Apple ogranicza dostęp do dysku w macOS w obliczu rozrostu agentów AI

2 października Apple opublikowało oświadczenie na swojej stronie dla deweloperów. Zmiana dotyczy sposobu, w jaki aplikacje proszą o pełny dostęp do dysku w macOS. Firma stwierdziła, że "niektórzy deweloperzy" korzystają z tego uprawnienia w "sposób, który może narażać użytkowników na ryzyko". To strukturalna zmiana w tym, jak systemy operacyjne obsługują uprawnienia dla oprogramowania działającego w imieniu użytkowników.

Specyficzne zagrożenie

Apple wyjaśniło, że pełny dostęp do dysku jest obecnie zaprojektowany tak, aby pozwalać aplikacjom do backupu na działanie. Jednak to uprawnienie w dużej mierze omija standardowe kontrole prywatności. Według posta Apple, nadużycie tego dostępu może narazić "wszystko na ich systemach, w tym pliki, pocztę, wiadomości i nawet historię przeglądania" bez pełnego zrozumienia ze strony użytkownika. W przypadku aplikacji do komunikacji kompromis ten rozciąga się na prywatność osób, z którymi użytkownik rozmawia. Firma zauważyła, że wraz z tym, jak agenci AI stają się "coraz bardziej kompetentni i autonomiczni", ryzyka związane z tym poziomem dostępu będą "rosnąć znacznie".

Timing jest istotny. To ogłoszenie pojawia się w momencie, gdy narzędzia takie jak Meta Muse i Dots od OpenAI zyskują popularność. To stale działający agenci, którzy proszą o znaczący dostęp do danych osobowych. 9to5Mac poinformowało, że pojawiły się już "historie grozy" dotyczące Meta Muse, co sugeruje, że teoretyczne ryzyko staje się praktyczną rzeczywistością. Apple powiedziało, że wprowadzi kontrole zapewniające, iż użytkownicy udziela tego "wyjątkowego" dostępu tylko przy "bardzo wyraźnym działaniu użytkownika". W momencie publikacji raportu nie podano dalszych szczegółów dotyczących implementacji technicznej.

Tożsamość i kontrola dostępu

Podczas gdy Apple adresuje uprawnienie na poziomie systemu operacyjnego, równoległy trend w narzędziach dla agentów koncentruje się na tożsamości. Udostępnienie agentowi swoich osobistych danych logowania tworzy ryzyko bezpieczeństwa. Aplikacja nie może rozróżnić działań użytkownika od działań agenta. Jeśli agent zachowa się nieodpowiednio, jedynym sposobem na jego zatrzymanie jest zmiana własnego hasła, co w efekcie blokuje dostęp do konta. AgentMail, dostawca rozwiązań tożsamościowych dla agentów, argumentuje za osobnym modelem. Proponuje nadanie agentom własnej tożsamości, w tym własnej skrzynki pocztowej i klucza logowania. W tym modelu agent jest odrębnym podmiotem. Jeśli poświadczenie wycieknie, wpływa to tylko na logowanie tego konkretnego agenta, a nie na całe konto właściciela. Właściciel jest zarejestrowany jako odpowiedzialna osoba, ale zasięg skutków jest ograniczony.

To rozróżnienie między delegowaniem a osobną tożsamością staje się standardową decyzją architektoniczną. Dla agentów działających w ramach istniejących kont, pożyczanie autorytetu działa. Dla agentów, którzy rejestrują się w usługach, odbierają e-maile i utrzymują konta w czasie, osobna tożsamość jest bezpieczniejsza. Możliwość wycofania dostępu agenta bez wpływu na właściciela to kluczowa funkcja bezpieczeństwa, której pożyczane logowania nie oferują.

Weryfikacja i dryf

Uprawnienia to tylko jedna część układanki bezpieczeństwa. Inną jest zapewnienie, że agent robi to, co twierdzi. Microsoft i Hugging Face wydali benchmark nazwany ThinkingBox 3 października. Ocenia on agentów AI na podstawie zapisów, które pozostawiają w bazie danych, a nie wygenerowanych zdań. Benchmark prowadzi agentów przez 507 stanowych workflow biznesowych, każdy powtarzany 20 razy. Wyniki były bezlitosne. W teście obejmującym 121 680 ważnych prób na 12 modelach LLM, 79 853 prób nie przeszło wykonywalnych sprawdzianów. Wśród tych niepowodzeń 67,24% agentów zakończyło pracę czysto i nie zgłosiło błędu, a mimo to baza danych wykazywała błędne wartości pól w 77,61% tych przypadków. Niezamierzone dodatkowe efekty pojawiły się w 43,30% niepowodzeń. To podkreśla kluczowy problem: agent może brzmieć poprawnie, pozostawiając system w błędnym stanie.

Problem ten jest pogarszany przez "dryf agenta". Pojęcie opisane w niedawnej analizie Sdarchitecta, dryf występuje, gdy zachowanie agenta zmienia się, mimo że nie wdrożono żadnego kodu. Ponieważ agenci działają w systemie modeli, narzędzi i danych, każda zmiana w tych podstawowych elementach może zmienić zachowanie. Aktualizacja wersji modelu lub zmiana kontroli bezpieczeństwa przez dostawcę modelu może spowodować, że agent będzie działał inaczej. Tradycyjne systemy kontroli zmian, które śledzą wdrożenia kodu, tego nie wychwytują. Implikacja jest taka, że ocena musi być ciągła, a nie jednorazową kontrolą projektową. Jeśli środowisko się zmienia, zmienia się zachowanie agenta, niezależnie od kodu samego agenta.

Infrastruktura i nadzór

W miarę jak agenci stają się bardziej autonomiczni, infrastruktura wokół nich ewoluuje, aby zarządzać ryzykiem. Spawned uruchomiło platformę chmurową zaprojektowaną dla ludzi i agentów, pozwalającą im wdrażać prawdziwą infrastrukturę do AWS, GCP lub Azure. Wykorzystuje deklaratywny framework, aby zapewnić, że agenci nie tworzą błędnych konfiguracji ani halucynowanych komponentów. Kimchi oferuje inne podejście, koncentrując się na kosztach i zarządzaniu danymi. Narzuca twarde limity budżetowe i zapewnia, że dane modelu nie opuszczają środowiska przedsiębiorstwa, co jest kluczowym wymaganiem dla branż o wysokich wymogach zgodności.

Jednak techniczne bariery nie wystarczą, jeśli nadzór ludzki jest wadliwy. Artykuł zatytułowany "Oversight Has a Capacity", opublikowany na arXiv w czerwcu 2026, argumentuje, że bramki zatwierdzania z udziałem człowieka opierają się na fałszywych założeniach. Badanie wykazało, że recenzenci zgadzają się tylko umiarkowanie co do tego, co stanowi ryzykowne działanie, z współczynnikiem kappi Fleissa wynoszącym 0,52. Co ważniejsze, uwaga ludzka jest skończona. Gdy modeluje się ją jako wyczerpywalny zasób, zrealizowane bezpieczeństwo podąża za krzywą odwróconej litery U. Nadmierna eskalacja może faktycznie uczynić system mniej bezpiecznym, ponieważ recenzent staje się zmęczony. Optymalna strategia bezpieczeństwa polega na eskalacji mniej niż 100% czasu, rezerwując sąd ludzki dla najważniejszych decyzji. To przesuwa nadzór z problemu klasyfikacji na wyzwanie alokacji zasobów.

Konwergencja tych rozwoju wskazuje na nowy etap w wdrażaniu agentów AI. Nie wystarczy już budować mądrego modelu. Skupienie przesuwa się na cały system: jak agent identyfikuje siebie, jak jest weryfikowany względem rzeczywistego stanu, jak zarządzane jest jego środowisko i jak kalibrowany jest nadzór ludzki, aby zapobiec zmęczeniu. Ruch Apple w sprawie uprawnień w macOS to sygnał, że dostawcy systemów operacyjnych traktują to poważnie. Era traktowania agentów jak prostych skryptów dobiega końca. Kolejna generacja narzędzi będzie budowana z założeniem, że agenci są autonomicznymi aktorami z własnymi tożsamościami, własnymi budżetami i własną zdolnością do popełniania błędów, które wychwyci tylko rygorystyczna weryfikacja oparta na stanie.