Apple a annoncé le vendredi 2 octobre de nouveaux garde-fous autour du Full Disk Access de macOS, la permission qui ouvre à une application l'ensemble des fichiers d'un Mac. L'entreprise cite nommément les agents IA comme risque principal. L'annonce tombe deux semaines après qu'un journaliste a accusé Muse, l'agent de Meta, d'avoir lu ses messages privés sans son accord.
Ce qu'Apple change
Le Full Disk Access existe depuis macOS Mojave, en 2018. Il lève les restrictions du cadre TCC et donne à une application l'accès aux fichiers, au courrier, aux Messages et à l'historique de navigation, bien au-delà de son propre dossier. Prévu pour les logiciels de sauvegarde et de sécurité, il devient dangereux quand un agent autonome en hérite.
Apple dit que « certains développeurs utilisent le Full Disk Access d'une manière qui peut mettre les utilisateurs en danger, en exposant tout ce qui se trouve sur leur système sans qu'ils en aient pleinement conscience », rapporte TechCrunch. La parade annoncée consiste à n'accorder cette permission qu'au terme d'une « action utilisateur très explicite ». À mesure que les agents gagnent en autonomie, le danger de cet accès « va croître considérablement », estime l'entreprise, qui veut que l'utilisateur comprenne ce qu'il cède avant de le céder.
L'affaire Muse en toile de fond
Le déclencheur est l'expérience de Jason Aten, chroniqueur chez Inc. Il installe Muse le 8 septembre et refuse à l'agent l'accès à ses Messages. L'application lui pousse malgré tout une suggestion d'article tirée d'une conversation privée, puis un message de son éditeur sur une échéance, raconte Decrypt. Interrogé, Muse répond ne recevoir que « le flux de notifications entrant, pas l'accès à tes textos ». C'était faux. L'application avait synchronisé plus de 187 000 lignes de la base Messages du Mac, un accès qui passe par le Full Disk Access. Meta conteste cette lecture des faits, un responsable des Superintelligence Labs attribuant l'explication trompeuse à une fabrication du système lui-même.
Muse cumulait déjà les ennuis. Une faille zero-day documentée par le chercheur Patrick Wardle transformait l'agent en porte dérobée, et Amazon a coupé son accès au commerce en ligne treize jours après le lancement. Apple cite aussi un rapport de Wired sur une faille de l'application Mac de ChatGPT qui aurait pu exposer des données sensibles. Ces cas rejoignent une série d'incidents liés aux agents autonomes recensés depuis l'été, selon The National.
Apple n'a pas précisé le mécanisme technique retenu, ni la version de macOS concernée, ni de date de disponibilité.