苹果收紧 Full Disk Access：AI 代理的权限边界

Stratechery 作者在复盘里写了自己 Mac 被入侵的经历，文章后半段引用的苹果开发者文档比入侵本身更值得注意。

被利用的那个洞

据 Ars Technica 报道，荷兰国家网络安全中心（NCSC）警告称，一个允许攻击者执行恶意代码的高危 macOS 漏洞正在被积极利用："NCSC 收到通知，显示已有多个对外开放 5900 端口的系统上观察到对该漏洞的主动滥用。在这些案例中，受影响系统上的 root 已被取得，并被放置了一个门罗币（Monero）挖矿程序。"

该漏洞编号 CVE-2026-65400，严重度评分 7.1（满分 10），根因是 macOS 屏幕共享功能中的"状态管理"缺陷——屏幕共享允许远端查看屏幕并控制键盘鼠标，而状态管理负责跟踪此前的事件、用户交互和变量。苹果上周为 macOS Tahoe、Sequoia 和 Sonoma 发布了补丁，漏洞细节在上周的 Black Hat 安全会议上公开。苹果当时的说法是 CVE-2026-65400"可能"让无凭据的攻击者取得 Mac 的访问权，并把漏洞发现归功于安全公司 Bynario。

Stratechery 作者的经历是：他跑着 Claude 和 Codex 的常开 Mac Mini 触发了 Claude 的紧急通知，后者给出更多诊断信息、主动停止执行所有命令，并注意到其账号已能在无密码情况下运行管理员命令。作者说他最终用 Claude 去排查恶意程序、定位到它取得访问权的那四秒，然后抹掉了这台 Mac Mini。他的判断是：如果当时没有常驻运行的代理，情况可能糟得多。

苹果要改的那条权限

文章引用了苹果开发者网站上周发布的《Updates to Full Disk Access in macOS》全文。要点是：Full Disk Access 在很大程度上绕过了苹果保护用户隐私数据的控制，原本是为了让备份类应用能正常工作；但一些开发者使用它的方式可能让用户处于风险之中——把系统上的一切（文件、邮件、信息甚至浏览记录）暴露出去，而用户并不完全知情。苹果称，接下来会引入额外控制，确保真正想授予这种"非常规级别"访问权限的用户只能通过非常明确的用户操作来完成，并明确写道："随着 AI 代理能力越来越强、越来越自主，这种级别访问带来的风险将大幅上升。"

为什么这件事重要

文章给出的解释是 Mac 目前恰好是最适合跑代理的机器：苹果几十年在可脚本化、自动化和无障碍 API 上的投入，让 macOS 很适合"计算机使用"类任务；macOS 又是经过认证的 Unix 系统，代理可以直接用整个 Unix 工具链；硬件本身也强。而苹果这次要收紧的，正是让代理能自由读写整台机器的那把钥匙。文章说，作者对苹果这个方案的具体形态"非常紧张"。方案细节目前尚未公布。