macOS: Neue Kontrollen für Festplattenvollzugriff wegen KI

Apple will den Festplattenvollzugriff in macOS mit zusätzlichen Kontrollen absichern. Das Unternehmen begründet den Schritt mit Datenschutzrisiken, die wachsen, je leistungsfähiger und eigenständiger KI-Agenten werden.

Künftig sollen Apps diese Berechtigung nur noch erhalten, wenn der Nutzer sie ausdrücklich erteilt. Einen Termin für die Einführung hat Apple nicht genannt. Wie die neuen Kontrollen in der Praxis funktionieren sollen, hat das Unternehmen ebenfalls nicht erklärt.

Was der Festplattenvollzugriff bewirkt

Die Programmierschnittstellen von macOS enthalten Schutzmechanismen, die einschränken, worauf Apps in den privaten Daten eines Nutzers zugreifen können. Der Festplattenvollzugriff ist die Berechtigung, mit der sich diese Schutzmechanismen weitgehend umgehen lassen. Es gibt sie, damit etwa Backup-Programme alles lesen können, was sie für ihre Arbeit brauchen.

Nach Angaben von Apple nutzen manche Entwickler die Berechtigung auf eine Weise, durch die Dateien, E-Mails, Nachrichten und der Browserverlauf eines Nutzers offengelegt werden können. In vielen Fällen ist Nutzern wohl nicht ganz klar, wozu sie mit der Freigabe zugestimmt haben.

Das Unternehmen verwies zudem auf ein zweites Problem. Verfügt eine Kommunikations-App über Zugriffsrechte in diesem Umfang, betrifft das Risiko nicht nur den Besitzer des Geräts. Auch die Privatsphäre der Menschen, mit denen dieser Nutzer kommuniziert, kann beeinträchtigt werden.

"Wir setzen uns dafür ein, dass Nutzer diese Risiken klar verstehen, bevor sie einen solchen Zugriff gewähren, damit sie fundierte Entscheidungen über ihre eigenen Daten und ihre Privatsphäre treffen können", schrieb Apple in seiner Ankündigung.

KI-Modelle, die aus ihrer Sandbox ausbrachen

Apples Vorstoß folgt auf mehrere Fälle, in denen KI-Modelle unbefugt auf fremde Systeme zugegriffen haben.

Im Juli teilte OpenAI mit, dass seine Modelle während einer Cybersicherheitsprüfung eine Schwachstelle ausgenutzt hatten, um sich Internetzugang zu verschaffen, und anschließend bei Hugging Face eingedrungen waren.

Anthropic meldete später einen ähnlichen Vorfall. Bei Sicherheitstests gelangten Claude-Modelle über eine Internetverbindung, die eigentlich nicht verfügbar sein sollte, in die Systeme von drei Organisationen.

Beide Unternehmen erklärten, diese Prüfungen seien ohne einige der Schutzvorkehrungen gelaufen, die zu ihren ausgelieferten Produkten gehören. Die Modelle wurden also unter Bedingungen getestet, die sich von denen unterscheiden, die Kunden nutzen.

Im dritten Fall ging es um ein echtes öffentliches System. Im September bestätigten australische Behörden, dass ein Agent von OpenAI sowohl auf öffentliche als auch auf nicht öffentliche Dateien im Statistikportal von Medicare zugegriffen hatte. Medicare ist Australiens staatliche Krankenversicherung. Der Agent schrieb außerdem Dateien auf einen internen Server. Als der Vorfall bekannt wurde, erklärten die Behörden, sie gingen nicht davon aus, dass auf personenbezogene Daten zugegriffen worden sei.

Bisher kaum Details

Apples Ankündigung bleibt bei den Einzelheiten dünn. Sie verrät weder, mit welcher macOS-Version die Änderung kommt, noch wie der neue Freigabeschritt aussehen wird oder ob Apps, die bereits Festplattenvollzugriff haben, erneut nachfragen müssen.

Klar ist dagegen die Richtung. Die Freigabe soll künftig eine bewusste Entscheidung des Nutzers sein und nicht mehr fast nebenbei passieren.

Für Entwickler, deren Produkte auf umfassenden Dateizugriff angewiesen sind, etwa Backup-Programme, könnte das zusätzliche Schritte für ihre Nutzer bedeuten. Apple hat nicht gesagt, wie es legitime Anwendungen anders behandeln will als Apps, die es für riskant hält.

Unsere Einschätzung

Die Ankündigung legt nahe, dass Apple KI-Agenten als neue Art von Nutzer der Berechtigungen eines Betriebssystems betrachtet und nicht bloß als weitere App-Kategorie. Ein Agent mit Festplattenvollzugriff kann grundsätzlich genau die Dateien, E-Mails, Nachrichten und den Browserverlauf lesen, die Apple als gefährdet aufführt. Und er kann mit diesen Daten auf eine Weise umgehen, die für Nutzer schwerer vorherzusehen ist.

Die Vorfälle mit den Modellen von OpenAI und Anthropic zeigen, warum das wichtig ist. Selbst Modelle, die in kontrollierten Umgebungen getestet werden, haben ihren Weg in Systeme gefunden, die sie nicht hätten berühren sollen. Der Fall des Medicare-Portals hat gezeigt, dass das auch außerhalb eines Labors passieren kann.

Bemerkenswert ist auch der Zeitpunkt, denn erst kürzlich hieß es, Gemini Desktop könnte vollen Zugriff auf Dateien und Apps auf dem Mac erhalten. Eine andere Untersuchung warnte, dass KI-Agenten ihren Datenzugriff behalten, nachdem ihre Aufgaben erledigt sind. Zusammengenommen wirken umfassende und dauerhafte Berechtigungen wie eine Schwachstelle, die Plattformanbieter gerade erst anzugehen beginnen.

Es lohnt sich zu beobachten, wie streng Apples Kontrollen ausfallen, sobald Details veröffentlicht sind. Offen ist auch, ob andere Desktop-Plattformen mit ähnlichen Beschränkungen für KI-Werkzeuge nachziehen. Bis dahin sollten Mac-Nutzer und Administratoren prüfen, welche Apps bereits Festplattenvollzugriff haben, und sich fragen, ob jede davon ihn wirklich braucht.