Вы проверили админку. Агент сидит на ноутбуке

Короткий ответ. 2 октября Apple объявила, что ужесточает выдачу Full Disk Access в macOS, и назвала причиной растущую автономность ИИ-агентов. Это разрешение открывает приложению весь диск: файлы, почту, сообщения, историю браузера. Apple добавляет, что у приложений для переписки под удар попадает ещё и приватность тех, с кем человек переписывался. Выдаётся оно локально, в корпоративную админку не попадает, и ни один OAuth-скоуп его не ограничивает. Проверять доступы придётся в двух местах.

Про то, куда дотягивается агент, мы писали трижды. Все три раза речь шла об одном уровне, и производитель операционной системы только что показал на второй.

Apple превращает галочку в осознанное действие

Разрешение остаётся. Меняется то, насколько трудно будет выдать его случайно.

2 октября 2026 года Apple опубликовала обновление для разработчиков. Она добавит ограничения на Full Disk Access так, чтобы пользователь, который действительно хочет выдать приложению этот исключительный уровень доступа, смог сделать это только через «очень явное действие пользователя» (very explicit user action). The Verge, TechCrunch и MacRumors написали об этом в тот же день.

Причину Apple назвала необычно прямо.

«Некоторые разработчики используют Full Disk Access так, что это может поставить пользователей под угрозу, открывая всё в их системах, включая файлы, почту, сообщения и даже историю браузера, без полного понимания со стороны пользователя». И дальше: «По мере того как ИИ-агенты становятся всё более способными и автономными, риски, связанные с таким уровнем доступа, будут существенно расти».

Full Disk Access – разрешение macOS, которое отдаёт приложению всю систему пользователя. Apple говорит, что оно «обходит» (sidesteps) ограничения приватности вокруг него, и сделала его затем, чтобы на Mac работал бэкап. Теперь компании выдают разрешение под бэкап софту, который действует сам.

Одна фраза в этом обновлении весит больше остальных, и почти все пересказы её потеряли.

«У приложений для переписки это может также нарушить приватность тех, с кем пользователь переписывается».

Прочитайте эту фразу дважды, если работаете с чужой перепиской. Бухгалтер, корпоративный секретарь, брокер, клиника – почта и сообщения на таком ноутбуке в основном принадлежат клиенту, а клиент ничего не выдавал.

Ещё два факта, которые в публикациях есть, а в пересказах теряются. Дату выпуска Apple не назвала, и пока её нет, разрешение работает в точности как раньше. И ни одного продукта Apple не назвала: обновление вышло через несколько дней после двух постоянно работающих агентов, Meta Muse 8 сентября и OpenAI Dots 29 сентября, но связь между этими запусками и датой у Apple провели журналисты, а не Apple.

С чего это началось?

Со спора о том, что один агент сделал на одном Mac. И спор этот не про чью-то память.

19 сентября Джейсон Атен написал в Inc, что поставил Meta Muse на iPhone и на Mac и при настройке отказался давать доступ к своим сообщениям. Через несколько дней Muse прислал ему push о том, что разговор, который он только что вёл с соведущим подкаста, годится для колонки, и отдельно показал письмо редактора про дедлайн.

Он спросил Muse, откуда тот знает. Агент ответил, что приложение на Mac передаёт только превью уведомлений, и ничего больше.

«Это только поток входящих уведомлений, а не доступ к вашим текстам».

Ответ был неверный. Дальше Атен обнаружил, что Muse синхронизировал его локальную базу Messages до строки 187 462. Чтение этой базы требует Full Disk Access, и, по его словам, в настройках самого Muse этот доступ стоял выключенным.

Meta с описанием не согласна. Энди Стоун, отвечающий в компании за коммуникации, написал в X, что интеграция с Messages в приложении Muse для Mac «целиком добровольная» (entirely opt-in) и что включить её – значит включить и Full Disk Access, и коннектор Messages. Дэвид Синглтон, который руководит Meta Superintelligence Labs, изложил ту же последовательность шагов в Threads.

То есть стороны расходятся в том, в каком состоянии была машина. Позиция Meta сводится к тому, что описанное Атеном произойти не могло. Позиция Атена в том, что это произошло, что коннектор Messages стоял включённым, хотя он от него отказался, и что Meta так и не объяснила, как это вышло. Со стороны ни одно из утверждений не проверить, и эта статья не пытается.

Переносится другое – то, что было до начала спора. На вопрос о собственных доступах агент выдал конкретный, уверенный и неправильный ответ. Была это догадка в одежде факта или что-то хуже, вывод для компании на двадцать человек один: агент не свидетель по своим разрешениям. Свидетель – список в настройках системы.

Почему этого не видно в админке?

Потому что это разрешение операционной системы, а не аккаунта.

OAuth-скоуп – договор между сервисом и приложением: этому можно читать почту, тому писать в календарь. Кто-то нажал «разрешить» на экране, сервис это записал, и отозвать можно централизованно. Список одинаков для всех в компании. Это тот уровень, который мы разбирали в статье про минимальные права для агента, и на нём большинство советов заканчивается.

Full Disk Access – другой договор, между человеком и его ноутбуком. Выдал его тот, кто работал на машине, в настройках системы, сервиса тут не было, значит и записывать некому. Скоупы здесь ни при чём: агент ничего не просит у провайдера. Он читает диск.

Практическое следствие мелкое и неприятное. У компании с двадцатью ноутбуками двадцать отдельных списков, каждый виден только на своей машине, и увидеть их можно, только посмотрев двадцать машин. На уровне аккаунта открыто то, что лежит внутри выданного скоупа; на этом уровне открыты файлы, почта, сообщения и история браузера, и всё сразу.

Под этим вопросом лежит другой: какие инструменты вообще подключены. Его мы разбирали в статье про то, кто в вашей компании уже подключил ИИ к данным.

Что проверять на машине?

Один список и один вопрос к каждой его строке.

В macOS список лежит в системных настройках, в разделе приватности и безопасности, пункт Full Disk Access. В Windows единого такого списка нет, а механика отличается настолько, что догадки здесь не помогут: этому нужен отдельный разбор по документации Microsoft.

По каждому приложению из списка спросите, какой задаче нужен весь диск. Ответов бывает три, и только один из них оправдывает разрешение.

1. Программа резервного копирования. Ровно для этого разрешение и сделано, и это единственный случай, где ответ «да». Carbon Copy Cloner, SuperDuper, ChronoSync и Arq требуют его годами. Убедитесь, что в списке стоит та программа, которую выбирали вы, и что у неё актуальная версия.
2. ИИ-ассистент или агент. Спросите, что именно он пересказывает или ищет. Если ответ «почтовый ящик» или «папка», ему нужен этот ящик или эта папка, и для них есть отдельное, куда более узкое разрешение. Весь диск – способ не решать.
3. Незнакомое приложение. Сотрудник поставил, воспользовался дважды и забыл. Забирайте разрешение: если что-то отвалится, сотрудник скажет об этом в течение дня.

Когда инструменту широкий локальный доступ нужен по делу, честный шаг такой: перевести его на корпоративный аккаунт, записать, до чего он дотягивается, и пересматривать вместе со всем остальным. Это то же решение, что и по любому подключению, и мы описывали его в статье про доступы для ИИ-агента, когда безопасника в компании нет.

Что это значит для вашей работы

• Права живут на двух уровнях. Закрыв админку, вы не тронули ноутбуки, а большинство компаний на этом и останавливается.
• Локальный список негде посмотреть целиком. Двадцать ноутбуков – двадцать проверок руками, и вся цена вопроса в этом.
• На ноутбуке, через который идёт переписка с клиентами, под удар попадают в основном не данные сотрудника. Apple написала это прямо, и это та строка, которой отвечают на вопрос «а нам это зачем».
• Не выясняйте доступы агента, спрашивая у агента. Читайте список.
• Ужесточение Apple объявлено, но ещё не действует. В текущем разрешении пока ничего не изменилось.

Мы подключаем агентов к почте, CRM и документам заказчика, и набор прав – решение, которое мы принимаем на каждом подключении, включая разрешения на самой машине. Как это устроено, описано на странице ИИ-интеграции. Одно можно сделать ещё до любого разговора: откройте список Full Disk Access на своём ноутбуке и прочитайте, что в нём стоит.