AI助手暴露macOS权限风险,苹果公告收紧旧开关

Meta的助手被指控读了不该读的消息

9月8日，Meta的个人AI助手Muse登陆Mac。按Meta的介绍，它能读邮件、开日历、连接WhatsApp，替你预约、替你填表、替你下单。Meta声称，Muse为隐私和安全做了底层保护，看不看什么，由用户自己说了算。

9月19日，Inc.的专栏作者Jason Aten写了一篇专栏。他说自己装Muse的时候，明确拒绝过消息权限。几天之后，Muse主动推给他一个选题，说的是他刚和播客搭档聊过的新款iPhone，甚至顺带一提，编辑在催稿。

这些对话，他从来没有告诉过Muse。于是他去质问了Muse，Muse狡辩说，它只是看了手机上弹出的通知。疑点重重，这怎能叫人放心。Aten又去查了本地那个存放iMessage的数据库，同步记录已经高达187462行。

Meta回应，读消息要同时满足两个条件：系统里的“完全磁盘访问”开着，Muse里的消息连接器也开着，少一个都不行。Meta的Andy Stone在社交平台上说，这个连接器要用户主动开启才生效。Meta超级智能实验室的David Singleton也出面说明，同时承认Muse给自己的那段解释不准确，那是模型的一次幻觉。

这两套说法对不上，眼下也没有第三方出来断这个案。

一个没写进文档的设置项

Patrick Wardle是常年做macOS安全研究的人。9月21日，他公布了一个看起来普通的设置项：决定AI助手把用户口述的语音送去哪里转写。

正常情况下，语音会送去Meta的服务器。Wardle研究了一通，竟然发现机器上跑着的任何东西、一个应用、甚至终端里敲进去的一行命令，都能把设置项改掉，不需要任何特殊权限。改完之后，用户一按麦克风说话，音频就流到了别处。跟着音频一起过去的，还有认证这个用户Muse会话的令牌。

Wardle说得很直白：我们不必自己写一个功能完备的Mac窃密木马，直接用这个AI助手本身就行。他做了几个能跑起来的演示：往磁盘里写恶意文件，悄悄地用摄像头拍照片，屏幕上什么都看不出来。把一段恶意命令包装成一次例行修复、骗一个人复制粘贴，在如今不算难事。

科技新闻网站Ars Technica对此事进行了报道，Meta迅速做了修复，把生产环境里那个调试配置移掉了。那187462行到底读了没有，还得等结论。而令牌这件事不用等，它已经在一个人的演示里发生过一次。

旧设计存续在新时代

Aten和Meta各执一词，倒也替我们省了一件事：不管谁对，那个开关的性质已然清晰明了，一次批准，长期有效，权限全包。

最初，来敲门的是备份软件和杀毒工具，做一件说得清、看得见、有始有终的事，做完就停。这个设计谈不上草率，只是照着当年的客人量身定做的。

而现在，到访的是一个整天替你读信、起草回信、翻日历的东西。它的下一步由自己决定，而它会把自己从外面读到的内容当成指令。

麻烦在于，同意这个动作发生在安装的那一天，而这个东西的行为发生在每一天。

读、写、发送本是三种不同的权力，只因为一个助手把三板斧包圆了，就把它们捆在一起交出去，图省事。

这一层出事，业界早有定论。OWASP今年那份智能体应用风险清单，把“身份与权限滥用”列进了前十。美国国家标准与技术研究院的安全控制清单，里面的最小权限原则也表达这个意思。

最小权限也不等于零权限，合适的目标，是这个任务需要什么就给什么，一点也不能多。

权限钥匙务必保护好

Wardle那条链子的末端，落在一个令牌上。令牌不会讲情面，它认权限不认人。

更让人不舒服的是，没办法确认它是否读过那些信，能拿出来的凭据仅有数据库里那一行数字。开关本身只管“准不准”，不管“用没用、用到哪”。

这就不得不提到应用供应链安全：凭据放在哪儿、谁拿得到、使用到什么程度。这一次，一个没写进文档的设置项就把令牌交了出去。令牌一旦离手，助手身上被授予的一切也跟着走。

为了让越权留下痕迹，我们需要可观测性这一层。如果没接上，授权的人就失去了事后追问的资格，只能查阅应用的狡辩。这一次Muse的解释，被它的东家判成了幻觉。

Wardle那几个演示，可以说是一次真实环境里的爆炸半径实测：能写文件，能拍照，能一声不响。这种活本该厂商自己先干，引入混沌工程，在内部可控的时候把最坏的那条路先走一遍。如果等到外人替你测试，那就不仅仅是紧急修复的事。

苹果这次公告没给时间表，也没说已经发出去的授权会不会再过一遍。

下一次把鼠标停在那个开关上时，不妨先想一想：你是要它替你取一趟信，还是把整串钥匙都交给它。

参考来源

1. Apple Developer《macOS中完全磁盘访问权限的更新》，2026-10-02

2. Inc.，Jason Aten专栏，2026-09-19

3. Mashable《Meta's Muse faces questions over access to private messages》，2026-09

4. Ars Technica关于Patrick Wardle漏洞披露的报道（经GPLPCN转述），2026-09-28

5. 安全牛《Meta Muse AI助手零日漏洞或可被攻击者用于注入恶意软件》，2026-10-03

6. Notebookcheck《Apple is tightening Mac Full Disk Access over AI agents》，2026-10

7. gHacks《Apple Will Require Explicit User Action to Grant Full Disk Access in macOS, Citing AI Agents》，2026-10-05

8. eSecurity Planet《Apple Warns AI Agents Make This Powerful Mac Permission Riskier》，2026-10

9. OWASP《Top 10 for Agentic Applications 2026》

10. 美国国家标准与技术研究院《SP 800-53 Rev.5》（AC-6最小权限）