苹果收紧 macOS 隐私权限，应对 AI 代理的全盘访问请求

10 月 2 日，苹果发出警告。部分开发者正在滥用“完全磁盘访问”设置，在用户不知情的情况下暴露文件、邮件、消息和浏览历史，危及用户安全。

隐私缺口

据 9to5Mac 报道，苹果解释称，“完全磁盘访问”最初旨在让备份应用正常运行，但现在很大程度上绕过了隐私控制。随着 AI 代理能力增强，这种高权限访问带来的风险将显著增加。用户很快需要采取非常明确的行动，才能授予应用这种级别的访问权限。这一转变标志着 macOS 过去十年被动权限模式的结束，转向对敏感数据采取主动、细粒度的用户同意机制。

此举发生在 Meta Muse 和 OpenAI Dots 等工具迅速崛起的背景下。这些全天候运行的 AI 代理请求对个人数据进行大量访问。9to5Mac 报道，关于 Meta Muse 的噩梦故事已经出现，凸显了宽泛代理权限在个人设备上的实际危险。

企业工具转型

在苹果解决消费者端问题的同时，企业开发者正在快速构建基础设施，以管理代理行为和成本。Kimchi 是一个基于 Pi 的代码代理平台，在请求到达模型之前强制执行硬性预算上限和实时支出归因。这确保模型数据保持在组织边界内，并防止无控制的支出。

微软和 Hugging Face 发布了 ThinkingBox，这是一个基准测试，根据代理留下的记录而非生成的句子对其进行评分。在覆盖 12 个 LLM 模型、共 121680 次有效试验的常见集消融实验中，79853 次尝试未通过可执行性检查。在这些失败案例中，67.24% 仍然正常终止且未报告最终工具错误，但可执行性检查在 77.61% 的案例中发现了错误的字段值。这表明代理可能听起来正确，却在数据库中留下错误状态，这对生产系统而言是关键的失效模式。

安全研究人员还发现了代理操纵的新向量。SC Media 报道，研究人员利用 JavaScript 混淆技术绕过了 AI 代理保护。这种技术允许恶意代码隐藏在网页内容中，诱骗代理执行非预期操作。这一发现凸显了企业代理部署中强大验证层的必要性。

身份与监督

AgentMail 正在推广赋予 AI 代理独立身份的概念，而非让它们借用用户凭证。根据 AgentID 的说法，将用户密码交给代理会让每个应用都认为代理就是用户。赋予代理独立身份，拥有自己的收件箱和登录密钥，允许应用将代理视为独立主体，并将用户记录为负责的所有者。这种分离在凭证泄露时限制了爆炸半径。

Emre Turan 的论文《监督具有容量》认为，仅靠人在回路审批门是不够的。研究发现，当审查者被建模为会疲劳时，实现的安全性与升级率呈倒 U 型关系。如果审查者不堪重负，更多的人工监督反而可能使系统更不安全。安全最优的守卫在完全升级以下进行升级，表明自动预过滤对于保护人类注意力至关重要。

设计系统也在演变以适应代理。Luke Wroblewski 指出，当代理编写大部分代码时，设计系统成为 AI 引导层的一部分。AGENTS.md 文件可以指示 AI 代理重用主题类和 CSS 变量，确保任何网站更新都符合品牌开发指南。这种方法允许市场、工程和团队同时更新网站而不破坏设计完整性。

基础设施与上下文

Spawned 提供专门面向代理的云基础设施接口，允许它们在 AWS、GCP 或 Azure 中配置、扩展和操作资源。该平台确保部署是真实的云基础设施，从一开始就可导出且兼容 Terraform。这使企业能够控制代理在其云环境中构建的内容。

对于与代理合作的开发者，Nautilus 等工具允许从手机运行代码代理，并在 PC 上合并工作。这种提示与审查的分离利用移动设备的便携性发起任务，并利用桌面环境的精确性进行代码审查。该工具运行在免费云基础设施上，无需信用卡或付费虚拟机。

随着这些工具的普及，焦点正从原始模型能力转向可靠执行、安全身份和可管理的监督。行业正朝着将代理视为具有严格访问和操作边界的独立、可问责行为者的模式发展。