Discussion :

[Patrick Ruiz]

Apple modifie les autorisations d'accès à l'intégralité du disque dur sous macOS afin de limiter les abus commis par les agents d'IA
OpenAI n’est pas du même avis qu’Apple à propos de cette décision

Au cours de la première semaine de ce mois, Apple a officiellement annoncé un durcissement des autorisations d'accès complet au disque sur macOS. L’objectif : empêcher les agents d'intelligence artificielle (comme Muse de Meta) de scanner l'intégralité des données privées (e-mails, messages, historiques de navigation) à l'insu des utilisateurs ou sans une prise en compte explicite des risques de sécurité. OpenAI s’oppose à la décision qui, au passage, fait suite à de similaires dans la filière technologique.

Cette décision fait suite à des polémiques majeures impliquant l'agent d'IA « Muse » de Meta, lancé en septembre 2026

Le premier est le rapport Jason Aten sur la base de données iMessage. Le journaliste Jason Aten a découvert que Muse pour Mac lui proposait de rédiger un article basé sur une conversation privée qu'il venait d'avoir par SMS/iMessage avec son co-animateur de podcast, alors qu'il avait explicitement refusé l'accès à ses messages et au calendrier lors de la configuration.

En analysant les processus locaux de son Mac, le journaliste a découvert que l'application Muse était en train de synchroniser activement la base de données SQLite locale d'Apple Messages (chat.db) et en était déjà à la ligne 187 462.

Théoriquement, l'accès à ce fichier requiert l'activation manuelle de la permission système Accès complet au disque dans macOS. L'utilisateur a confirmé que cette option était désactivée.

Check 3 Mac permissions to see if Meta's Muse agent is allowed into your private messages Meta says it takes three: Full Disk Access, a Messages access level, a macOS confirm that restarts the app First one off, message options stay grayed out Journalist Jason Aten says his was off and Muse cited his messages anyway Neither side is independently verified. Meta itself counts 2 toggles or 3 steps The 3 steps ↓

— Joying.eth (@Joyingeth) October 1, 2026

On a ensuite la faille zero-day de contournement des permissions découverte par Patrick Wardle. Le chercheur en sécurité Patrick Wardle (fondateur d'Objective-See) a publié une vulnérabilité zero-day démontrant que Muse pouvait être détourné pour siphonner des données et des accès matériels (microphone, fichiers protégés) sans que l'OS ne redemande l'autorisation de l'utilisateur.

Muse dispose nativement de privilèges très élevés accordés par l'utilisateur (accès micro, caméra, localisation) pour accomplir ses tâches d'agent. Wardle a découvert que l'application Muse pour Mac n'implémentait pas de validation stricte sur ses fichiers de configuration locaux. N'importe quel script ou malware local (exécuté sans privilèges) pouvait modifier un paramètre non documenté nommé endo_voyager_dictation_endpoint.

En modifiant ce endpoint, le trafic audio de la dictée vocale de l'utilisateur était redirigé vers un serveur tiers contrôlé par un attaquant. Cela permettait non seulement d'écouter le micro, mais aussi de voler le jeton d'authentification de la session Muse de la victime. L'attaquant héritait alors de toutes les permissions préalablement accordées à Muse sur le système, contournant les protections TCC (Transparency, Consent, and Control) de macOS. Meta a corrigé cette faille en urgence fin septembre 2026.

Please don't install - it's trivial to turn Muse into the ultimate backdoor 💀👀 Ya, as an AI assistant built to manage your Mac, Muse needs broad access to your digital life. But serious 0-day flaw(s) can let local malware/attackers invisibly hijack it. Let me show you. 🧵

— Patrick Wardle (@patrickwardle) September 21, 2026

Le troisième cas est celui de la divulgation de données physiques et des actions non approuvées sur la place de marché de Meta. Un utilisateur (le créateur de contenu Matt J. Robb) a confié à l'agent Muse la tâche de vendre un clavier sur Facebook Marketplace. L'IA a pris l'initiative d'envoyer des informations sensibles sans validation humaine.

Contrairement aux promesses de Meta selon lesquelles l'agent requiert une confirmation systématique pour les actions sensibles, l'autonomie algorithmique de Muse a souffert d'un défaut au niveau du maintien des garde-fous.

L'agent a négocié et accepté un prix inférieur à celui souhaité par l'utilisateur, mais a surtout transmis l'adresse physique du domicile du vendeur à l'acheteur pour organiser un rendez-vous. L'acheteur s'est présenté au domicile alors que le vendeur était absent et n'avait jamais été notifié par l'application. Le système n'a pas déclenché de pop-up d'autorisation opt-in avant l'envoi de la chaîne de caractères contenant l'adresse géographique.

Update on letting muse run my Facebook Marketplace for a day. It gave out my home address. It agreed to a lowball price I never approved. And it didn't tell me any of this until after the guy had left (luckily I’m in an apartment with security) Meanwhile, this happened: https://t.co/kzO551dDyJ

— Matt Robb (@MattRobbt) September 28, 2026

Le problème structurel d’après Apple est que l’accès complet au disque est détourné par les développeurs d’intelligences artificielles

Apple estime que l'Accès complet au disque — une fonctionnalité initialement conçue pour les logiciels de sauvegarde (comme Time Machine) qui contourne les protections habituelles (« bac à sable » ou sandboxing) — est détourné par les développeurs d'IA. Avec la montée en autonomie des agents, cette autorisation devient un passe-partout trop dangereux. Apple va donc imposer des actions utilisateurs très explicites et des alertes plus transparentes.

Meta de son côté nie catégoriquement toute lecture abusive ou non autorisée. Par la voix de son porte-parole Andy Stone et de son CTO David Singleton, l'entreprise a précisé sur le réseau social X que l'intégration avec Apple Messages est strictement optionnelle (opt-in). Meta souligne néanmoins que, pour que Muse puisse lire les messages, l'utilisateur doit impérativement activer deux verrous distincts :

• L'accès complet au disque au niveau de macOS.
• Le connecteur spécifique "Messages" directement dans les réglages de Muse.

En filigrane, Meta rejette donc la faute sur une mauvaise compréhension des permissions par les utilisateurs.

La confrontation entre Apple et Meta met en lumière un débat technique et philosophique crucial chez les chercheurs en cybersécurité et les développeurs

Les experts en cybersécurité soulignent que les systèmes d'exploitation ont été bâtis pour des applications classiques (qui demandent une action précise pour une tâche précise). Les agents d'IA, par nature autonomes et itératifs, brisent ce modèle puisqu'ils doivent explorer, raisonner et agir de manière imprévisible sur l'ensemble du système.

Certains développeurs hors App Store expriment leur mécontentement face au verrouillage progressif de macOS. Ils craignent que la multiplication des barrières et des pop-ups de consentement ne nuise à l'expérience utilisateur et à l'innovation logicielle.

Les experts en sécurité (comme l'équipe d'Objective-See) rappellent que les agents d'IA sont souvent programmés de manière à exiger le contrôle total de la machine au lieu de demander des accès granulaires (fichier par fichier). Le débat se concentre sur la nécessité de concevoir des architectures d'IA respectant nativement le privilège minimum.

Face à la peur de voir des agents d'IA fouiller dans leurs machines principales, de nombreux utilisateurs et entreprises ont commencé à exécuter leurs agents d'IA sur des machines dédiées ou secondaires, ce qui a provoqué des pénuries matérielles notables (notamment sur les Mac Mini en 2026).

Source : Annonce d’Apple

Et vous ?

Comment en tant que développeur appréciez-vous le débat sur la nécessité ou pas de concevoir des architectures d'IA respectant nativement le privilège minimum ?
Comment en tant qu’utilisateur se prémunir dans une société dans laquelle on est appelés à se frotter de plus en plus d'outils similaires ?
Quelles approches préconisez-vous pour encadrer l'usage de tels outils ?

Voir aussi :

« C'est l'IA qui l'a fait » n'est pas un argument valable, affirme l'association poursuivant OpenAI après le piratage de Hugging Face, l'accusant de faire subir à d'autres les conséquences de ses décisions

Un environnement de test mal configuré chez la startup israélienne Irregular a permis à des agents IA de Meta, OpenAI et Anthropic d'accéder à Internet et de pirater de vraies organisations

Arthur Mensch, PDG de Mistral AI, accuse les grandes entreprises mondiales spécialisées dans l'IA d'utiliser le débat sur la sécurité de cette technologie pour masquer leur « négligence »

[Daïmanu]

Ils craignent que la multiplication des barrières et des pop-ups de consentement ne nuise à l'expérience utilisateur et à l'innovation logicielle.

L'innovation logicielle a bon dos, ça ne donne pas le droit de fouiller indûment et sans consentement de fouiller dans notre vie privée.

Je connais pas assez Mac OS, mais ça me surprend qu'il ait fallu attendre l'avènement des LLM locales pour mettre en place ce type de garde fou, sachant que d'autres logiciels étaient déjà notoirement connus pour fouiner dans les fichiers personnels (Chrome, Skype pour ne citer que les plus connus).