全盘访问权限最初主要作为备份软件的例外而创建，使其能够绕过 macOS 正常的隐私控制[6]。如今这一历史背景变得至关重要，因为该权限从设计上就极为宽泛：安全研究员帕特里克·沃德尔指出，它实际上赋予了对 Mac 上几乎所有非 root 文件的读取权限，包括 Messages 聊天数据库、浏览器 Cookie 和浏览历史记录[2]。苹果自身的表述也承认了原始用途与当前使用方式之间的不匹配：“一些开发者正在以可能使用户面临风险的方式使用全盘访问权限，暴露系统中的所有内容——包括文件、邮件、消息甚至浏览历史——而用户对此并不完全知情”[1]。该公司将此问题视为结构性难题，并警告称，“随着 AI 代理变得越来越强大和自主，拥有这种级别的访问权限所带来的风险将大幅增加”[1]。
苹果此次声明的直接导火索可追溯到一起单一但存在争议的报道。专栏作家杰森·阿滕报告称，在其 iPhone 和 Mac mini 上安装 Meta 的 Muse 后，该代理引用了其私密 Messages 内容——包括一条源自与其播客联合主持人对话的专栏构思——尽管在系统设置中全盘访问权限似乎已被关闭；他随后发现 Muse 已将其 Messages 数据库同步至第 187,462 行[3][4]。Meta 直接反驳了这一说法。通讯主管安迪·斯通表示：“除非你主动操作，否则它无法读取你的 Messages”，而 Meta 超级智能实验室负责人戴维·辛格尔顿则强调，“Muse Mac 应用中的 Messages 集成功能是用户可选的”，且需经过三个独立的授权步骤，这些步骤无法被 macOS 系统保护机制绕过[3]。双方的说法均未得到独立验证，留下了一个具体指控与详细技术否认之间的未解矛盾。
与争议性的 Messages 访问主张不同，沃德尔的研究描述的是一个已被独立演示而非仅存争议的漏洞。他于2026年9月21日发布的概念验证显示，Muse Mac 应用中一个名为 endo_voyager_dictation_endpoint 的未公开偏好设置，可让已在登录用户身份下运行的恶意软件重定向听写功能，读取用户口述内容，注入受信任指令，并捕获认证令牌，他形容这“轻而易举地将 Muse 变成了终极后门”[2]。沃德尔谨慎界定了该风险范围：该漏洞“仅在攻击者已能在登录用户身份下运行代码时才有效，无法自行入侵 Mac”，但可与其他社会工程技巧结合使用[2]。苹果的声明发布之际，还有一项关于 OpenAI ChatGPT Mac 应用的独立报告指出，该应用此前可能存在让攻击者获取敏感数据的漏洞，直到 OpenAI 修复为止，这表明苹果是在回应 AI 桌面代理领域普遍存在的模式，而非单一产品的孤立问题[5]。
即便苹果对授予全盘访问权限设置了更严格的门槛，该权限本身的覆盖范围并未改变——它仍然向系统中几乎所有非 root 文件授予读取权限[2]。无论是 Muse 争议还是苹果的修复措施，其背后都存在同一个悬而未决的问题：当一个代理具备能力、高度自主且已以用户自身系统权限运行时，单凭一个权限开关（无论多么明确）是否仍能构成有效的控制？
“认为全盘访问权限赋予了对 Mac 上几乎所有非 root 文件的读取权限，包括 Messages 聊天数据库、浏览器 Cookie 和浏览历史记录，从而削弱了‘应用内二次开关是一种有效保护’的说法；同时他还演示了 Muse 中一个未公开的偏好设置可被滥用为后门。”
“为 Muse 的设计辩护，称 Messages 访问是用户可选的，并受到三个独立授权步骤以及无法被应用漏洞绕过的 macOS 系统保护机制的限制。”
“公开反驳阿滕的指控，坚称除非用户主动启用全盘访问权限和应用内的 Messages 连接器，否则 Muse 无法读取 Messages 内容。”
“Apple announced it will tighten "full disk access" in macOS. This permission, which can read emails, messages, and even browsing history in full, was originally an exception meant for backups, but AI agents have started using it. Meta explained that "three levels of permission are required and cannot be bypassed," but in the end, iMessage permissions that users had denied were being enabled without their consent. We've reached a stage where simply trusting the developers' explanations isn't enough to stay protected.”
“An AI agent reportedly pulled 187,000+ rows from an Apple Messages database. User says he never knowingly gave it access. Meta says Muse can't access Messages without explicit permission. Now Apple is adding more controls around Full Disk Access. Pretty simple problem: if I need a PhD to figure out what my AI agent can read, the permissions are cooked.”
“Check 3 Mac permissions to see if Meta's Muse agent is allowed into your private messages. Meta says it takes three: Full Disk Access, a Messages access level, a macOS confirm that restarts the app. First one off, message options stay grayed out. Journalist Jason Aten says his was off and Muse cited his messages anyway. Neither side is independently verified. Meta itself counts 2 toggles or 3 steps. The 3 steps below.”
“Apple sounds the alarm on AI agents and 'Full Disk Access'”
Meta Muse is SCARY… This AI Wants to Know Everything About You!
Meta Muse AI Agent Violates User Privacy - Zuckerberg Doesn't Take "No" as an Answer
Muse AI Privacy Warning: A User Says It Read His Messages
System online.