Apple annonce des étapes d'approbation plus claires pour l'accès total au disque sur Mac, face au risque croissant des agents IA. Le débat est né d'une accusation visant l'agent Muse de Meta.

Imaginez une application Mac qui connaît le contenu de messages privés que son utilisateur jure ne jamais avoir partagés ; on dirait un film d'espionnage, et pourtant c'est exactement l'affirmation qui a dominé le débat la semaine dernière. Le chroniqueur Jason Aten a écrit que l' agent IA Muse de Meta connaissait ses échanges personnels alors que, dit-il, il n'avait jamais donné son accord. Un agent IA , en bref, est un logiciel qui lit des fichiers, clique sur des boutons et agit au nom de son utilisateur. Meta a rejeté l'affirmation, mais la question était posée : quel pouvoir confions-nous vraiment aux programmes qui agissent pour nous ?

Quelques jours plus tard, Apple a annoncé de nouveaux contrôles autour du réglage macOS appelé accès total au disque . Une fois activé, il ouvre une large porte conçue pour les outils de sauvegarde, avec accès aux courriels, aux messages et à l'historique de navigation. Selon la note aux développeurs, certains éditeurs utilisent cette permission d'une manière que les utilisateurs ne comprennent pas pleinement. Apple affirme que ceux qui souhaitent vraiment cet accès extraordinaire ne pourront l'accorder que par une action très explicite. Le cœur de la mesure, c'est le consentement explicite : chacun doit voir clairement ce qu'il autorise.

Comment une permission de sauvegarde est devenue le passe des agents

La courte histoire des permissions du Mac montre pourquoi ce durcissement surprend peu. En 2018, avec Mojave, Apple a déployé son architecture de transparence, consentement et contrôle , dite TCC, qui enregistre quelle application peut toucher au courrier, aux messages ou aux photos. L'accès total au disque en était l'exception : un laissez-passer qui contourne les contrôles pour que les sauvegardes atteignent chaque fichier. Les agents actuels s'appuient précisément sur cette exception et entrent dans toute la maison avec une seule clé. Ce cadre historique éclaire le débat actuel, qui porte sur vingt ans de conception des permissions plutôt que sur une seule alerte.

Dans l'affaire Muse, les deux récits s'opposent frontalement. Aten affirme que le connecteur de messages restait coupé, tandis que le dirigeant de Meta David Singleton soutient que l'intégration est volontaire : lire les messages exigerait à la fois l'accès total au disque et le connecteur activé dans l'application. L'entreprise suggère donc que l'utilisateur a tourné la clé si la porte était ouverte. Les spécialistes répondent par le fait technique : tout programme qui détient cet accès peut déjà lire chaque fichier ordinaire. Cette objection rappelle que la permission, une fois donnée, ne distingue plus les données sensibles des autres.

Ce n'est d'ailleurs pas le premier test de sécurité des applications IA sur Mac. L'application Mac de ChatGPT avait été critiquée pour stocker les échanges en clair, et des chercheurs avaient averti qu'un logiciel malveillant pourrait atteindre ces fichiers. La faille n'est donc pas celle d'une seule entreprise, elle est architecturale : les agents exigent un accès large pour travailler, et cet accès large amplifie chaque défaut. Chaque vulnérabilité découverte depuis confirme la même leçon : plus l'agent voit, plus chaque erreur coûte cher.

Pouvoir large, risque large : pourquoi les agents menacent plus

L' injection d'instructions , quand l'agent prend un texte étranger à l'écran pour un ordre de l'utilisateur et l'exécute, en est la forme la plus sournoise. Dans une fenêtre de dialogue, une phrase hostile produit au pire une mauvaise réponse ; mais un agent qui lit des fichiers et presse des boutons accomplit des opérations réelles quand il est trompé : déplacer des fichiers, envoyer des messages, lancer des commandes. La capacité dite d' utilisation de l'ordinateur confie au modèle des captures d'écran avec la souris et le clavier, ce qui multiplie la surface d'attaque. Aucun système de production ne devrait donc reposer sur le seul jugement du modèle, aussi résistant qu'il paraisse.

Mais il y a un revers : des contrôles stricts peuvent pénaliser les développeurs honnêtes et les utilisateurs avancés. Le commentateur John Gruber écrit que plusieurs outils qu'il utilise chaque jour dépendent de cet accès et seraient handicapés par des demandes répétées. Pour lui, le problème n'est pas la permission elle-même mais des écrans d'approbation vagues qui n'expliquent jamais ce qu'une application veut. Si la réponse d'Apple préserve cet équilibre, elle avancera vers le moindre privilège : n'accorder à chaque programme que l'accès dont sa tâche a besoin.