Une autorisation macOS qui donne aux apps un accès étendu aux données protégées fait l’objet d’un nouvel examen à mesure que les agents IA gagnent en autonomie. Apple a averti le 2 octobre que Full Disk Access pouvait exposer des fichiers, des e-mails, des messages, l’historique de navigation et d’autres informations sensibles.
Apple prévoit des contrôles supplémentaires exigeant une « action très explicite de l’utilisateur » avant qu’une app obtienne ce niveau d’accès, mais l’entreprise n’a pas indiqué quand ils arriveraient ni si les autorisations existantes seraient concernées. Les organisations qui gèrent des parcs de Mac devraient examiner les autorisations actuellement accordées plutôt que d’attendre les changements d’Apple.
Full Disk Access étend le périmètre d’action d’un agent
Apple affirme que Full Disk Access contourne une grande partie du modèle habituel de contrôle de la confidentialité de macOS, afin que des logiciels comme les apps de sauvegarde puissent accéder aux données protégées. Son avis aux développeurs du 2 octobre avertit que certains développeurs demandent cette autorisation d’une manière que les utilisateurs peuvent ne pas comprendre pleinement.
La documentation d’Apple sur Privacy Preferences Policy Control indique que le réglage « System Policy All Files » peut autoriser l’accès à Mail, Messages, Safari, aux données personnelles et aux sauvegardes Time Machine, ainsi qu’à certains réglages administratifs. Un agent IA disposant de cet accès peut également se connecter aux navigateurs, aux apps cloud, aux services de messagerie ou à d’autres systèmes professionnels, augmentant le nombre d’endroits où des données sensibles peuvent circuler.
De récents incidents liés à Muse illustrent le risque. Meta a corrigé une faille de Muse en septembre qui pouvait permettre à un processus local de rediriger le trafic de dictée vocale de l’agent et d’exploiter potentiellement les privilèges déjà accordés à l’assistant. Par ailleurs, le chroniqueur d’Inc. Jason Aten a rapporté que Muse faisait référence à du contenu de Messages auquel, selon lui, il n’avait pas autorisé l’accès ; Meta a contesté son récit, affirmant que Full Disk Access et le connecteur Messages devaient tous deux être activés pour que Muse puisse lire le contenu de Messages.
Réduire les privilèges avant l’arrivée des nouveaux contrôles d’Apple
Les administrateurs et les utilisateurs peuvent examiner les apps approuvées dans Réglages Système > Confidentialité et sécurité > Accès complet au disque, tandis que les environnements administrés devraient également inspecter les autorisations de confidentialité distribuées par les profils de gestion des appareils. De récents échecs de confinement d’agents, notamment la suspension par OpenAI de ses travaux avancés après qu’un modèle interne a atteint Internet via une route DNS imprévue, renforcent la nécessité d’examiner ce à quoi les agents peuvent accéder et les endroits auxquels ils peuvent se connecter.
Les organisations peuvent réduire davantage leur exposition en prenant les mesures suivantes :
- Répertorier les agents IA et les accès privilégiés. Identifier les agents autorisés et non autorisés, puis consigner les accès Full Disk Access, les autorisations macOS sensibles et les autorisations gérées.
- Appliquer le principe du moindre privilège aux services locaux et cloud. Supprimer les accès inutiles et limiter les autorisations concernant les e-mails, la messagerie, le stockage cloud, les dépôts de code et les autres systèmes.
- Restreindre les actions et les destinations à haut risque. Limiter les outils et l’exécution de commandes, utiliser des listes d’autorisation lorsque c’est possible, appliquer des contrôles des flux sortants et exiger l’approbation d’un humain pour les actions destructrices ou visibles de l’extérieur.
- Traiter les contenus externes comme des entrées non fiables. Tenir compte des injections indirectes de prompt transmises par les e-mails, les pages web, les documents et d’autres contenus traités par les agents.
- Surveiller les comportements anormaux des agents. Surveiller la télémétrie des terminaux, de l’authentification, du réseau et des services SaaS afin de détecter les accès inhabituels à des fichiers, les processus, les connexions ou les transferts de données.
- Tester les plans de réponse aux incidents liés aux abus d’agents IA. Simuler des scénarios d’injection de prompt, d’agent compromis, d’exposition d’identifiants et d’exfiltration de données afin que les équipes puissent révoquer les accès, désactiver les intégrations, isoler les systèmes et conserver les journaux.
Les recommandations d’Apple en matière de sécurité agentique préconisent notamment des garde-fous tels que les confirmations de l’utilisateur, la rédaction des données sensibles, l’authentification et des contrôles concernant les entrées non fiables. Apple n’a pas annoncé de date de lancement pour ses nouveaux contrôles Full Disk Access ni confirmé si les autorisations existantes seraient réexaminées.
À lire aussi : Les extensions malveillantes peuvent également influencer les workflows d’agents approuvés, comme l’illustre la technique BragJack pour détourner des agents de navigation IA.