Apple va renforcer l’accès complet au disque de macOS face aux inquiétudes concernant les agents d’IA

Apple indique qu’il modifiera les réglages de confidentialité de macOS afin de réduire le risque que des applications tierces détournent l’accès complet au disque, une autorisation de niveau système pouvant exposer les fichiers, les e-mails, les messages, les données du navigateur et d’autres informations stockées sur un Mac.

Cette annonce fait suite à un différend public sur la question de savoir si l’assistant d’IA Muse de Meta pouvait accéder à Apple Messages sans que l’utilisateur active explicitement le connecteur Messages de Muse. Apple n’a nommé ni Meta ni Muse et n’a pas précisé comment les changements d’autorisation fonctionneront ni quand ils arriveront. Mais le calendrier place les agents d’IA au centre d’un débat plus large sur l’adéquation des autorisations actuelles des ordinateurs de bureau pour des logiciels capables d’agir dans plusieurs applications.

Pour les concepteurs d’IA et les acheteurs d’entreprise, le problème dépasse largement un seul assistant. Les agents deviennent plus utiles lorsqu’ils peuvent examiner les communications, les calendriers, les fichiers et les sites web. Le même accès crée aussi un point de défaillance majeur si les autorisations sont mal comprises, détournées ou atteintes par l’intermédiaire d’une autre application exécutée sur l’ordinateur.

La réponse envisagée par Apple à l’accès des agents

Apple a déclaré que certains développeurs utilisent l’accès complet au disque « d’une manière susceptible de mettre les utilisateurs en danger », selon la déclaration rapportée par Ars Technica. L’entreprise affirme que ces pratiques peuvent exposer des systèmes entiers, notamment les fichiers, les e-mails, les messages et l’historique de navigation, sans que les utilisateurs comprennent pleinement ce qu’ils ont autorisé.

Apple a également souligné une seconde préoccupation liée à la confidentialité : les applications de communication peuvent exposer des informations appartenant non seulement à la personne qui a installé l’application, mais aussi à des collègues, des clients, des amis et d’autres personnes dont les messages apparaissent dans le compte.

L’entreprise a directement relié ce risque aux capacités croissantes des agents d’IA. À mesure que les agents deviennent plus autonomes, a déclaré Apple, les conséquences de l’octroi d’un accès système étendu pourraient augmenter. Son objectif affiché est d’aider les utilisateurs à comprendre les implications avant d’approuver l’autorisation.

Les éléments disponibles n’identifient pas de remède technique précis. Apple n’a pas indiqué s’il ajoutera des contrôles plus granulaires, de nouveaux avertissements, des restrictions pour certaines catégories d’applications ou une modification de la manière dont les agents interagissent avec les données protégées. L’annonce constitue donc une orientation politique et de plateforme, plutôt qu’une spécification complète du produit.

Le différend autour de Muse a révélé la faille des autorisations

La controverse immédiate a commencé après que le chroniqueur technologique Jason Aten a indiqué avoir reçu une notification non sollicitée de Muse faisant référence à une conversation Apple Messages avec un collègue. Aten a déclaré ne pas avoir sciemment autorisé Muse à lire ses messages et avoir supposé que ce contenu n’était pas accessible à l’assistant.

David Singleton, directeur technique de Meta, a répondu que l’intégration de Messages dans l’application Muse pour Mac était activée volontairement. Meta a déclaré que Muse ne pouvait lire le contenu de Messages que lorsque deux conditions étaient réunies : l’accès complet au disque de macOS devait avoir été accordé et le connecteur Messages devait être activé.

Cette explication a été contestée par le chercheur en sécurité macOS Patrick Wardle. Comme l’a résumé Ars Technica, Wardle a soutenu que l’accès complet au disque permet à une application de lire des fichiers autres que ceux de root, notamment d’éventuelles données de navigateur, des conversations et d’autres informations stockées localement. Il craignait que l’autorisation sous-jacente du système d’exploitation soit plus large que ne le laissait entendre le connecteur propre à l’application.

Cette distinction est importante pour la conception des agents. Une application peut présenter des contrôles étroits et spécifiques à une tâche tout en détenant une autorisation du système d’exploitation qui donne techniquement accès à beaucoup plus de données. Les utilisateurs peuvent comprendre qu’ils ont activé un connecteur sans réaliser qu’une autre autorisation donne à l’application accès à un espace de données local plus vaste.

Selon le rapport, la réponse publique de Meta a répété l’explication du consentement. L’entreprise n’a pas fourni de réponse supplémentaire aux questions d’Ars Technica avant la publication. Apple n’a pas non plus déclaré que Muse avait provoqué le changement de politique.

Les éléments et les affirmations restent limités

Le fait le mieux confirmé est la déclaration d’Apple selon laquelle l’entreprise compte modifier les protections de l’accès complet au disque parce que certains développeurs pourraient utiliser cette autorisation d’une manière mettant les utilisateurs en danger. Les commentaires de l’entreprise établissent la préoccupation de la plateforme, mais pas de constat précis visant Meta ou un autre développeur nommé.

Ars Technica a rapporté qu’aucun cas connu ne faisait état d’autres applications abusant de l’accès complet au disque pour lire les messages et l’historique de navigation. La publication a également noté que l’annonce d’Apple pouvait être sans rapport avec l’incident Muse, même si le calendrier rend un lien plausible.

Cet épisode fait suite à une autre inquiétude de sécurité concernant Muse. Wardle aurait révélé une configuration permettant à toute application ou à tout code exécuté sur un Mac de prendre le contrôle de l’assistant. Ars Technica a indiqué que cela pouvait inclure des commandes injectées par des attaques ClickFix, une forme d’ingénierie sociale qui incite les utilisateurs à exécuter des instructions malveillantes. Un attaquant obtenant ce contrôle pourrait potentiellement accéder aux ressources disponibles pour Muse.

Amazon a également bloqué Muse sur sa plateforme, estimant que les applications de ce type doivent fonctionner ouvertement et respecter les décisions des fournisseurs de services quant à leur participation. Cette mesure relève d’un différend distinct sur la politique de plateforme et ne prouve pas que le système d’autorisations d’Apple ait été compromis.

Pris ensemble, ces rapports montrent que le modèle d’accès de Muse fait l’objet d’une surveillance accrue. Ils n’établissent ni la fréquence à laquelle les utilisateurs ont activé les réglages concernés, ni la quantité de données consultées par Muse, ni l’existence d’une compromission confirmée. Les conclusions relatives à l’adoption, à la sécurité et aux performances doivent donc être considérées avec prudence.

Ce que ce changement signifie pour les concepteurs et les entreprises

Pour les développeurs d’IA, l’annonce d’Apple augmente le coût du recours à de larges autorisations de bureau comme raccourci d’intégration. Un agent qui lit des bases de données locales, des espaces de messages, des sessions de navigateur ou des fichiers d’application peut offrir une expérience plus fluide, mais il hérite aussi des faiblesses de sécurité et de confidentialité de chaque source de données accessible.

Les concepteurs devront peut-être privilégier des connecteurs plus limités, une autorisation explicite par source, des journaux d’audit plus robustes et des explications plus claires sur ce qu’un agent peut lire et faire. Ces contrôles sont particulièrement importants lorsqu’un agent peut à la fois récupérer des informations et agir, par exemple envoyer des messages, modifier des enregistrements ou suivre des instructions présentes dans du contenu non fiable.

Les entreprises devraient considérer l’accès complet au disque comme un privilège à haut risque plutôt que comme une étape d’installation ordinaire. Les politiques de gestion des appareils devront peut-être limiter les applications pouvant le recevoir, tandis que les équipes de sécurité devraient surveiller les accès inattendus aux espaces de messages, aux données de navigation et aux fichiers sensibles. La question pratique n’est pas seulement de savoir si un agent est utile, mais si ses autorisations peuvent être limitées, révoquées et examinées.

La décision d’Apple pourrait également pousser les entreprises d’IA à séparer plus soigneusement les fonctionnalités du produit des privilèges du système d’exploitation. Si un connecteur Messages nécessite un accès complet au disque, les développeurs devront peut-être expliquer pourquoi et démontrer que cette autorisation est nécessaire. Cela pourrait ralentir le déploiement, mais aussi établir des frontières plus claires entre le flux de travail prévu d’un agent et les données auxquelles il peut techniquement accéder.

Les points à surveiller

Le suivi le plus important sera la spécification technique d’Apple. Il faudra voir si l’entreprise introduit un accès limité à certains périmètres, de nouveaux écrans de consentement, des droits d’application ou des restrictions sur l’utilisation de l’accès complet au disque par les agents d’IA et les autres outils de communication.

Les développeurs et les équipes de sécurité devront également surveiller les changements apportés au modèle d’autorisations de Muse, une documentation plus claire de Meta et tout test indépendant de l’intégration Messages de l’assistant. Un compte rendu confirmé des données auxquelles Muse peut accéder selon différentes combinaisons de réglages macOS et intégrés à l’application serait plus utile que de larges assurances sur le consentement.

D’autres signaux incluront la prise en charge de la gestion d’entreprise, le traitement des anciennes applications par Apple et l’adoption éventuelle de contrôles plus granulaires par d’autres fournisseurs de systèmes d’exploitation pour les logiciels agentiques. Le marché devrait favoriser les agents capables de démontrer un accès fondé sur le moindre privilège sans sacrifier les flux de travail essentiels.

Le point de vue de Creati.ai

L’annonce d’Apple révèle un décalage entre les autorisations traditionnelles des ordinateurs de bureau et les agents d’IA modernes. L’accès complet au disque était déjà puissant, mais un agent peut transformer cette autorisation en une interface utilisable en permanence pour les messages, les fichiers, les navigateurs et les systèmes d’entreprise. Un réglage qui semblait autrefois n’être qu’un détail technique d’installation définit désormais la limite opérationnelle effective d’un agent.

Le véritable test sera la mise en œuvre, et non l’avertissement lui-même. Les concepteurs ont besoin de systèmes d’autorisation compréhensibles pour les utilisateurs et gouvernables par les administrateurs, tandis que les entreprises doivent obtenir la preuve qu’un agent peut être utile sans recevoir un accès illimité à un appareil entier. Tant qu’Apple n’aura pas publié les mécanismes, la conclusion la plus prudente est que l’accès local étendu demeure un risque important pour les agents d’IA, même lorsqu’une application présente chaque intégration comme facultative.