Apple 要改全盘访问，先发了两段话

10 月 2 日，Apple 在自己的开发者新闻里挂出一则公告，标题是《Updates to Full Disk Access in macOS》，全文只有两段1。它宣布今后会在 Mac 上引入额外控制，让真正愿意授予「完全磁盘访问」（Full Disk Access）的用户，只能通过非常明确的用户操作来完成授权；理由写得很直白：AI agent 的能力与自主性正在增长，这种级别的访问所带来的风险会大幅上升1。

这份公告里能被钉住的时刻只有一个。 Apple 开发者新闻的 RSS 给出 Fri, 02 Oct 2026 09:00:19 PDT，换算成北京时间是 10 月 3 日 0 点 00 分 19 秒2。除此之外，这个改动没有版本号、没有时间表、没有新的接口或权限项名字，也没有一句描述新弹窗长什么样。两家媒体把这件事写得最清楚：MacRumors 的原话是 Apple did not say when the new "Full Disk Access" controls will be implemented3，Engadget 写的是 The company didn't say when the update would roll out or what exactly would change from the current setup4。所以到发稿为止，能确认的只有「Apple 承认会收紧」这一层，交付为零。

这个权限有多大，一句话就能说清。 macOS 安全研究者 Patrick Wardle 对 Ars Technica 的说法是：From a technical point of view, with FDA (full-disk access), any (non-root file), is readable, browsing history, browser cookies, chats, etc etc etc5。它不是给某几个文件夹的授权，也不是按数据类型分的授权：打开一次，磁盘上不归 root 管的文件全部可读，浏览器历史与 Cookie 也在里面，而 Cookie 就是登录态。Apple 自己在公告里写下的正当用途是让备份类 app 能正常工作，而它承认，一些开发者正在以可能让用户陷入风险的方式使用它，在用户并不完全知情和理解的情况下暴露其系统上的一切——包括文件、邮件、信息，甚至浏览历史1。

让用户去打开这个开关的，是这些客户端自己的引导。 Engadget 的写法是：Desktop clients for AI agents, like OpenClaw, Dots and Muse, often encourage users to grant "Full Disk Access" so the agents can access their files, messages and other data4。把报道点到的名字放在一起，是 Meta 的 Muse、OpenAI 的 Dots、OpenClaw、xAI 的 Grok Bot 与 Claude，再加上系统自带的终端；MacRumors 给这一批加了一个定语——always-on，常驻3。Daring Fireball 的 John Gruber 则直接点了名：They don't name names, but clearly this is in response to Meta Muse …, Grok Bot, Claude, Dots, and the rest6。

这里有一个值得单独记下来的边界：被点到的是常驻型桌面 agent，不是写代码用的助手。 把所有报道翻一遍，没有任何一家点名 Cursor、Copilot 这类编程工具，Apple 也没有做任何面向「编程助手读用户文件」的专门改动。原因不难理解：常驻型 agent 的卖点是替你跨应用办事——读邮件、读信息、读浏览器——所以它的引导里必然写着「请授予全盘访问」；编程助手的默认工作目录是代码仓库，它要的文件本来就在手边。

争议那一边，是两套各自成立的说法。 路透社的稿子给出了事情的起因：一些用户批评 Meta 的 Muse，说这个 agent 读到了他们以为是私密的消息7。Meta 随后两次公开否认。发言人对路透社说的是：必须同时开启全盘访问和 Messages 连接器，Muse 才能读到你的信息内容，而且这个权限随时可以撤销7。CTO David Singleton 对 Ars Technica 说的是同一件事：Muse Mac 版的信息集成是选择性加入的，只有系统级的全盘访问被授予、并且连接器被启用，Muse 才能读到信息内容5。

而 Apple 的措辞，和这句话对不齐。 Apple 的公告没有点名任何一家公司，它写的是「一些开发者」；Ars Technica 把两者的关系写成了这样一句：And at a minimum, Apple's statements seem to contradict Singleton's denial that it's not possible for Muse to read Messages content without the connector enabled——至少从字面上看，Apple 的表述与「不开连接器就不可能读到信息」这个否认相抵触5。外面没有人能核这一次到底读了什么，因为开关当时是什么状态、连接器有没有开，只存在于两家各自的日志里。

一条对照：Apple 自己的两份表述，落在两个时间上。 关于权限现在能做什么，它用的是现在时——「一些开发者正在以……方式使用它」；关于它自己要做什么，用的是将来时——Going forward, we will introduce additional controls1。这不是措辞问题，而是这次事件的实际形状：风险已经被观察到，处置还没有被交付。

谁会受影响。 第一类是已经在 Mac 上跑常驻 agent 的人：你今天能做的只有去系统设置的隐私与安全性里看那张名单，看有几个是 agent，以及它们各自的数据连接器开关在什么状态。第二类是把这类客户端推进公司的人——如果内部规定允许员工给工作机上的 agent 开启全盘访问，那么这台机器上的邮件、信息和浏览器数据都在同一格权限里，而这一格权限不分文件夹。第三类是正在设计 agent 引导流程的产品团队：这次公告指向的正是引导里那句「请授予完全磁盘访问」，Apple 打算改的就是让这一步不再是一键通过。

限制条件要写清楚。 这份公告本身只有两段，Apple 在公告之外拒绝进一步置评，路透社的原话是 Apple declined to comment beyond its post7；Meta 面对路透社的置评请求也没有立即回应7。到发稿为止，没有独立研究者分析过 Apple 将引入的这套新控制，因为它还没有被设计出来——能查到的最接近的一句，是 Wardle 对全盘访问既有能力的描述5。开发者社区的讨论集中在公告发出的当天与次日：Hacker News 上的帖子从 10 月 2 日 19 点 57 分（UTC）开始有顶层评论，质疑集中在两点——Apple 把正当用途说成备份，而它没解释为什么收紧的是这一格权限8。

所以这一件事今天该怎么记。 它不是一个已上线的系统变更，而是一份预告：Mac 上最宽的那一格权限，从「用户点一次同意」改成「用户要非常明确地做一次操作」。这个方向本身是产品决策——权限模型怎么切、摩擦加在哪一步，决定了 agent 能替用户做多少事。在此之前，那张名单就是你唯一的抓手；Apple 说要改的，正是它的粗糙。