苹果（AAPL-US）10月2日发出一则简短公告，宣布将会在后续版本收紧在 macOS上存在多年的「完全磁盘访问」（Full Disk Access, FDA）高级权限。

苹果公告指出：「一些开发者正以可能使用户面临风险的方式使用『完全磁盘访问』，在用户并不完全知情或理解的情况下暴露其系统中的所有内容……今后，我们将引入额外的控制措施，以确保那些确实希望授予应用如此高级别访问权限的用户，只有通过非常明确的用户操作才能完成授权。随着人工智能代理的能力和自主性不断增强，与这种级别访问权限相关的风险也将大幅增加。」

一项自 2018 年 macOS Mojave 10.14 开始加入的权限，为什么到了 AI 时代，突然就变得不安全了？

要厘清事件始末，首先要知道「完全磁盘访问」是一种怎样的功能。在 10.14 版本之前，macOS 的文件系统权限管理和今天的 Windows / Linux 没什么两样：只要运行程序，它就可以访问当前帐户身分能读取的任何文件。

但后来，macOS 逐步引进了更细致、更现代的额外隐私管理机制。

以现在的版本为例，程序缺省不再能访问邮件、聊天信息、浏览器记录、Time Machine 备份和第三方软件用户数据等高敏感信息，除非用户为某个程序手动授予「完全磁盘访问」权限。

之所以要留下这个「后门」，是因为杀毒、文件备份、企业 IT 管理等少数软件天然要求遍历整个文件系统才能正常工作。如果它们访问每个敏感数据都需要用户手动授权，那结果只会是弹窗无数，根本无法使用。

但允许这些软件使用「完全磁盘访问」，前提是一种心照不宣的「君子协议」：macOS 相信备份软件访问全碟只是为了原样拷贝每个文件，杀毒软件访问全碟只是为了监控文件修改和恶意行为……

理论上，它们一心只为工作，对用户的隐私数据本身不感兴趣，也不会侵害用户的权益。

这是 macOS 内部的「宙斯法则」。长期以来，这套机制都运行得很好，一切相安无事。

直到 AI 代理破门而入。尤其是以 Muse 为代表的个人代理们，全然没有老派软件的客气。

为了更好地理解你的目标和偏好，去「管理个人生活」，它们不仅（经过用户有意无意的批准）申请「完全磁盘访问」权限，还要通过这个渠道大量读取个人隐私信息，比如日程、邮件沟通对象、聊天主题等，并将这些信息转化成用户画像和个人上下文，以此决定下一步的行动。

即使我们信任 Meta 本身不会将我们的隐私数据用于别处（其实连这点都很难保证），也不能排除，Personal Agent 可能因为错误理解或者攻击者的故意诱导，而将隐私数据和盘托出。

实际上，这点已经超出思想实验的范畴，成为了现实世界里的真实风险。

不久前，安全研究机构 Salt Security 披露了一个邮件注入漏洞。通过发送包含攻击代码的邮件，攻击者可以让受害者的 Manus Agent 运行代码，以此接触到 Manus 连接的 Gmail 和 Google Drive 等第三方凭证。

在另一个案例中，科技博主 Matt Robb 让 Muse 代管二手交易服务，结果 Muse 直接在他不知情的情况下，将家庭地址发给买家，让对方来「线下交易」。

在资深开发者和科技评论者 John Gruber 看来，更危险的是，大多数年轻人被 iPhone 和 iPad「照顾」得太好了。

通常来说，我们和手机、平板朝夕相对，用行动设备的时间和场合要多于使用 Mac，这就导致大众普遍更习惯行动设备的功能逻辑。

而偏偏苹果在 iOS 和 iPadOS 上使用了一种比 macOS 严格得多的沙盒机制——

即使我们闭着眼在各种权限申请弹窗中一概允许，系统底层机制也决定了代理们无法直接访问邮件和聊天，关键隐私依然安全无虞。

只不过，如果把这种习惯延续到 Mac 上，风险就会指数级上升。

因为Mac 其实是一台「全功能」工作站，它可以开放和自订的深度远超 iPhone / iPad。如果说同意全部权限申请在手机上还算风险可控，那在 macOS 上允许个人代理激活「完全磁盘访问」，无异于同意个人代理在未来的某天将你的身分地址信息都悉数交出。

而个人代理的「亲和力掩饰」，更加剧了这种风险。

为了减轻用户的戒备心，让个人代理显得「人畜无害」，市面上几乎一切个人代理产品都专门设计了可爱的形象。比如 Grok Bot 的大眼圆球、Muse 的微笑树懒毛绒玩偶 Jolly，还有 OpenAI dots 的彩色卡通角色。

从设计角度上看，它们无疑是成功的——人对可爱的东西天然会放松警惕。

但在更早的博客文章中，John Gruber 曾警告，Muse 实际上是把一个非常强大、甚至是危险的个人代理包装成了人人都会用的可爱消费产品。

这正是当今个人代理所处位置。面对这一处境，由系统提前收拢权限以绝后患，看上去是很合理的解决方案。但任何改变都有牺牲者——在这里，牺牲的是开发者的乐趣。

权限和能力总是相伴相生。早期 iOS 社群热衷于「越狱」，是因为 root 权限意味着几乎无限的自订能力；后来 Android 存在像「李跳跳」这样可以跳过开屏广告的软件，则是由于 Android 的无障碍服务（Accessibility Service）权限允许软件读取用户接口，从而仿真点击「跳过广告」按钮——尽管代价是要让软件看见你的一切屏幕内容。

换句话说，很多好用的软件，都创建在相信它「不作恶」的高度信任和权限开放之上。一旦有人利用这些权限「作恶」，下一步就可能是秩序崩坏，进而促使系统收紧权限，原来的功能就此作废——例如，得益于开屏广告「摇一摇」，一些系统已经开始缺省关闭陀螺仪和加速度计权限了。

所以，在看见苹果的公告之后，John Gruber 首先担心的是自己开发的软件：「我真的很担心苹果究竟会把『完全磁盘访问』限制到什么程度。我在几个应用中使用了这项权限，如果没有它，这些应用就无法正常运行；而如果每次它们运行某项操作时都需要我手动授权，它们的功能将会受到严重影响。」

如果 macOS 真的变得更封闭、更像 iOS，对普通用户来说固然是一种安全利好，但这同时会危及 macOS 原本已摇摇欲坠的自由度。