Apple zmienia uprawnienia pełnego dostępu do dysku, żeby ukrócić nadużycia agentów AI

👁 116 przeczytań

Jason Aten, kolumnista technologiczny, dostał powiadomienie od Muse - nowego agenta AI ogólnego przeznaczenia od Meta - które odwoływało się do rozmowy, którą właśnie przeprowadził ze współpracownikiem przez Apple Messages. Problem w tym, że Aten był przekonany, iż nigdy nie dał Muse żadnych uprawnień do czytania jego wiadomości. Zakładał, że są one poza zasięgiem aplikacji.

To jeden incydent, który opisany przez jednego dziennikarza zdołał wywołać lawinę. Social media w zeszłym tygodniu zawrzały od komentarzy: tysiące ludzi przyznało, że historia Atena idealnie wyraża ich obawy wobec asystentów AI, którym powierzamy dostęp do kalendarzy, skrzynek mailowych, historii zakupów i prywatnej korespondencji. Jedno z popularnych porównań brzmiało tak: asystent AI z szerokim dostępem do systemu to jak pilarka tarczowa - potencjalnie bardzo przydatna, ale zdolna do poważnych szkód, jeśli używana nieostrożnie.

Meta kontra użytkownik: spór o dwa przełączniki

W odpowiedzi na falę krytyki głos zabrał David Singleton, dyrektor ds. technicznych Meta. Jego replika na pierwszy rzut oka wyglądała solidnie. Wyjaśnił, że żeby Muse w ogóle mogło czytać Apple Messages, użytkownik musi samodzielnie włączyć dwa oddzielne ustawienia. Pierwsze to Full Disk Access - uprawnienie systemowe macOS, które daje aplikacji dostęp do całości plików na dysku. Drugie to ręczne włączenie tzw. łącznika Messages w ustawieniach samej aplikacji Muse.

„Integracja z Messages w aplikacji Muse na Maca jest dobrowolna. Twój Muse może czytać treść wiadomości wyłącznie wtedy, gdy macOS przyznał uprawnienie Full Disk Access na poziomie systemu i włączony jest łącznik Messages.”

- napisał Singleton. Przekaz był jasny: jeśli Muse czytało wiadomości Atena, to tylko dlatego, że dziennikarz włączył oba ustawienia i odpowiedzialność leży wyłącznie po jego stronie, nie Meta.

Tyle że ta argumentacja ma istotną lukę techniczną, na którą zwrócił uwagę Patrick Wardle, ekspert ds. bezpieczeństwa macOS. Wardle wyjaśnił to precyzyjnie: Full Disk Access to uprawnienie, które z technicznego punktu widzenia daje dostęp do każdego pliku niebędącego plikiem roota - historii przeglądarek, cookies, czatów i wszystkiego innego. Innymi słowy: aplikacja z FDA może czytać wiadomości bez żadnego dodatkowego łącznika, bo to uprawnienie systemowe otwiera te drzwi na oścież. Pytanie, które postawiłem publicznie Meta, było proste: jak Muse miałoby nie móc czytać wiadomości, skoro każda inna aplikacja z FDA może to robić? Odpowiedź działu PR Meta sprowadzała się do dosłownego zacytowania słów Singletona - bez żadnego dodatkowego wyjaśnienia technicznego.

Apple zabiera głos bez wymieniania nazw

Dwa tygodnie po artykule Atena i tydzień po internetowej burzy Apple opublikowało oficjalne oświadczenie zapowiadające zmiany w sposobie działania uprawnienia Full Disk Access. Firma nie wymieniła z nazwy ani Meta, ani Muse, ani żadnej innej aplikacji. Mimo to treść komunikatu trudno odczytać inaczej niż jako odpowiedź na konkretny incydent.

Apple napisało wprost:

„Niektórzy deweloperzy używają Full Disk Access w sposób, który może narażać użytkowników na ryzyko, ujawniając wszystko w ich systemach - pliki, pocztę, wiadomości, a nawet historię przeglądania - bez pełnej wiedzy i zrozumienia użytkowników. W przypadku aplikacji komunikacyjnych może to również naruszać prywatność osób, z którymi użytkownicy rozmawiają.”

Firma poszła dalej i wskazała kierunek, w którym będzie zmierzać zarządzanie tego rodzaju uprawnieniami w kontekście agentów AI:

„W miarę jak agenci AI stają się coraz bardziej zdolni i autonomiczni, ryzyko związane z tym poziomem dostępu będzie istotnie rosnąć. Zobowiązujemy się do zapewnienia użytkownikom jasnego zrozumienia tych zagrożeń przed przyznaniem takiego dostępu, aby mogli podejmować świadome decyzje dotyczące własnych danych i prywatności.”

Co konkretnie zmieni się w działaniu FDA - Apple nie sprecyzowało w piątkowym ogłoszeniu. Wiadomo, że firma zamierza przebudować sposób prezentowania tego uprawnienia użytkownikom, tak by ci rzeczywiście rozumieli, na co się zgadzają. Chodzi przede wszystkim o to, żeby komunikat nie był kolejnym okienkiem, przez które przeklika się w sekundę.

Timing, który mówi sam za siebie

Formalnie Apple nie przyznało, że chodzi o Muse. Nie ma też potwierdzonych doniesień o innych aplikacjach, które w podobny sposób nadużywały FDA do czytania prywatnych wiadomości czy historii przeglądarki. Można by więc przyjąć, że piątkowe ogłoszenie to zbieg okoliczności.

Trudno jednak ignorować, że Apple zabrało głos dokładnie dwa tygodnie po artykule Atena i kilka dni po tym, jak sprawa zdominowała media społecznościowe. Co ważniejsze, oświadczenie Apple jest sprzeczne z logiką zapewnień Singletona: jeśli Muse naprawdę nie mogło czytać wiadomości bez włączonego łącznika Messages, to po co Apple miałoby zmieniać uprawnienie FDA z powodu ryzyka nieautoryzowanego odczytu komunikatów? Samo postawienie tego pytania wystarczy, żeby odpowiedź Meta wydała się niepełna.

Historia jednego powiadomienia, które Aten dostał od nieznanego mu bliżej agenta AI, stała się punktem zapalnym dla całej dyskusji o tym, ile naprawdę kontroli oddajemy w ręce autonomicznych systemów - i czy firmy, które je tworzą, w ogóle chcą, żebyśmy zadawali sobie to pytanie przed kliknięciem „Zezwól”.