Gemini Full Access Bukan Kebenaran macOS

Gemini Full Access Bukan Kebenaran macOS

Ada satu toggle tersembunyi dalam aplikasi Gemini desktop Google yang belum diumumkan secara rasmi. Ia berada dalam bahagian computer use, ia belum hidup, dan Google belum mengesahkan ia wujud.

Ia juga perkara paling bermakna yang saya temui dalam panel tetapan Mac tahun ini, kebanyakannya kerana nama yang dipakai.

BleepingComputer melaporkan pada 3 Oktober bahawa Gemini pada macOS belum lama lagi mungkin boleh membaca, mencipta, mengubah atau memadam fail di mana-mana pada mesin itu, mencapai aplikasi seperti Mail, Safari dan Messages, serta berhenti meminta kebenaran pada setiap langkah.

Tangkapan skrin di sebalik cerita itu menunjukkan tetapan itu: Additional sandbox options. Huraiannya, seperti yang dipetik daripada aplikasi itu sendiri:

By enabling additional sandbox options, you will be able to expand what Gemini can do and access on your Mac. Depending on which settings you enable, Gemini may be permitted to take actions without asking for your permission first.

Tiada apa-apa yang disahkan. Jangan pergi mencari toggle itu malam ini dengan jangkaan ia sudah ada. Namun keputusan reka bentuknya sudah boleh dibaca dalam perkataan itu, dan saya fikir bahagian yang menarik dalam cerita ini bukan kemampuannya. Yang menarik ialah labelnya.

Sempadan yang wujud hari ini ialah senarai folder

Mulakan daripada apa yang benar-benar Google lancarkan.

Dokumentasi Gemini desktop yang masih hidup menggambarkan aplikasi macOS itu dengan ringkas: anda berkongsi konteks skrin dengan menekan kedua-dua kekunci Command, anda mendikte teks ke dalam mana-mana aplikasi, dan anda menyambungkan folder lokal supaya Gemini Spark boleh menyusun dan menggabungkan fail anda.

Perkataan terakhir itu memang keseluruhan kontrak itu. Spark, yang Google sebut sebagai AI agent peribadi 24/7, terhad kepada folder yang anda serahkan.

Pada bulan Jun, apabila Spark tiba di macOS dalam versi beta untuk pelanggan Google AI Ultra, Google mengulang janji yang sama dengan ayatnya sendiri: "Gemini Spark only has access to the files you give it permission to use." Google turut memaklumkan bahawa anda akhirnya akan dapat memberi Spark tugas berbilang langkah dari telefon dan membiarkannya berjalan pada Mac anda ketika anda tiada.

Jadi ada agent terhad folder hari ini, dan satu rancangan untuk menjadikannya boleh dicapai dari jauh. Toggle tersembunyi itu ialah bahagian ketiga: sesuatu yang membolehkan skop itu berhenti menjadi senarai folder.

Tiga perkara yang lebih kurang dipanggil "access"

Di sinilah penamaan itu menjadi berbahaya, dan ia masalah yang berbeza daripada keupayaan itu sendiri.

Full Disk Access ialah pemberian sebenar pada macOS. Ia merupakan satu entri TCC, kTCCServiceSystemPolicyAllFiles, dan itulah yang membolehkan aplikasi membaca mel, mesej dan sejarah browser. Pada 2 Oktober, Apple mengumumkan bahawa ia akan menambah "additional controls" supaya pemberian pada peringkat itu memerlukan "very explicit user action". Apple turut berkata bahawa "as AI agents become increasingly capable and autonomous, the risks associated with this level of access will grow substantially." Saya tulis tentang pengumuman itu di sini, termasuk sebab sempadan yang paling penting sebenarnya tinggal dalam aplikasi yang memegang pemberian itu, bukan pada toggle itu sendiri.

Full Access ialah nama yang TestingCatalog gunakan untuk tetapan Gemini itu dalam amalan. Ia niat pada peringkat aplikasi, bukan kebenaran sistem operasi. Ia tidak padan satu-ke-satu dengan mana-mana item dalam System Settings. Ia mesti menyelesaikan diri kepada gabungan apa yang sudah dipegang oleh aplikasi itu. Connected folders ialah sempadan yang Google documentasikan hari ini, dan ia satu pilihan pengguna yang boleh ditarik balik dengan menyah sambung folder itu. Tiga konsep berbeza, dua daripadanya memegang nama yang sama.

Apabila pemasaran dan antara muka tetapan dua-duanya menyebut "Full Access", pengguna yang pergi ke System Settings untuk menyemak kebenaran yang baru diberi sedang melihat senarai yang salah. Dan senarai yang salah lebih teruk daripada tiada senarai, sebab ia menghasilkan rasa aman yang palsu.

Senarai pengesahan berputar ganti tentang transaksi belian

Kedua-dua laporan itu berhati-hati untuk menyatakan bahawa Gemini masih akan berhenti dan bertanya sebelum melakukan apa-apa yang mahal atau mengikat secara undang-undang: membeli produk, memindahkan wang, mencipta akaun dalam talian, menerima terma undang-undang bagi pihak anda, atau menukar maklumat sensitif tentang anda. Baca senarai itu di sebelah senarai keupayaan -- baca, cipta, ubah, padam mana-mana fail di mana-mana tempat, bertindak merentas aplikasi. Ketidakpadanan itu adalah cerita sebenar. Setiap item dalam senarai pengesahan ialah tindakan komersial atau undang-undang yang menghadap ke luar. Tiada satu pun daripada mereka ialah tindakan memusnahkan sesuatu secara lokal.

Menimpa fail konfigurasi bukan membeli produk. Menulis semula profil shell anda bukan menerima terma undang-undang. Dialog pengesahan yang ditulis dengan istilah dagangan ialah anak kunci yang salah untuk keupayaan yang seluruh zon yang boleh terjejas ialah cakera keras anda.

Google jelas sedang bekerja pada sisi model juga.

Dalam pengumuman Gemini 4 Argon, Google berkata ia sedang "deploying misalignment mitigations that monitor Argon's chain-of-thought and actions and stop execution when necessary", dan ia sedang mengukuh persekitaran bersandbox dengan mengasingkan serta menyegelnya sebelum larian berisiko tinggi. Itulah naluri yang betul, dan ia juga kawalan yang bertindak semasa proses berjalan, bukan selepas fakta. Pemantau yang menghentikan larian tidak dapat memulihkan fail yang sudah ditimpa oleh larian itu.

Sandaran pra-penerbangan ialah petunjuknya

Butiran yang paling melekat dalam cerita ini datang daripada laporan TestingCatalog yang lebih awal, pada Ogos, iaitu jejak pertama kod computer use dalam aplikasi itu.

Bersama kawalan yang dijangka -- paparan kecil skrin aktif, pilihan "Task" pada bar prompt, dan perlindungan supaya Mac tidak tidur di tengah tugas -- ada satu ciri keselamatan pilihan yang membuat sandaran folder yang dipilih ke Google Drive sebelum satu tugas bermula.

TestingCatalog sendiri pula mempunyai bantahan yang praktikal: jika satu folder yang dipilih menyimpan ratusan gigabait, muat naik itu perlahan dan memakan storan anda sebelum tugas boleh bermula.

Tetapi masalah reka bentuk itu lebih dalam daripada bandwidth.

Sandaran pra-penerbangan itu mentakrifkan keselamatan sebagai set folder yang anda ingat untuk dipilih. Segala-galanya di luar set itu boleh rosak, tanpa sebarang amaran. Dan salinan itu mendarat dalam cloud orang lain, yang bermakna penawarnya bagi kerosakan lokal ialah salinan jauh yang anda kini perlu percaya dan bayar.

Naluri itu betul. Git sudah melakukan perkara yang sama untuk kod. Implementasi itulah yang saya akan tolak.

Ambil snapshot sendiri

Jika anda mahu titik pulih sebelum menyerahkan kemudi kepada agent desktop, buat ia secara lokal dan pastikan ia boleh disahkan. Ini dia keseluruhan bendanya:

#!/usr/bin/env bash
# agent-preflight.sh - take a verifiable local snapshot before you let a desktop
# AI agent (Gemini Full Access, Claude Cowork, anything) write to your workspace.
#
# Usage:  ./agent-preflight.sh [workspace-path]
#         ./agent-preflight.sh --restore <snapshot-dir> <workspace-path>
#
# No network. No uploads. macOS bash 3.2 compatible.

set -eu

die() { printf '%s\n' "$*" >&2; exit 1; }

sha256_of() {
  if command -v shasum >/dev/null 2>&1; then
    shasum -a 256 "$1" | cut -d' ' -f1
  else
    sha256sum "$1" | cut -d' ' -f1
  fi
}

# macOS and GNU tar disagree about the archive-exclude flag spelling.
tar_exclude() {
  if tar --version 2>/dev/null | grep -q GNU; then
    printf -- '--exclude=%s' "$1"
  else
    printf -- '--exclude' "$1"
  fi
}

if [ "${1:-}" = "--restore" ]; then
  [ $# -eq 3 ] || die "usage: $0 --restore <snapshot-dir> <workspace-path>"
  snap="${2%/}"; dest="$3"
  [ -f "$snap/workspace.tar.gz" ] || die "no workspace.tar.gz in $snap"
  mkdir -p "$dest" || die "cannot create $dest"
  printf 'Restoring %s into %s\n' "$snap" "$dest"
  tar -xzf "$snap/workspace.tar.gz" -C "$dest"
  printf 'Done. Expected archive checksum:\n  %s\n' "$(cut -d' ' -f1 < "$snap/workspace.tar.gz.sha256")"
  exit 0
fi

target="${1:-$PWD}"
[ -d "$target" ] || die "not a directory: $target"

target_abs=$(cd "$target" && pwd)
case "$target_abs" in
  /|"$HOME") die "refusing to snapshot $target_abs" ;;
esac

stamp=$(date +%Y%m%d-%H%M%S)
snap="$target_abs/.agent-preflight/$stamp"
mkdir -p "$snap" || die "cannot create $snap"

printf 'Target : %s\n' "$target_abs"
printf 'Snapshot: %s\n' "$snap"

# 1. Compressed archive. Keep .git: history is exactly what a runaway agent edits.
tar -czf "$snap/workspace.tar.gz" \
    $(tar_exclude '.agent-preflight') \
    -C "$target_abs" .

# 2. Checksum, so "the archive is intact" is a fact and not a hope.
sha256_of "$snap/workspace.tar.gz" > "$snap/workspace.tar.gz.sha256"

# 3. Prove the archive actually reads back before we tell anyone it is safe.
if ! tar -tzf "$snap/workspace.tar.gz" >/dev/null 2>&1; then
  die "archive failed read-back verification; treat this as NOT safe"
fi

entries=$(tar -tzf "$snap/workspace.tar.gz" | wc -l | tr -d ' ')

# 4. If it is a git repo, also take a real bundle - cheaper to restore than tar.
if git -C "$target_abs" rev-parse --git-dir >/dev/null 2>&1; then
  head_sha=$(git -C "$target_abs" rev-parse --short HEAD 2>/dev/null || echo "none")
  git -C "$target_abs" bundle create "$snap/repo.bundle" --all >/dev/null 2>&1 \
    && printf 'Git bundle: repo.bundle (HEAD %s)\n' "$head_sha" \
    || printf 'Git bundle: skipped (could not create)\n'
fi

printf 'Entries : %s\n' "$entries"
printf 'Checksum: %s\n' "$(cat "$snap/workspace.tar.gz.sha256")"
printf '\nRestore with:\n  %s --restore %s %s\n' "$0" "$snap" "$target_abs"

Tiga perkara di dalam itu sengaja. Ia enggan berjalan terhadap folder rumah anda atau /, kerana silap di sana sepatutnya kuat, bukan senyap. Ia membaca arkib itu semula sebelum melaporkan kejayaan, supaya fail tar terpotong tidak boleh menyamar sebagai jaring keselamatan. Dan apabila workspace itu ialah git repo, ia turut menulis bundle, kerana memulihkan sejarah ialah operasi berbeza daripada memulihkan fail.

Saya menjalankan ini terhadap folder biasa dan git repo, kemudian mematahkan dan memulihkannya, dan mengesahkan checksum yang dicetak sepadan dengan arkib pada cakera. Itu piawaiannya: titik pulih ialah fakta, bukan harapan.

Apa yang belum benar

Mari saya nyatakan ketidakpastian itu dengan tepat, kerana liputan tentang perkara ini longgar.

Tetapan itu tersembunyi. Google belum mengesahkannya, belum mengumumkan tarikh keluaran. BleepingComputer mencatat bahawa ia tidak jelas "which Gemini model will power it".

TestingCatalog juga berhati-hati: keupayaan itu "currently associated with trusted testing", dan kehadirannya di sana "does not provide a reliable launch timeline".

TestingCatalog turut menyatakan bahawa Gemini 4 Argon -- yang diumumkan pada 30 September dan keluarnya dahulu kepada pendedaga cyber yang dipercayai melalui program Fairwind Google -- sedang dinilai untuk computer use, tetapi Google belum mengesahkan sebarang hubungan antara Argon dengan apa yang sedang muncul dalam aplikasi desktop itu.

Anggap ia sebagai tekaan yang munasabah, bukan roadmap.

Apa yang sebenar ialah arah pergerakannya. Perlu diperhatikan bahawa dua platform itu bergerak serentak. Apple sedang mengetatkan pemberian OS. Google sedang membina cara pada peringkat aplikasi untuk tidak perlu menggunakannya. Tiada satu pun yang telah menerbitkan mekanisme, versi atau tarikh.

Apa yang perlu dibuat minggu ini

Jangan tunggu toggle itu, kerana kebanyakan nilai di sini sudah ada hari ini.

Snapshot sebelum anda memberi apa-apa kebenaran. Sama ada anda pilih skrip di atas, git commit bersama git bundle, atau tar biasa, titik pentingannya sama: memulihkan mesti sesuatu yang sudah anda uji, bukan sesuatu yang anda anggap.

Ketahui pemberian apa yang anda pegang. Baca pendekatan audit Full Disk Access -- tanya jadual access TCC untuk kTCCServiceSystemPolicyAllFiles dan baca lajur client. Jika jawapannya mengejutkan anda, itu penemuannya.

Jangan anggap "ia bertanya dahulu" sebagai kawalan. Senarai pengesahan itu tentang wang dan menerima terma. Fail anda tiada dalam senarai itu.

Perhati penamaan itu. Hari toggle yang dilabelkan Full Access itu dirilis, soalan pertama yang wajar ditanya ialah kebenaran macOS yang mana ia terpaut kepada. Jika jawapannya "several", itu bermakna menarik balik mana-mana satu daripadanya tidak mengubah apa-apa, dan cerita audit anda mesti menyebut pemberian mana yang melakukan apa.

Sumber

• BleepingComputer: Google Gemini could soon get full access to your Mac's files, apps and the web
• TestingCatalog: Gemini desktop to get broader Computer Use permissions
• TestingCatalog: Google tests Computer Use on Gemini Desktop
• Google: Gemini Spark updates: macOS launch, connected apps and more
• Google: Gemini 4 Argon: our next era of frontier intelligence
• Google: Gemini for desktop
• MacRumors: Apple Announces 'Full Disk Access' Changes on macOS Due to AI Agents