再代替用户采取行动。在这种模式下，一份“完全磁盘访问”授权意味着代理运行中的每一步都畅通无阻，数据最小化原则被整体架空。

更微妙的是，代理处理的内容本身可能被“投毒”。安全界普遍担心，藏在一封邮件或一个网页里的恶意指令，可能诱导代理调用其合法持有的广泛权限，做出违背用户意图的事。代理的权限越大，这类风险的外溢面就越宽——这正是苹果此番收紧权限的直接动因。

从“一次授权、长期有效”到任务级最小授权

苹果此次仅表示将“新增管控措施”，尚未公布完整细节，但结合其一贯的隐私工程思路，方向并不难判断：把粗放的全量授权拆解为更细的颗粒——按任务范围授予、限时生效、用后即收，并在系统设置中提供更透明的审计与撤销入口。事实上，苹果已在macOS Sequoia中对屏幕录制、辅助功能等敏感权限引入周期性重新确认机制，此番相当于把同样的逻辑推进到权限金字塔的顶端。

这条路线与苹果多年的隐私布局一脉相承：2021年iOS 14.5上线“应用追踪透明度”（ATT），把跨应用追踪的决定权交还给用户；如今当AI代理成为新的数据访问主体，苹果显然希望再度抢先把“代理能看什么、能看多久”的规则写进操作系统，而不是等风险爆发后再补救。

开发者与代理厂商的连锁反应

新规落地后，第一批感受到震动的将是长期依赖“完全磁盘访问”的工具类开发者：备份、同步、清理、终端与安全软件都需要重新审视自己的权限索取方式，把“一次要全部”改为“按需申请”，适配成本在所难免。但从另一面看，更严格的授权边界也意味着更高的用户信任，对真正注重隐私的产品反而是利好。

更深远的影响落在AI代理赛道。无论是浏览器代理、桌面自动化代理，还是各类“电脑操作”型智能体，过去围绕“尽量多拿权限”构建的产品逻辑都将面临重写；权限粒度、行为可解释性与随时可撤销，很可能成为下一代代理产品的竞争门槛。苹果作为操作系统方先行一步，其他平台厂商大概率会跟进类似的代理权限框架。

当AI从“回答问题”走向“代替操作”，操作系统的权限弹窗正在成为新的安全边界。苹果此番收紧“完全磁盘访问”，与其说是针对某个漏洞的补丁，不如说是为代理时代重新划定隐私底线的一次预告：能力越强的代理，越需要更细的缰绳。接下来值得关注的，是苹果何时公布管控细则，以及开发者生态能否在新规则下找到代理能力与隐私保护之间的平衡点。