Apple ogranicza dostęp do dysku w macOS, by chronić dane przed agentami AI

Apple zmieniła zasady 3 października. Aktualizacja ogranicza sposób, w jaki agenci AI uzyskują dostęp do prywatnych danych.

Termin nie jest przypadkowy. Dwa tygodnie wcześniej kolumnista technologiczny Jason Aten zgłosił, że agent Meta o nazwie Muse wysłał mu powiadomienie odnoszące się do prywatnej rozmowy w Apple Messages. Aten stwierdził, że nie udzielił agentowi pozwolenia na odczyt wiadomości. Według Ars Technica incydent wywołał szerszą debatę o tym, czy asystenci AI z dostępem do kalendarzy i e-maili przypominają narzędzia, które mogą wyrządzić realne szkody, jeśli zostaną nadużyte. Reakcja społeczności była szybka. Wielu deweloperów zaczęło kwestionować, czy obecne modele uprawnień wystarczają dla autonomicznego oprogramowania, które może czytać, pisać i wykonywać polecenia bez udziału człowieka przy każdej akcji. Konkretny incydent stał się katalizatorem nagłej zmiany polityki Apple, zamieniając niszowe zaniepokojenie bezpieczeństwem w powszechny problem platformowy w ciągu kilku dni.

CTO Meta David Singleton odparł na to. Stwierdził: „Integracja z Messages w aplikacji Muse na Maca jest opcjonalna (opt-in).”

Singleton argumentował, że Muse wymaga dwóch konkretnych działań użytkownika, aby uzyskać dostęp do wiadomości: udzielenia uprawnień Full Disk Access oraz włączenia łącznika Messages. Jednak Patrick Wardle, ekspert od bezpieczeństwa macOS, zakwestionował tę obronę. Zauważył, że Full Disk Access technicznie pozwala na odczyt każdego pliku innego niż root, w tym historii przeglądania i czatów. Nowe ogłoszenie Apple zaprzecza implikacji Singletona, że uprawnienie było ściśle ograniczone do konkretnych integracji. Punkt widzenia Wardle’a podkreśla fundamentalną wadę obecnego modelu bezpieczeństwa macOS, gdzie jedno szerokie uprawnienie daje dostęp do niemal wszystkiego na dysku. Brak precyzyjnej kontroli tworzy ogromną powierzchnię ataku dla dowolnego oprogramowania, które może uzyskać Full Disk Access, niezależnie od jego zamierzonego celu lub konkretnego zamiaru użytkownika przy udzielaniu zgody.

Apple stwierdziła, że niektórzy deweloperzy wykorzystują Full Disk Access w sposób narażający użytkowników na ryzyko, narażając pliki, pocztę i historię przeglądania bez pełnej wiedzy użytkownika. Firma podkreśliła, że wraz z rosnącymi zdolnościami i autonomią agentów AI, ryzyko związane z tym poziomem dostępu będzie się znacznie zwiększać. Apple nie wymieniła Meta ani Muse w swoim oświadczeniu, ale termin ogłoszenia po zamieszaniu w mediach społecznościowych sugeruje bezpośredni związek z incydentem.

Narzędzia przechodzą od pamięci do zarządzania

Deweloperzy budują nowe warstwy do zarządzania zachowaniem agentów. Skupienie przesuwa się w stronę dokumentacji, a nie surowej pamięci.

Kevin Liao, pisząc 3 października, argumentował, że agenci nie potrzebują wtyczek pamięci, które wstrzykują podobne fragmenty z baz wektorowych. Zaproponował, że agenci potrzebują ustrukturyzowanej dokumentacji, takiej jak wiki, aby rozumieć kontekst i ograniczenia projektu. To podejście unika „losowości” pobierania błędnych informacji z izolowanych fragmentów. Argument Liao kwestionuje obecny dominujący paradygmat w rozwoju AI, który w dużej mierze opiera się na systemach generowania rozszerzonego o wyszukiwanie (retrieval-augmented generation), pobierających fragmenty z dużych zbiorów danych. Popierając bardziej deterministyczne podejście oparte na kuratorowanych, ustrukturyzowanych bazach wiedzy, Liao sugeruje, że deweloperzy mogą znacząco zredukować halucynacje i poprawić niezawodność działań agentów w złożonych, wieloetapowych procesach, gdzie kontekst jest kluczowy.

Badacze bezpieczeństwa rozwijają również narzędzia do monitorowania działań agentów. Deweloper Fred wydał agent-blackbox, tzn. lotniczy rejestrator zdarzeń (flight recorder) wykrywający manipulację dla kodujących agentów, takich jak Claude Code. Narzędzie zapisuje każdy prompt i wywołanie narzędzia w rejestrze tylko-do-dodawania (append-only), który jest łańcuchowany hashowo i podpisany. Zawiera silnik polityki, który zatrzymuje wywołania, jeśli wykryje „lethal trifecta” (śmiertelne trójkąt): prywatne dane, niezaufaną treść i zewnętrzne wywołanie. Tego typu narzędzia są niezbędne dla organizacji, które chcą wdrożyć agentów AI w środowiskach produkcyjnych, nie narażając swojej własności intelektualnej ani wrażliwych danych na ryzyko wycieku. Cecha tylko-do-dodawania rejestru gwarantuje, że po zarejestrowaniu akcji nie może ona być cicho zmieniona ani usunięta przez agenta ani inny proces.

Projekt AgentSight oparty na eBPF zapewnia systemowy profilowanie dla agentów AI. Łączy prompty z ich realnymi skutkami na maszynie, takimi jak zmiany plików i aktywność sieciowa. Zgodnie z repozytorium projektu na GitHubie, działa z zamkniętymi CLI bez wymagania SDK lub proxy, oferując sposób na audytowanie tego, co agent faktycznie robi, a nie tylko tego, co twierdzi, że robi.

Infrastruktura przedsiębiorstw się dostosowuje

Produkenci chmury integrują kontrolne mechanizmy specyficzne dla agentów. Amazon Web Services zaktualizował swój Bedrock AgentCore, aby zarządzać zgodą OAuth końcowych użytkowników. Nowy portal Consent pozwala użytkownikom uwierzytelniać się z korporacyjnym dostawcą tożsamości i udzielać konkretnych uprawnień agentom, zapewniając, że tokeny są bezpiecznie powiązane z użytkownikiem, który je autoryzował. Odpowiada to na potrzebę wiązania sesji w środowiskach przedsiębiorstw, gdzie agenci działają w imieniu pracowników. Wdrożenie odzwierciedla szerszy trend w oprogramowaniu przedsiębiorstw, gdzie zarządzanie tożsamością i dostępem staje się coraz bardziej złożone, wraz ze wzrostem liczby aktorów niebędących ludźmi w systemie.

Epoch AI opublikowało raport 3 października, szacujący, że chipy AI wysyłane do 2 027 roku mogą wspierać dziesiątki do setek milionów równoległych agentów modeli frontier. Raport wyliczył, że te agenci mogliby dostarczyć tyle godzin pracy tygodniowo, ile 140 do 720 000 000 pracowników etatowych. Zaznaczono jednak, że popyt musi szybko rosnąć, aby uzasadnić inwestycje, z potencjalnym wydatkiem na API sięgającym 5 300 000 000 000 dolarów rocznie, jeśli zostanie wykorzystane 20% pojemności.

Rozszerzanie narzędzi dla agentów szybko przesuwa się z eksperymentalnego kodu do infrastruktury przedsiębiorstw. Wraz ze zdobywaniem większej autonomii, skupienie przesuwa się od czynienia ich mądrzejszymi do czynienia ich audytowalnymi, ograniczonymi i bezpiecznymi. Niedawne zmiany w uprawnieniach macOS i wzrost narzędzi obserwowalności sugerują, że branża przygotowuje się na przyszłość, w której agenci są traktowani jako odrębne, odpowiedzialne podmioty w systemach cyfrowych.