Apple restringe l'accesso al disco su macOS con l'avanzare degli agenti AI

Il 2 ottobre Apple ha pubblicato una dichiarazione sul suo sito per sviluppatori. La modifica cambia il modo in cui le app richiedono l'accesso completo al disco su macOS. L'azienda ha dichiarato che "alcuni sviluppatori" stanno usando questo permesso in "modi che potrebbero mettere a rischio gli utenti". Si tratta di un cambiamento strutturale nel modo in cui i sistemi operativi gestiscono i permessi per il software che agisce per conto degli utenti.

La minaccia specifica

Apple ha spiegato che l'accesso completo al disco è attualmente progettato per consentire il funzionamento delle applicazioni di backup. Tuttavia, il permesso "aggira in gran parte" i controlli standard sulla privacy. Secondo il post di Apple, l'uso improprio di questo accesso può esporre "tutto sui loro sistemi, inclusi file, posta, messaggi e persino la cronologia di navigazione" senza la piena comprensione dell'utente. Per le app di comunicazione, questa compromissione si estende alla privacy delle persone con cui l'utente sta parlando. L'azienda ha notato che man mano che gli agenti AI diventano "sempre più capaci e autonomi", i rischi associati a questo livello di accesso "cresceranno in modo sostanziale".

Il tempismo è significativo. Questo annuncio arriva mentre strumenti come Meta Muse e Dots di OpenAI guadagnano popolarità. Si tratta di agenti sempre attivi che richiedono un accesso sostanziale ai dati personali. 9to5Mac ha riportato che ci sono già state "storie dell'orrore" riguardo a Meta Muse, suggerendo che il rischio teorico sta diventando una realtà pratica. Apple ha dichiarato che introdurrà controlli per garantire che gli utenti concedano questo accesso "straordinario" solo con "un'azione utente molto esplicita". Al momento della stesura del report non sono stati forniti ulteriori dettagli sull'implementazione tecnica.

Identità e controllo degli accessi

Mentre Apple affronta il permesso a livello di sistema operativo, una tendenza parallela negli strumenti per agenti si concentra sull'identità. Dare a un agente le proprie credenziali di accesso personali crea una responsabilità di sicurezza. L'app non può distinguere tra le tue azioni e quelle dell'agente. Se l'agente si comporta male, l'unico modo per fermarlo è cambiare la propria password, bloccandosi di fatto fuori dal proprio account nel processo. AgentMail, un fornitore di soluzioni di identità per agenti, sostiene per un modello separato. Propone di dare agli agenti la propria identità, inclusa la propria casella di posta in arrivo e la propria chiave di accesso. In questo modello, l'agente è un principale distinto. Se una credenziale viene violata, ciò influisce solo sull'accesso di quel specifico agente, non sull'intero account del proprietario. Il proprietario è registrato come l'umano responsabile, ma il raggio d'azione è contenuto.

Questa distinzione tra delega e identità separata sta diventando una decisione architetturale standard. Per agenti che agiscono all'interno dei tuoi account esistenti, prendere in prestito l'autorità funziona. Per agenti che si iscrivono a servizi, ricevono email e detengono account nel tempo, un'identità separata è più sicura. La capacità di revocare l'accesso di un agente senza influire sul proprietario umano è una funzione di sicurezza critica che i login presi in prestito non offrono.

Verifica e deriva

I permessi sono solo una parte del puzzle della sicurezza. Un'altra è garantire che l'agente faccia ciò che dichiara di fare. Microsoft e Hugging Face hanno rilasciato un benchmark chiamato ThinkingBox il 3 ottobre. Valuta gli agenti AI in base ai registri che lasciano in un database, piuttosto che alle frasi che generano. Il benchmark fa passare gli agenti attraverso 507 flussi di lavoro aziendali con stato, ciascuno ripetuto 20 volte. I risultati sono stati netti. In un test che copre 121.680 tentativi validi su 12 modelli LLM, 79.853 tentativi hanno fallito i controlli eseguibili. Di quei fallimenti, il 67,24% degli agenti si è terminato pulitamente e ha riportato nessun errore, tuttavia il database mostrava valori di campo errati nel 77,61% di quei casi. Effetti extra imprevisti sono apparsi nel 43,30% dei fallimenti. Questo evidenzia un problema fondamentale: un agente può sembrare corretto mentre lascia il sistema in uno stato errato.

Questo problema è aggravato dalla "deriva dell'agente". Un concetto dettagliato in un'analisi recente di Sdarchitect, la deriva si verifica quando il comportamento di un agente cambia anche se nessun codice è stato distribuito. Poiché gli agenti operano in un sistema di modelli, strumenti e dati, qualsiasi cambiamento in quegli elementi sottostanti può alterare il comportamento. Un provider di modelli che aggiorna una versione del modello o modifica i controlli di sicurezza può causare un comportamento diverso dell'agente. I tradizionali sistemi di controllo dei cambiamenti, che tracciano le distribuzioni di codice, non catturano questo. L'implicazione è che la valutazione deve essere continua, non solo un controllo di progettazione one-time. Se l'ambiente cambia, il comportamento dell'agente cambia, indipendentemente dal codice dell'agente stesso.

Infrastruttura e supervisione

Man mano che gli agenti diventano più autonomi, l'infrastruttura attorno a loro sta evolvendo per gestire il rischio. Spawned ha lanciato una piattaforma cloud progettata sia per umani che per agenti, consentendo loro di distribuire infrastrutture reali su AWS, GCP o Azure. Utilizza un framework dichiarativo per garantire che gli agenti non creino configurazioni errate o componenti allucinati. Kimchi offre un approccio diverso, concentrandosi su costi e governance dei dati. Applica limiti di budget rigidi e garantisce che i dati del modello non lascino l'ambiente aziendale, un requisito chiave per le industrie soggette a molte conformità.

Tuttavia, le salvaguardie tecniche non sono sufficienti se la supervisione umana è difettosa. Un paper intitolato "Oversight Has a Capacity", pubblicato su arXiv nel giugno 2026, sostiene che i gate di approvazione con umano nel loop si basano su assunzioni false. Lo studio ha scoperto che i revisori concordano solo moderatamente su cosa costituisce un'azione rischiosa, con un kappa di Fleiss di 0,52. Più importante, l'attenzione umana è finita. Quando modellata come una risorsa che si stanca, la sicurezza realizzata segue una curva a U invertita. Un'escalation eccessiva può in realtà rendere un sistema meno sicuro perché il revisore diventa stanco. La strategia ottimale per la sicurezza è escalare meno del 100% delle volte, riservando il giudizio umano alle decisioni più critiche. Questo ricalibra la supervisione non solo come un problema di classificazione, ma come una sfida di allocazione delle risorse.

La convergenza di questi sviluppi punta a una nuova fase nel deployment degli agenti AI. Non è più sufficiente costruire un modello intelligente. Il focus si sta spostando sull'intero sistema: come l'agente si identifica, come viene verificato contro lo stato del mondo reale, come viene gestito il suo ambiente e come la supervisione umana è calibrata per prevenire la stanchezza. La mossa di Apple sui permessi macOS è un segnale che i vendor di sistemi operativi stanno prendendo sul serio la questione. L'era del trattare gli agenti come script semplici sta finendo. La prossima generazione di strumenti sarà costruita con l'assunzione che gli agenti siano attori autonomi con le proprie identità, i propri budget e la propria capacità di commettere errori che solo una rigorosa verifica basata sullo stato può catturare.