Apple 收 FDA, 桌面 AI agent 摩擦升级

Apple 在收紧 macOS 的 Full Disk Access 权限, 理由是 AI agent 太强。这件事表面是安全公告, 实际上是 OS vendor 第一次对 agent 生态做显性 gatekeeping。

01 触发事件

2026 年 10 月 2 日, Apple 通过 TechCrunch 表示将收紧 macOS 的 Full Disk Access (FDA) 控制。官方理由是: AI agent 能力越来越强, 现有 FDA 模式下, agent 对用户文件、messages、邮件、浏览历史的 broad access 风险过大。

具体怎么收紧, 公告里没讲清楚。我没读到 Apple 的完整 developer documentation 更新, 实际粒度可能是分级授权, 也可能是 audit log 强制化, 也可能多塞一层 confirmation dialog。这点我可能误判, 在 Apple 公开 dev docs 之前, 不要把它当成已确定的产品形态变化。

02 这事的真正含义

问题不在"AI agent 有多危险", 而在 Apple 借此重新定义谁能在 macOS 上跑 agent。

FDA 在 macOS 一直是个粗糙的 binary 权限 — 给了就全给, 不给就完全不能用。这个模型对传统 app 没问题, 但对 AI agent 是灾难: 一个 agent 要完成一个 task, 可能需要读邮件 + 写文件 + 调 API + 访问浏览器历史, 全在一次会话里发生。FDA 模式下, 用户要么全开, 要么不用。

Apple 选择收紧而不是放任, 释放的信号是: Apple 不打算让第三方 AI agent 在 macOS 上"零摩擦"工作。

这个判断如果成立, 受影响最大的不是某个具体产品, 而是整个 desktop-native agent 形态 — 包括 Claude Code、Codex CLI、Cursor background agent、OpenAI 的 Operator desktop 版、所有 read-everything-then-write-everything 的 coding agent。这些工具的核心 UX 假设是"agent 默认看到用户全部上下文", FDA 收紧直接打破这个假设。

平台收税的时刻到了, 这次收的是 agent 访问用户数据的权限。

03 历史类比

最接近的对照是 2021 年 iOS 的 App Tracking Transparency (ATT)。

ATT 之前, IDFA 是默认开放的, Facebook 和广告平台零摩擦拿到。ATT 之后, 每个 app 必须弹窗问用户, 全球 opt-in rate 平均 25% 左右。Meta 当年财报披露 ATT 带来约百亿美元量级的收入损失, 我没逐季度核过这个数字但量级没大问题, 整个 mobile ad ecosystem 重新洗牌。

Apple 那次的官方理由也是"用户隐私"。实际上 ATT 同时是 Apple Search Ads 的护城河强化 — 当所有第三方都变难, 第一方反而是阻力最小的路径。Apple 这次收 FDA 的剧本几乎一模一样, 战场从 iOS ad tracking 换到 macOS AI agent access。

另一个对照是 2006 年 Vista 的 UAC。Microsoft 当时以"安全"为由引入权限确认弹窗, 实际后果是开发者社区一片哀嚎, 大量第三方软件兼容性崩坏, 最终 Microsoft 自己在后续版本里把 UAC 调到默认更安静。这个教训值得 Apple 借鉴 — 收紧太狠会推用户去更开放的平台 (Linux、ChromeOS Flex、或者干脆 remote dev container)。

04 对 AI builder 意味着什么

如果你是 Claude Code / Cursor / Codex CLI 这类 desktop-native agent 的开发者, 这个月要做的事:

重新设计权限请求 UX。Binary FDA 必然要拆成分级授权 — "读取 ~/Documents"、"写入 ~/.config"、"访问 Mail.app" 分别请求, 而不是一次性 FDA 加用户内心祈祷。这件事工程量不小, 但不做就是 Apple 帮你做, 然后你的 onboarding 漏斗直接塌一截。我没看到 Apple 完整技术规范前, 具体分级粒度是猜的, 但往细了做不会错。

考虑 remote sandbox 架构。本地 agent 的核心卖点是"看到用户真实上下文", 但如果每次操作都要弹窗, 用户体验崩坏。替代方案是 agent 在云端 sandbox 跑, 用户只授权"我愿意让这个 agent 看到这份文档"这种粗粒度逻辑。Anthropic 的 Claude Code 云端版本其实已经有部分实现, 这次收紧会加速它对 local 版本的替代。

关注 permission broker 层有没有套利窗口。如果 macOS 把 FDA 拆细, 中间一定需要一个让用户统一管理"agent permissions"的入口 — 这可能是新一类工具, 类似 1Password 之于密码管理。Apple 可能自己做了, 也可能留给第三方。

更现实的一点: 这件事对 web-based agent 反而是利好。ChatGPT 网页版、Claude.ai、NotebookLM 这种在浏览器里跑的 agent 不受 macOS FDA 影响。Builder 应该重新评估哪些场景值得做 desktop, 哪些直接走 web 就行, distribution 成本差距可能一下子缩小。

05 反方观点 / 风险

我可能过度解读了。

第一, Apple 的实际改动粒度未知。"收紧"可以是从 binary FDA 升级到三分级, 也可以只是加 audit log 让用户事后能看到 agent 干了什么。前者对产品形态是结构性打击, 后者只是合规负担。在读到完整 developer docs 之前, 不应该下重注。

第二, 我假设 Apple 是为了打压第三方 agent, 但同样可能是 Apple 自己 Apple Intelligence 的工程团队为了避免 agent 误操作损害 Apple 声誉而推动的纯安全改进。如果是后者, Apple 没有动机把收紧做得很激进 — 因为他们自己也需要 agent 工作。

第三, 攻击事件不明。Apple 说"increasingly capable AI agents make broad access riskier", 但没有引述具体 incident。如果是某起真实 agent 误删邮件 / 误发消息 / 误转账事件驱动, 收紧的合理性高很多; 如果只是预防性政策, 实际执行可能拖很久甚至胎死腹中。

第四, 也是最值得警惕的解读: 这是 Apple 借安全名义, 给 Apple Intelligence 争取时间差。当 Anthropic / OpenAI 的 desktop agent 在 macOS 上摩擦变大, Apple Intelligence 的 friction 保持不变, 用户实际感知到的就是"Apple 的 AI 更好用"。这个剧本 ATT 已经验证过一次, 我上面也用了同样的类比 — 但这也意味着如果 Apple 做得太明显, 会触发反垄断和开发者社区反弹。

我现在的判断: 这件事值得认真对待, 但不值得 panic。如果你的产品强依赖 FDA, 这个季度开始做分级权限适配是合理的; 如果只是偶尔用 FDA, 等 Apple 出具体开发者文档再说, 不要为一个还没确定的 API 形状重写架构。