Apple verschärft die Kontrollen für den Vollzugriff auf die Festplatte unter macOS für KI-Agenten

Apple hat Pläne angekündigt, die Sicherheitskontrollen rund um die Berechtigung „Vollzugriff auf die Festplatte“ (Full Disk Access) unter macOS zu verschärfen. Das Unternehmen begründet dies mit den wachsenden Risiken, die von autonomen künstlichen Intelligenz-Agenten ausgehen. Diese Maßnahme ist eine Reaktion auf jüngste Vorfälle, bei denen KI-Tools auf private Nutzerdaten zugegriffen haben. Apple möchte sicherstellen, dass Nutzer die Implikationen der Gewährung solcher weitreichenden Systemberechtigungen explizit verstehen.

Was passiert ist

Apple erklärte, dass einige Entwickler den Vollzugriff auf die Festplatte auf eine Weise nutzen, die Nutzer erheblichen Datenschutzrisiken aussetzt. Diese Berechtigung ermöglicht es Anwendungen, nahezu jeden Teil des Systems zu lesen und zu beschreiben, einschließlich Dateien, E-Mails, Nachrichten und Browserverläufen – oft ohne dass der Nutzer das volle Ausmaß dieser Offenlegung versteht. Bei Kommunikations-Apps kann dieser breite Zugriff auch die Privatsphäre Dritter gefährden, die mit dem Nutzer kommunizieren.

Die Ankündigung scheint eine direkte Reaktion auf Berichte im Zusammenhang mit Metas Muse zu sein, einem agentischen Tool, das nach der Gewährung des Vollzugriffs auf die Festplatte auf private iMessages eines Journalisten zugriff. Während Meta klarstellte, dass die Integration von Messages opt-in ist und sowohl Systemzugriff als auch eine interne Connector-Einstellung erfordert, verdeutlichte der Vorfall, wie leicht sensible Daten exponiert werden können, wenn leistungsstarke KI-Agenten tiefgreifende Systemberechtigungen erhalten. Apple betonte, dass mit zunehmender Leistungsfähigkeit und Autonomie von KI-Agenten auch die Risiken dieses Zugriffslevels erheblich steigen werden.

Zusätzlich zum Meta-Vorfall demonstrierte der Sicherheitsforscher Patrick Wardle kürzlich Schwachstellen in populären KI-Anwendungen. Er enthüllte einen Zero-Day-Exploit in der Mac-App von Muse, genannt „not-a-mused“, der es jedem lokalen Prozess oder Terminal-Befehl ermöglichte, auf das Authentifizierungstoken des Muse-Kontos eines Nutzers zuzugreifen. Obwohl gepatcht, zeigte die Schwachstelle, wie ein nicht privilegierter lokaler Prozess Diktat-Traffic umleiten und das Vertrauen missbrauchen konnte, das der App entgegengebracht wird. Wardle meldete zudem CVE-2026-100754, eine Schwachstelle in der ChatGPT-Mac-App von OpenAI, die Angreifern hätte ermöglichen können, die Assistenz zu übernehmen und auf Chat-Protokolle zuzugreifen.

Wie es funktioniert

Der Vollzugriff auf die Festplatte wurde mit macOS Mojave (Version 10.14) eingeführt, um Nutzern die Kontrolle darüber zu geben, welche Anwendungen Standard-Sandboxing-Einschränkungen umgehen dürfen. Wenn aktiviert, kann eine App Systemdateien sowie Daten von geschützten Apps wie Mail, Messages, Safari und Time Machine-Backups lesen und ändern. Dieses Zugriffslevel ist für legitime Dienstprogramme wie Backup-Software, Antiviren-Tools und Systemmonitore unerlässlich, die über das gesamte Dateisystem hinweg operieren müssen.

Diese Berechtigung umgeht jedoch effektiv viele der integrierten Datenschutzmechanismen des Betriebssystems. Apple plant, den Mechanismus so zu aktualisieren, dass die Gewährung des Vollzugriffs auf die Festplatte eine explizitere und informierte Nutzeraktion erfordert. Das Ziel ist es, Szenarien zu verhindern, in denen Nutzer versehentlich umfassende Berechtigungen an KI-Agenten vergeben, die möglicherweise keinen so breiten Zugriff benötigen, um zu funktionieren. Dadurch soll die Angriffsfläche für potenzielle Exploits reduziert werden.

Wichtige Details

• Apple plant, die Kontrollen für den Vollzugriff auf die Festplatte so zu aktualisieren, dass für die Vergabe von Berechtigungen eine explizite Nutzeraktion erforderlich ist.
• Die Änderung adressiert Risiken durch KI-Agenten, die auf Dateien, E-Mails, Nachrichten und Browserverläufe zugreifen können.
• Das Tool Muse von Meta hatte zuvor nach Erhalt des Vollzugriffs auf die Festplatte und Aktivierung eines internen Connectors auf private iMessages zugegriffen.
• Der Sicherheitsforscher Patrick Wardle fand eine Zero-Day-Schwachstelle in Muse namens „not-a-mused“, die Authentifizierungstokens offenlegte.
• Wardle identifizierte zudem CVE-2026-100754 in der ChatGPT-Mac-App von OpenAI, die unbefugten Zugriff auf Chat-Protokolle ermöglichen könnte.
• Der Zeitplan für die Einführung der neuen macOS-Kontrollen wurde noch nicht bekannt gegeben.

Warum das wichtig ist

Für Software-Ingenieure und technische Gründer, die KI-gestützte Desktop-Anwendungen entwickeln, signalisiert diese Verschiebung ein strengeres regulatorisches und plattformspezifisches Umfeld für den Datenzugriff. Das Verlassen auf den Vollzugriff auf die Festplatte als Abkürzung für die Datenaufnahme oder Kontextsammlung wird wahrscheinlich auf höhere Hürden stoßen – sowohl vom Betriebssystem als auch von den Nutzern. Entwickler müssen nun tiefgreifende Systemzugriffe rigoroser rechtfertigen und ihre Agenten so gestalten, dass sie nur die minimal notwendigen Berechtigungen anfordern, im Einklang mit dem Prinzip der geringsten Rechte (Least Privilege).

Die in Muse und ChatGPT gefundenen Schwachstellen verdeutlichen, dass KI-Agenten lohnende Ziele für Angreifer sind. Da diese Agenten oft über breite Fähigkeiten verfügen – wie das Senden von E-Mails, der Zugriff auf Mikrofone oder die Änderung von Kalendern –, kann eine einzelne Schwachstelle zu unverhältnismäßig großen Schäden führen. Sicherheitsteams müssen KI-Integrationen mit derselben Sorgfalt behandeln wie Kernsystemkomponenten und sicherstellen, dass Authentifizierungstokens und Datenpipelines gegen lokale Privilegien-Eskalationsangriffe gehärtet sind.

Was Sie tun können

• Prüfen Sie die Berechtigungsanfragen Ihrer Anwendung, um sicherzustellen, dass der Vollzugriff auf die Festplatte nur dann verwendet wird, wenn er absolut notwendig ist.
• Implementieren Sie granulare Berechtigungsprüfungen innerhalb Ihres KI-Agenten, anstatt sich ausschließlich auf pauschalen OS-Level-Zugriff zu verlassen.
• Überprüfen Sie Authentifizierungsabläufe für KI-Dienste, um Token-Lecks durch lokale Exploits oder undokumentierte Einstellungen zu verhindern.
• Informieren Sie Nutzer klar darüber, auf welche Daten ihr KI-Agent zugreift und warum, und vermeiden Sie vage oder irreführende Berechtigungs-Prompts.
• Beobachten Sie Sicherheitshinweise im Zusammenhang mit den KI-Frameworks und Bibliotheken, die Sie verwenden, insbesondere solche, die mit macOS-APIs interagieren.
• Bereiten Sie sich auf kommende macOS-Updates vor, indem Sie testen, wie sich Ihre Anwendung unter strengeren Workflow-Prozessen zur Berechtigungsvergabe verhält.