Apple меняет полный доступ к диску на Mac: что видит ИИ-агент

Apple объявила, что усложнит выдачу Full Disk Access на Mac: это разрешение позволяет приложению читать в том числе почту, переписки и историю браузера. Новые проверки пока только обещаны, дата и механизм неизвестны. Если пользуешься ИИ-агентом на Mac, уже сейчас открой системные настройки, проверь список приложений с полным доступом и убери его там, где он не нужен.

Поводом стал спор вокруг агента Muse от Meta. Журналист утверждает, что агент использовал его личные сообщения без разрешения; Meta возражает. Я бы не делал из этого нераскрытого спора приговор конкретному приложению. Гораздо интереснее устройство самой дырки в ожиданиях: кнопка «разрешить доступ к диску» означает куда больше, чем обычно представляет человек.

Что именно Apple объявила 2 октября

Сообщение Apple для разработчиков короткое. Full Disk Access изначально нужен, например, программам резервного копирования: иначе они не смогут прочитать все файлы. Но он обходит обычное разделение доступа к данным приложений. Apple прямо перечисляет файлы, почту, сообщения и историю браузера. Если агент получил такое разрешение, круг доступной ему информации значительно шире одной папки с документами.

Компания обещает дополнительные механизмы: выдать настолько широкое разрешение можно будет только после явно выраженного действия пользователя. На 3 октября 2026 года в анонсе нет номера версии macOS, даты выпуска, макета нового окна или описания технического ограничения. Поэтому фраза «Apple уже закрыла доступ агентов к сообщениям» была бы неправдой. Пока объявлено намерение изменить процедуру выдачи разрешения, а не выпущена проверенная защита от чтения.

И ещё деталь: в официальном сообщении нет слов Meta или Muse. Ars Technica связывает его с недавним спором из-за Muse, но Apple публично не назвала конкретное приложение причиной решения. Связь по времени сильная; прямого подтверждения от Apple нет.

Чем Full Disk Access отличается от доступа к одной папке

В настройках macOS есть два похожих пункта, которые легко спутать. «Файлы и папки» позволяют разрешить приложению доступ к отдельным местам вроде «Рабочего стола», «Загрузок» и «Документов». Apple описывает их как отдельные переключатели. Это похоже на ключ от нескольких комнат.

Full Disk Access - совсем другой масштаб. Согласно справке Apple по настройкам приватности, он включает данные других программ: Mail, Messages, Safari, Home, резервные копии Time Machine и некоторые системные настройки. Это уже ключ почти от всего дома. Наличие доступа не доказывает, что приложение прочитало каждое письмо, но техническую возможность существенно расширяет.

Разрешение одной папки и полный доступ к диску открывают разный объём данных на Mac

Есть и ещё один слой: переключатель внутри ИИ-приложения. Представь, что Muse показывает «подключение сообщений выключено». Эта настройка говорит, что продукт обещает не использовать сообщения через свой коннектор. Но если операционной системой уже выдан Full Disk Access, файловые данные доступны процессу приложения независимо от того, что нарисовано на экране его коннектора. Разрешение ОС и обещание продукта решают разные задачи.

Почему вокруг Meta Muse возник спор

Журналист Джейсон Эйтен описал свой опыт в Inc.. Он поставил Muse на iPhone и Mac mini, попросил агента поработать над идеями для статей. Позже пришло предложение написать материал по теме, которую он только что обсуждал с коллегой в Apple Messages; агент также упомянул сообщение редактора. Эйтен утверждает, что не разрешал читать переписку.

В опубликованном рассказе журналиста нет технического протокола чтения базы сообщений. Одного совпадения подсказки с недавней перепиской недостаточно, чтобы установить, каким именно путём данные попали к агенту. Мы видим эффект, который он испытал, и его заявление об отсутствии осознанного разрешения - но не независимый аудит Mac mini.

Meta даёт другую версию. Руководитель компании Дэвид Синглтон заявил, что интеграция Messages включается добровольно: нужны и системный Full Disk Access, и разрешённый коннектор внутри Muse. Ars Technica передаёт ответ Meta и возражение специалиста по безопасности macOS Патрика Уордла: приложение с системным полным доступом технически может читать файлы переписок вне логики коннектора. То есть заявление «коннектор выключен» не равно утверждению «процессу недоступна база Messages».

Что реально произошло на устройстве Эйтена, по публичным материалам окончательно не восстановить. В частности, я не нашёл опубликованного журнала доступа к файлам, который показал бы точный путь от локальной переписки до подсказки Muse. Здесь честный вывод уже: пользователь и разработчик могут вкладывать совершенно разный смысл в слово «доступ».

Почему агенту такой ключ опаснее, чем обычной программе

Приложение резервного копирования получает Full Disk Access ради понятного действия: снять копию файлов. Персональный агент получает задачу в свободной форме: «подскажи, о чём написать», «разбери день», «поищи полезное». Чтобы ответить, он может искать источники, сопоставлять данные и сам предложить следующий шаг. Если среди доступных данных лежат чужие сообщения, риск касается и собеседников, которые никаких разрешений твоему агенту не давали. Apple отдельно упоминает именно их приватность.

Meta объясняет архитектуру Muse облачной виртуальной машиной и отдельным агентом-проверяющим для выходящих действий. По заявлению компании, пользователь выбирает подключённые сервисы и может отключать их. Это полезные ограничения для того, что агент отправляет наружу или делает от имени пользователя. Но вопрос о том, какой именно локальный файл прочитал клиент на Mac и какие данные синхронизировал в облако, нужно проверять отдельно. Описание облачной защиты не отвечает за локальные разрешения ОС.

Здесь мне важна практическая разница между «умеет» и «нужно». Чтобы подготовить черновик статьи по выбранной теме, агенту хватит конкретных файлов проекта и пары ссылок. Вся история личных переписок ему для этой задачи ни к чему. В истории с Amazon и Muse был вопрос, пускать ли агента на сайт магазина. Здесь вопрос ближе: сколько дверей в собственном компьютере мы открываем ради удобного помощника.

Как проверить разрешения на своём Mac

Открой меню Apple → «Системные настройки» → «Конфиденциальность и безопасность» → «Полный доступ к диску». Посмотри на все включённые приложения, в особенности на ИИ-агентов, терминалы, редакторы и утилиты, которым когда-то выдал права для эксперимента. Если не помнишь, зачем программе доступ ко всему диску, отключи его и проверь нужный сценарий работы. Для программы резервного копирования полный доступ может быть необходим: выключать всё подряд тоже плохая идея.

Потом вернись в «Конфиденциальность и безопасность» и отдельно посмотри «Файлы и папки», «Универсальный доступ», «Автоматизация» и «Запись экрана и системного аудио». Справка Apple описывает их как разные виды доступа. Например, право управлять интерфейсом компьютера - не то же самое, что право напрямую читать базу сообщений; одно разрешение не заменяет аудит остальных.

Проверка разрешений ИИ-агента на Mac: полный диск, папки, управление и экран

Затем проверь настройки подключения внутри самого агента: сообщения, почта, календарь, диск. Отключи ненужные коннекторы, удали источники данных, которые добавлял для теста, и посмотри журнал действий, если он есть. Выключенный Full Disk Access ограничит будущие обращения к защищённым файлам, но сам по себе не удалит то, что приложение могло раньше синхронизировать в облако. Для удаления уже загруженных данных ищи отдельную настройку у провайдера и читай её условия.

Для нового эксперимента я бы завёл отдельную рабочую папку с копиями документов без личных переписок и ключей. Дал доступ только к ней, выполнил одну понятную задачу, сверил результат и только затем решал бы, нужны ли дополнительные разрешения. Если агент без полного доступа не работает, запомни это ограничение продукта вместо машинального нажатия «Разрешить».

Что изменится после обещанного обновления

Apple пока обещает дополнительное явное действие при выдаче Full Disk Access. Насколько это будет заметно, можно ли будет выбирать отдельные категории данных и затронет ли новое правило уже выданные разрешения - не сообщается. На эти вопросы нельзя честно ответить, пока не появятся документация, обновление macOS и проверка поведения на устройстве.

Новый экран подтверждения, даже если он окажется очень подробным, не превратит полный доступ в точечный. Человек по-прежнему сможет его выдать. Разница в том, насколько ясно ему покажут последствия и насколько трудно будет случайно пройти мимо предупреждения. Я бы хотел ещё и возможность дать агенту только нужные данные, без ключа ко всему Mac. Но в объявлении Apple такой функции нет; не стоит приписывать её будущему релизу.

Практический итог скучный и полезный: пока изменение не вышло, у тебя уже есть список разрешений и право отозвать лишние. Проверка займёт меньше времени, чем спор о том, кто именно виноват в истории Muse. Если приложение требует ключ от всего диска ради одной маленькой задачи, сначала спроси, нельзя ли выполнить её с меньшими правами.