Apple Full Disk Access: Bukan Sempadan Sebenar

Apple Full Disk Access: Bukan Sempadan Sebenar

Pada 2 Oktober 2026, Apple terbitan news post untuk developer bertajuk "Updates to Full Disk Access in macOS." Panjang dia empat perenggan. Tiada timeline, tiada nombor versi macOS, tiada nama API, tiada penerangan tentang kawalan yang diumumkan. Yang ada hanyalah satu pengakuan yang jujur.

Post itu dibuka dengan mengakui reka bentuk itu sendiri. Full Disk Access "largely sidesteps these controls in order to allow backup apps to function properly on the Mac" — kawalan itu yang dimaksudkan ialah protections yang Apple beri kepada developer melalui model kebenaran biasa. Ayat seterusnya yang paling penting:

"Some developers are using Full Disk Access in ways that could put users at risk, exposing everything on their systems—including files, mail, messages, and even browsing history—without users' full knowledge and understanding."

Bacalah itu sebagai holder platform yang boleh describe corak penyalahgunaan dalam ekosistem sendiri, dengan kata kerja lampau, tanpa menyebut mana-mana aplikasi. Dia kemudian sebut satu kategori: untuk aplikasi komunikasi, ini "can also compromise the privacy of the people users are communicating with" — dan itu blast radius yang lebih teruk berbanding pengeksposiran kepada dirinya sendiri. Inbox anda milik anda. Inbox orang yang anda kirim mesej milik dia.

Pengumuman yang kebanyakannya sebab sahaja

Perubahan yang diumumkan cuma satu ayat: Apple "will introduce additional controls to ensure that users who genuinely wish to grant an app this extraordinary level of access can only do so with very explicit user action."

Seluruhnya yang lain ialah justifikasi, dan justifikasi itulah ceritanya. Apple membingkai keseluruhan perkara ini mengikut autonomy agent, bukan mana-mana tindakan yang khusus:

"Addressing this is critical. As AI agents become increasingly capable and autonomous, the risks associated with this level of access will grow substantially. We are committed to ensuring users clearly understand these risks before granting such access, so they can make informed decisions about their own data and privacy."

Itu kedudukan yang boleh dipertahankan, dan ia juga kedudukan yang sempit. Kawalan yang Apple describe mengawal masa ketika kebenaran diberikan. Ia tidak menerangkan apa yang berlaku kepada aplikasi yang sudah memegang kebenaran itu, dan ia tidak bercakap apa-apa tentang kod di dalam aplikasi tersebut. TechCrunch melaporkan bahawa Apple tidak menjawab pertanyaan mereka tentang perubahan feature itu, jadi developer ada arah tapi tiada tujuan.

Jurang itu adalah keseluruhan artikel ini. Kalau korang bina atau hantar AI agent desktop untuk macOS, kerja yang boleh dibuat hari ini bukan menunggu kawalan Apple. Ia mengaudit apa yang aplikasi korang buat dengan kebenaran yang sudah dipegangnya.

Apa yang mencetuskan perkara ini

Dua perkara berlaku dalam beberapa hari antara satu sama lain, dan post Apple kelihatan sebagai balasan kepada corak itu, bukan kepada mana-mana insiden tunggal.

Yang pertama ialah dakwaan, bukan penemuan. Inc. columnist Jason Aten melaporkan bahawa aplikasi Muse milik Meta pada macOS tahu kandungan mesej peribadi dia walaupun dia said tidak memberikan kebenaran untuk membacanya. Meta tidak setuju dengan cerita itu. TechCrunch melaporkan penafian itu, bukan dakwaan sebagai fakta, dan Muse menggalakkan pengguna supaya mengaktifkan Full Disk Access secara pilihan, jadi kebenaran dan dakwaan itu bersebelahan. Itu sebabnya dakwaan ini penting, dan tepat sebabnya ia bukan bukti.

Yang kedua ialah kelemahan yang sebenar dan sudah ditampal, dan ia lebih berguna untuk dipelajari. WIRED melaporkan bahawa researcher di Objective-See Foundation menjumpa kelemahan dalam aplikasi ChatGPT untuk macOS — dijejakkan sebagai CVE-2026-100754, diiktiraf OpenAI dalam change log pada 25 September dan sudah ditampal dalam build 26.924.20706.

Mekanismenya bagus sebagai pelajaran kenapa kebenaran bukan tempat yang betul untuk cari sempadan. Komponen aplikasi ChatGPT Mac saling sahkan melalui pemeriksaan digital signature, dan reka bentuknya melangkah lebih jauh: sesuatu request hanya dipercayai jika proses yang membuatnya, parent dan grandparent-nya semuanya lulus. Objective-See mendapati satu komponen yang dipercayai — sebuah script interpreter — akan menerima script yang tidak dipercayai dan boleh dimanipulasi untuk menghantarnya ke proses utama ChatGPT. Penjelasan bypass oleh Patrick Wardle ialah bahagian yang paling membekal: script yang berbahaya cuma memulakan interpreter tiga kali, kemudian membuat request itu, dan memang memenuhi ketiga-tiga lapisanPemeriksaan ancestry. Dia memanggil exploit itu "insanely trivial" dan kata proof of concept-nya sekitar selusin baris kod.

Inilah yang menjadikan cerita ini sesuai di sebelah pengumuman Apple. Flaw itu tiada kaitan dengan Full Disk Access. Ia tidak perlukan aplikasi itu memegang kebenaran tambahan. Ia memerlukan kod unprivileged tempatan yang sudah berjalan pada Mac, dan ia menyalahgunakan hubungan keystoran antara komponen aplikasi itu sendiri. Mengetatkan aliran kebenaran FDA tidak mengubah apa-apa mengenai hal itu.

Perbezaan yang patut dipegang

Letakkan dua cerita ini sebelah-seelah dan taksonomi yang perlu difahami developer menjadi jelas.

Baris ketiga itulah yang Apple sedang baiki. Baris kedua pula yang sepatutnya mengubah cara korang membina. Apabila kebenaran ialah satu-satunya hal yang memisahkan kompromi daripada seluruh filesystem pengguna, dialog yang lebih baik melindungi pengguna yang baca dialog. Ia tidak melindungi pengguna yang tidak, dan ia langsung tidak melakukan apa-apa tentang bug di dalam proses berprivileged itu sendiri.

Ini bentuk masalah yang sama seperti plugin pinning bypass, di mana review berlaku pada satu pin yang tidak pernah disemak semula oleh runtime. Kawalan di sempadan keystoran hanya sebesar andaian bahawa tiada apa-apa di belakang sana berfungsi salah.

Apa nak buat minggu ini, tanpa tunggu Apple

Audit kebenaran dalam fleet dulu, sebab anda tidak boleh defend kebenaran yang tidak pernah diinventori. Database TCC memberitahu aplikasi mana yang memegang Full Disk Access:

# macOS: list every app holding Full Disk Access
# Note: your terminal itself needs FDA for this to return anything but an error.
sqlite3 ~/Library/Application\ Support/com.apple.TCC/TCC.db \
  "SELECT client, auth_value, last_modified
     FROM access
    WHERE service = 'kTCCServiceSystemPolicyAllFiles';"

Dalam fleet yang diurus, hantar senarai itu keluar secara berpusat, dan banding dengan baseline yang anda simpan. Baris baharu itulah penemuan.

Kemudian pisahkan privilege agent daripada feature agent. AI app yang perlu baca codebase untuk konteks tidak perlu mail, tidak perlu Messages, dan tidak perlu browsing history. Kalau ia memang perlu, itu keputusan produk dengan blast radius yang attaches, bukan default yang anda warisi daripada setup wizard. Hantar set entitlement yang paling sempit yang feature anda benar-benar guna, dan jadikan opsional itu benar-benar opsional mengikut setiap capability, bukan satu toggle untuk semuanya.

Akhir sekali, kalau anda maintain AI agent untuk macOS, anggap trust model antara komponen anda sendiri sebagai in scope. Sahkan pemanggil, bukan sekadar signature. Kalau architecture anda ada helper yang boleh dipaksa untuk memulakan helper lain, count ancestry hop dengan kuat. Bypass Wardle cuma perlukan komponen yang akan menerima script daripada sesiapa.

Bacaan yang jujur

Pengumuman Apple adalah isyarat yang betul, dan arahnya tepat. Satu pintasan seluruh ekosistem yang luar biasa tidak patut setebal satu checkbox. Tapi developer yang baca pada 3 Oktober 2026 tak boleh implement, tak boleh test, dan tak boleh beritahu pengguna bila ia tiba. Yang boleh mereka buat ialah berhenti memperlakukan dialog kebenaran sebagai sempadan keselamatan.

Aplikasi yang akan mengendalikan data pengguna paling agresif dalam beberapa tahun akan datang ialah yang memegang akses paling banyak dan melakukan paling banyak dengannya. Kawalan Apple menaikkan kos somebody bilang ya. Ia tidak melakukan apa-apa tentang apa yang berlaku selepas itu, dan CVE-2026-100754 ialah peringatan dua belas baris yang bahagian berikutnya tidak pernah dilindungi oleh ya itu dari awal.

Sumber

• Apple Developer News: Updates to Full Disk Access in macOS
• TechCrunch: Apple says it's tightening macOS 'Full Disk Access' controls due to new risks from AI agents
• WIRED: A Flaw in ChatGPT's Mac App Could Have Let Hackers Grab Sensitive Data
• ForkLog: Vulnerability in ChatGPT macOS App Allowing Access to Conversations Fixed (CVE-2026-100754)