Apple anuncia pasos de aprobación más claros para el acceso total al disco en el Mac ante el riesgo creciente de los agentes de IA. El debate nació de una acusación contra el agente Muse de Meta.

Imagine una aplicación de Mac que conoce el contenido de mensajes privados que su usuario jura no haber compartido nunca; parece una película de espías, y sin embargo esa fue la afirmación que dominó el debate la semana pasada. El columnista Jason Aten escribió que el agente de IA Muse de Meta conocía sus charlas personales aunque, según dice, jamás dio permiso. Un agente de IA , en pocas palabras, es un programa que lee archivos, pulsa botones y actúa en nombre de su usuario. Meta rechazó la afirmación, pero la pregunta ya estaba planteada: ¿cuánto poder entregamos a los programas que actúan por nosotros?

Días después, Apple anunció nuevos controles alrededor del ajuste de macOS llamado acceso total al disco . Una vez activado, abre una puerta amplia pensada para que las copias de seguridad funcionen, con alcance a correos, mensajes e historial de navegación. Según la nota a desarrolladores, algunos fabricantes usan este permiso de formas que los usuarios no comprenden del todo. Apple dice que quien desee de verdad este acceso extraordinario solo podrá darlo con una acción muy explícita. El corazón de la medida es el consentimiento explícito : cada persona debe ver con claridad lo que autoriza.

Cómo un permiso de respaldo se volvió la llave de los agentes

La breve historia de los permisos del Mac muestra por qué este endurecimiento sorprende a pocos. En 2018, con Mojave, Apple lanzó su arquitectura de transparencia, consentimiento y control , conocida como TCC, que registra qué aplicación puede tocar el correo, los mensajes o las fotos. El acceso total al disco era su excepción: un pase que salta los controles para que los respaldos lleguen a cada archivo. Los agentes actuales se apoyan justo en esa excepción y entran a toda la casa con una sola llave. Ese marco histórico ilumina el debate actual, que trata de veinte años de diseño de permisos más que de una sola alarma.

En el caso de Muse, los dos relatos chocan de frente. Aten afirma que el conector de mensajes seguía apagado, mientras el directivo de Meta David Singleton defiende que la integración es voluntaria: leer mensajes exigiría tanto el acceso total al disco como el conector activado en la aplicación. La empresa insinúa así que el usuario giró la llave si la puerta estaba abierta. Los especialistas responden con el hecho técnico: cualquier programa con ese acceso ya puede leer cada archivo ordinario. Esta objeción recuerda que el permiso, una vez dado, ya no distingue los datos sensibles de los demás.

No es además la primera prueba de seguridad de las aplicaciones de IA en el Mac. La aplicación de ChatGPT para Mac fue criticada por guardar las charlas en texto claro, y varios investigadores advirtieron que un programa malicioso podría alcanzar esos archivos. El fallo no es entonces de una sola empresa, es arquitectónico: los agentes exigen un acceso amplio para trabajar, y ese acceso amplio amplifica cada error. Cada vulnerabilidad descubierta desde entonces confirma la misma lección: cuanto más ve el agente, más cuesta cada fallo.

Poder amplio, riesgo amplio: por qué los agentes son especiales

La inyección de instrucciones , cuando el agente toma un texto ajeno en pantalla por una orden del usuario y la ejecuta, es su forma más engañosa. En una ventana de diálogo, una frase hostil produce como mucho una mala respuesta; pero un agente que lee archivos y pulsa botones realiza operaciones reales cuando es engañado: mover archivos, enviar mensajes, ejecutar comandos. La capacidad llamada uso de la computadora entrega al modelo capturas de pantalla con el ratón y el teclado, lo que multiplica la superficie de ataque. Ningún sistema de producción debería por tanto apoyarse solo en el juicio del modelo, por resistente que parezca.

Pero hay un reverso: los controles estrictos pueden castigar a los desarrolladores honestos y a los usuarios avanzados. El comentarista John Gruber escribe que varias herramientas que usa a diario dependen de este acceso y quedarían limitadas con solicitudes repetidas. Para él, el problema no es el permiso en sí sino unas pantallas de aprobación vagas que nunca explican lo que una aplicación quiere. Si la respuesta de Apple preserva ese equilibrio, avanzará hacia el mínimo privilegio : dar a cada programa solo el acceso que su tarea necesita.