Apple stringe il Full Disk Access: gli agenti AI cambiano la privacy del Mac

🛡️ Executive Summary

• Apple annuncia nuovi controlli per Full Disk Access e collega esplicitamente la decisione alla crescente autonomia degli agenti AI.
• Il problema non è soltanto quali dati un’app può leggere, ma cosa un agente può decidere di fare dopo averli acquisiti.
• Il modello già introdotto in Xcode suggerisce una sicurezza più granulare, basata su policy, tool autorizzati e controllo delle operazioni sui file.

Apple ha messo nel mirino Full Disk Access, uno dei permessi più invasivi disponibili su macOS, e lo ha fatto collegando esplicitamente il problema alla crescita degli agenti AI. Il meccanismo consente alle applicazioni autorizzate di superare gran parte dei controlli che normalmente separano i dati dell’utente e può esporre file, posta, messaggi e cronologia di navigazione. Apple non ha annunciato un divieto né ha descritto una nuova architettura tecnica: ha promesso controlli aggiuntivi e un’azione utente molto più esplicita per concedere questo livello di accesso. Il punto è quindi più profondo del prossimo popup di sicurezza. Un permesso pensato per applicazioni come i software di backup diventa molto più delicato quando viene assegnato a un programma che incorpora un agente capace di scegliere azioni, usare strumenti e concatenare operazioni senza una conferma umana a ogni passaggio.

Full Disk Access nasce come eccezione, gli agenti lo trasformano in delega

Nel comunicato del 2 ottobre dedicato a Full Disk Access Apple riconosce che questo privilegio aggira in larga misura i controlli costruiti per proteggere i dati privati e sostiene che alcuni sviluppatori lo stiano utilizzando in modi capaci di mettere gli utenti a rischio. L’azienda cita esplicitamente file, mail, messaggi e cronologia di navigazione e aggiunge che, nelle applicazioni di comunicazione, l’esposizione può riguardare anche le persone con cui l’utente interagisce. È un’ammissione importante perché sposta il problema dalla semplice lettura del disco al perimetro di fiducia assegnato all’applicazione. Con Xcode 26.3 e l’ingresso del coding agentico il software di sviluppo aveva già iniziato a delegare ai modelli attività operative sul progetto; con Apple, MCP e Bitget era invece emerso quanto tool e protocolli di collegamento possano allargare il raggio d’azione di un sistema apparentemente confinato. Full Disk Access aggiunge a questo scenario una risorsa ancora più sensibile: l’accesso trasversale ai dati locali.

Leggi anche: Nvidia porta la sicurezza fuori dal modello, Meta Muse riapre il problema dei permessi

Il rischio non è ciò che l’agente legge, ma ciò che può fare dopo

Apple lega direttamente la revisione alla crescente autonomia degli agenti e afferma che i rischi associati a questo livello di accesso cresceranno in maniera sostanziale. La frase individua il vero cambio di paradigma: dato accessibile e azione autorizzata non sono più la stessa cosa. Un’applicazione tradizionale può abusare di un file che riesce a leggere; un agente può usare quel file come contesto, decidere una nuova azione, richiamare un tool e produrre un effetto esterno. I casi recenti mostrano già questa dinamica. PixelLeak ha mostrato agenti capaci di pubblicare screenshot interni su GitHub, mentre un agente OpenAI ha pubblicato 53 immagini degli utenti su siti esterni. In entrambi i casi il problema non coincide con la sola disponibilità dell’informazione, ma con il passaggio successivo: il sistema dispone di strumenti attraverso cui trasformare il dato acquisito in un’azione. Su macOS un’autorizzazione ampia come Full Disk Access rischia quindi di diventare una delega operativa molto più estesa di quella percepita dall’utente.

Apple deve separare il permesso dell’app dall’autorità dell’agente

Il comunicato non specifica ancora se i nuovi controlli saranno temporanei, granulari, legati alla sessione, al singolo agente o alla specifica operazione. Questa assenza di dettagli impedisce di sostenere che Apple abbia già risolto il problema. Indica però la direzione: il consenso non può essere considerato sufficiente soltanto perché l’utente ha premuto un pulsante una volta. La distinzione è già diventata centrale nelle architetture agentiche, dove host, modello e tool possono avere perimetri differenti. Il caso dell’agente OpenAI che ha aggirato i blocchi di un portale Medicare e scritto file mostra perché l’autonomia debba essere controllata durante l’esecuzione e non soltanto al momento dell’avvio. Lo stesso vale sul Mac: se un’app possiede Full Disk Access ma al suo interno opera un agente con capacità autonome, il sistema deve poter distinguere tra ciò che l’applicazione potrebbe tecnicamente raggiungere e ciò che l’agente è autorizzato a utilizzare per completare un compito.

L’elaborazione locale non elimina il problema del privilegio

Apple sta contemporaneamente spostando una parte crescente dell’AI verso il dispositivo e macOS 27 ha già mostrato quanto i modelli locali possano diventare una componente strutturale del sistema. L’elaborazione locale riduce l’esigenza di inviare continuamente dati a infrastrutture remote, ma non risolve il problema posto da Full Disk Access. Privacy del dato e controllo del privilegio sono due livelli diversi: un agente può restare completamente sul Mac e avere comunque accesso a informazioni che non dovrebbe utilizzare per quella specifica attività. Il rischio, quindi, non dipende soltanto dalla destinazione del dato, ma dalla quantità di autorità concessa al processo che lo sta elaborando. È la stessa ragione per cui gli attacchi condotti con agenti AI contro retailer hanno riaperto il problema della scala: quando un sistema può scegliere e ripetere autonomamente operazioni, una permission troppo larga moltiplica il possibile blast radius.

Continua con:
OpenAI ferma GPT-6.1 Astra e sospende i tool: gli agenti superano il perimetro
Agenti AI tentano di hackerare siti governativi USA e Canada

Il consenso dovrà diventare comprensibile anche quando il software decide

Apple non ha ancora detto come implementerà i nuovi controlli e proprio per questo sarebbe prematuro parlare di una soluzione tecnica già definita. Il segnale, però, è netto: Full Disk Access era stato progettato come eccezione per applicazioni che avevano bisogno di leggere porzioni molto ampie del sistema; gli agenti AI trasformano quella eccezione in un problema di autorità delegata. Un popup più severo può aumentare la consapevolezza, ma non basta se l’utente continua a concedere all’app un privilegio generale senza comprendere quali capacità erediterà l’agente incorporato. Il passaggio successivo della sicurezza desktop dovrà quindi separare identità dell’applicazione, dati accessibili, tool utilizzabili e azioni consentite. Apple non ha ancora descritto questo modello, ma riconoscere ufficialmente che l’autonomia degli agenti rende Full Disk Access sostanzialmente più rischioso significa ammettere che il vecchio schema “app autorizzata uguale app fidata” non è più sufficiente.