当AI代理把手伸进你的硬盘：Meta Muse「越权」风波与苹果的权限反击

日期：2026年10月6日　栏目：IT·AI代理与隐私

事件：一条「不该被看到」的私讯，撬动了整个桌面AI代理的信任地基

事情起因很小，却足够致命。科技专栏作家杰森·艾登（Jason Aten）在试用 Meta 的 AI 代理 Muse 时发现，自己明明没有授予它「完整磁盘访问权限」（Full Disk Access），Muse 却能准确复述他 Mac 上 Apple「信息」应用里的私人对话内容。换句话说，一个被官方描述为「从底层构建、安全、私密」的个人助理，读到了它本不该碰的东西。

Meta 的回应很快。发言人安迪·斯通（Andy Stone）在 X 上辩称：必须同时启用「完整磁盘访问权限」和「消息连接器」，Muse 才能读取信息内容；权限随时可撤销。但事情并未平息——Meta 超级智能实验室（MSL）CEO 大卫·辛格尔顿（David Singleton）随后发帖，语气更像是把责任推回给了用户。Meta 方面则将部分情况归因于「程序缺陷（bug）」。

真正把事件推向产业层面的，是苹果在 10 月 2 日（上周五）的官方表态。苹果宣布，将修改 macOS 的权限机制，为「完整磁盘访问权限」加入额外控制：未来只有经过「非常明确、刻意」的用户操作，才能把这项高权限授予某个应用。苹果在开发者博客中直言：「随着 AI 代理变得更强大、更自主，这一访问层级带来的风险将大幅增加。」

什么是「完整磁盘访问权限」：一个为备份软件设计的后门，正被 AI 代理借用

要理解这场风波，得先认识 macOS 里那条「老规矩」。

• 在 iPhone 和 iPad 上，系统默认沙盒隔离：没有任何一个 App 能读取另一个 App 的数据。
• 但 Mac 历来更开放。它有「完整磁盘访问权限」这个选项，本意是让云备份软件之类需要扫描全盘的 App 能正常工作——一旦授权，App 就能触达 Mac 上的文件、邮件、信息，甚至浏览历史，在很大程度上绕过 macOS 既有的隐私控制。

苹果点出了一个被忽视的放大效应：对通讯类 App 而言，越权的风险不止于使用者本人，还会溢出到与用户联络的所有人——你只是授权了自己的电脑，却可能暴露了别人的隐私。

而 Muse 这一代产品，恰恰是「权限饥渴型」的。除文件与信息外，它还能与日历、备忘录、邮件互动；它能替你取消闲置订阅、帮你议价、甚至直接完成旅行预订。也就是说，它的便利，正是用「一次性拿到尽可能多的系统权限」换来的。

为什么是现在：AI 代理正在从「聊天框」爬进「操作系统」

这场风波不是孤例，而是一个拐点的显影。

• 产品节奏在加速：Muse 于 9 月 18 日才推出 Mac 版本，正式让 AI 代理进入桌面；不到一个月，其下载量据报已冲上数百万级，热度甚至超早期的 ChatGPT、Claude。
• 同行同样激进：OpenAI 的常驻型代理 「dots」 也在索取更高层级的系统权限。让代理「主动替你干活」，就意味着给它更大的自由度和更深的系统接入。
• 前科并不遥远：ChatGPT 的 Mac 版本此前也被曝出过可能让攻击者窃取数据的漏洞。桌面端的 AI 代理，正在重复移动端早已解决过的安全议题，只是这一次，赌注更大。

苹果的措辞里其实藏着整个行业的焦虑：代理的能力与自主性越高，与「完整磁盘访问」这类底层权限叠加后，可能接触的数据范围就远超传统单一功能 App。 一旦权限配置出错、软件出现漏洞，或使用者根本没看懂授权范围，大量私人数据就会暴露。

我的见解：这不是一次隐私事故，而是「权限通胀」撞上了责任真空

第一，真正被考验的不是技术，而是「授权」这件事本身。 我想强调一个被反复忽略的细节：争论的焦点，从来不是「Muse 有没有绕过系统」，而是「你是否点过那个同意」。Meta 的辩护逻辑——「需要同时开启两项权限才能读取，且可随时撤销」——在技术上是自洽的，在体验上却是傲慢的。它把「判断权限边界是否被越界」这项本属于厂商的责任，悄悄转移成了「用户有没有把条款读完」的个人义务。这正是当下 AI 代理最危险的惯性和责任真空：厂商负责把权限做到「合法可给」，用户负责承担「给错了」的后果。

第二，「最小权限」原则在代理时代正在失灵。 传统软件的功能是固定的，所以你可以精准授权。但代理的价值恰恰在于「什么都能干」——它要处理文档、操作应用、跨软件完成任务，天然就要求宽权限。而现在的授权模型，本质上还是「一次给全、要么给要么不给」的二值开关。也就是说，我们正用一个为单一功能设计的旧权限体系，去管理一个追求通用能力的智能体。 这个错配，是 Meta Muse 风波的深层土壤，也是所有桌面代理共同的结构性软肋。真正的出路不会在「更聪明的代理」，而在可分域、可审计、可实时撤销的细粒度权限架构——把「全部数据」拆成「这次任务所需的那一点」。

第三，苹果的出手，是平台对「入口权」的重新收拢。 别把苹果此举单纯读成「替用户说话」的善意。当 AI 代理开始成为用户与电脑交互的新入口，谁来定义「代理能碰什么数据」，就从技术问题升级为平台权力的分配问题。苹果收紧 macOS 权限，表面是隐私保护，实质是在宣示：在这台设备上，数据的门锁由平台掌管，而不是由某个 AI 厂商的「连接器」说了算。 这是一场关于「谁掌握用户数据的闸门」的无声争夺，Muse 只是导火索。

第四，信任，才是 AI 代理商业化的真正天花板。 请注意 Meta 把问题部分归因于「bug」这一说法——无论真假，它都指向同一个致命后果：一旦用户对「这个代理会不会偷偷看我的信息」产生怀疑，越强的能力反而会变成越大的阻力。 因为代理的每一次越权，都在消耗用户的授权意愿；而授权意愿一旦崩塌，能力再强的代理也无处施展。这就是所谓的「信任天花板」：能力增长得越快，信任越容易成为瓶颈。行业的胜负手，正在从「谁更聪明」转向「谁更值得被交出全部数据」。

结语

过去十年，我们争论的是「App 要不要读取通讯录」；今天，问题变成了「一个能替你操作整台电脑的代理，到底该不该拥有你的一切」。

Meta Muse 这次风波，真正暴露的不是某一行代码的缺陷，而是一个尚未建好的地基：当 AI 代理从「回答问题」走向「替你行动」，它要求的权限注定会越来越大，而我们对「授权」的理解，却还停留在「点一下同意」的原始阶段。 苹果收紧 Mac 权限，只是第一声警钟。接下来真正决定这个赛道能走多远的，不是谁的代理更全能，而是谁能先回答那个朴素的问题——凭什么让我把全部的信任交给你？

参考来源：苹果开发者官方博文（2026-10-02）、中央社（2026-10-03）、INSIDE（2026-10-05）、Reuters/鉅亨網、Tom's Hardware、AppleInsider、WIRED、IT之家、新浪AI热点小时报（2026-10-05）