苹果收紧 macOS 磁盘访问权限以遏制 AI 智能体数据风险

苹果在 10 月 3 日改变了规则。此次更新限制了 AI 智能体访问私密数据的方式。

这一时间点的选择并非偶然。两周前，科技专栏作家 Jason Aten 报告称，Meta 的 Muse 智能体向他发送了一条通知，其中引用了一个私密的 Apple Messages 对话。Aten 表示，他并未授予该智能体读取其消息的权限。据 Ars Technica 报道，该事件引发了更广泛的辩论，讨论拥有日历和邮件访问权限的 AI 助手是否类似于如果误用就可能造成实际损害的动力工具。社区反应迅速，许多开发者质疑当前的权限模型是否足以应对那些无需人类介入每一个动作即可读取、写入和执行命令的自主软件。这一具体事件成为了苹果突然政策转变的催化剂，在几天内将一个小众的安全问题变成了主流平台问题。

Meta CTO David Singleton 进行了反驳。他表示：“Muse Mac 应用中的消息集成是选择加入的。”

Singleton 辩称，Muse 需要两个特定的用户操作才能访问消息：授予完全磁盘访问权限并启用消息连接器。然而，macOS 安全专家 Patrick Wardle 质疑这一辩护，他指出完全磁盘访问权限在技术上允许读取任何非 root 文件，包括浏览历史和聊天记录。苹果的新声明与 Singleton 暗示该权限严格限于特定集成的说法相矛盾。Wardle 的观点凸显了当前 macOS 安全模型中的一个根本缺陷，即单一的宽泛权限授予了对磁盘上几乎所有内容的访问权。这种缺乏细粒度控制为任何能够获得完全磁盘访问权限的软件创造了巨大的攻击面，无论其预期用途或用户授予该权限时的具体意图如何。

苹果表示，一些开发者正在以危及用户安全的方式使用完全磁盘访问权限，在用户完全不知情的情况下暴露文件、邮件和浏览历史。该公司强调，随着 AI 智能体变得更加强大和自主，与此级别访问相关的风险将显著增加。苹果在其声明中未点名 Meta 或 Muse，但在社交媒体哗然之后发布声明的时间点暗示了与该事件的直接联系。

工具从记忆转向治理

开发者正在构建新的层来管理智能体行为。重点正从原始记忆转向文档。

Kevin Liao 在 10 月 3 日撰文认为，智能体不需要从向量数据库中注入相似片段的记忆插件。他提出智能体需要结构化文档，例如维基，以理解项目上下文和约束。这种方法避免了从孤立片段中检索错误信息的“抽奖”风险。Liao 的论点挑战了当前 AI 开发中占主导地位的范式，该范式严重依赖从大型数据集中拉取片段的检索增强生成系统。通过倡导基于精心策划的结构化知识库的更确定性方法，Liao 建议开发者可以显著减少幻觉，并提高在上下文至关重要的复杂多步工作流中智能体操作的可靠性。

安全研究人员也在开发监控智能体行为的工具。开发者 Fred 发布了 agent-blackbox，这是一款针对 Claude Code 等编码智能体的防篡改飞行记录仪。该工具将每个提示和工具调用写入一个仅追加的账本，该账本经过哈希链链接和签名。它包含一个策略引擎，如果在检测到私密数据、不可信内容和出站调用组成的“致命三元组”时，会停止调用。对于希望在生产环境中部署 AI 智能体，同时避免其知识产权或敏感数据面临潜在泄露风险的组织而言，这类工具至关重要。账本的仅追加特性确保一旦记录某个动作，智能体或任何其他进程都无法悄悄篡改或删除它。

基于 eBPF 的 AgentSight 项目为 AI 智能体提供系统级配置分析。它将提示与其在机器上的实际效果（如文件更改和网络活动）联系起来。根据该项目的 GitHub 仓库，它无需 SDK 或代理即可与闭源 CLI 配合工作，提供了一种审计智能体实际行为而非仅仅声称行为的方法。

企业基础设施适应变化

云服务商正在集成智能体特定的控制措施。Amazon Web Services 更新了其 Bedrock AgentCore 以管理最终用户的 OAuth 同意。新的同意门户允许用户使用企业身份提供商进行身份验证，并授予智能体特定权限，确保令牌与授权它们的用户安全关联。这解决了企业环境中智能体代表员工行动时的会话绑定需求。这一实施反映了企业软件中的更广泛趋势，随着系统中非人类行为者数量的增加，身份和访问管理变得越来越复杂。

Epoch AI 于 10 月 3 日发布了一份报告，估计到 2027 年出货的 AI 芯片可以支持数千万到数亿个并发的前沿模型智能体。报告计算得出，这些智能体可以提供相当于 140 到 72000万 全职员工的每周工作时长。然而，报告指出，需求必须快速增长以证明投资的合理性，如果利用 20% 的容量，潜在的 API 支出每年可能达到 53000亿 美元。

智能体工具的扩展正迅速从实验代码转向企业基础设施。随着智能体获得更大的自主权，重点正从让它们变得更聪明转向让它们更可审计、受约束且安全。最近对 macOS 权限的变更以及可观测性工具的兴起表明，行业正在为未来做准备，届时智能体将被视为数字系统中独立且可问责的行为者。