Apple pone notario a Full Disk Access por los agentes de IA, pero la llave sigue abriéndolo todo

El 2 de octubre Apple hizo algo que en esa casa casi no se ve: admitir por escrito que una de sus puertas abre demasiado. En una nota para desarrolladores reconoció que Full Disk Access, el Acceso total al disco de los Ajustes del Mac, "largely sidesteps" los controles que protegen tus datos privados. Existe para que funcionen las apps de copia de seguridad. Y hay desarrolladores que lo usan para dejar el sistema en cueros, con archivos, correo, mensajes e historial de navegación, sin que el usuario se entere del todo.

Luego viene la frase que se llevan los titulares. Apple escribe que, a medida que los agentes de IA sean más capaces y autónomos, los riesgos de ese nivel de acceso "will grow substantially". Y promete que quien quiera dar a una app ese acceso "extraordinary" solo podrá hacerlo con "very explicit user action". TechCrunch lo contó como un endurecimiento de los controles por culpa de los agentes. Suena a casero que esta vez hace los deberes, y en parte lo es.

Ponlo en un edificio y verás el marrón. Full Disk Access es la llave maestra que el casero hizo para los de la mudanza, que tienen que sacarlo todo y por eso necesitan abrirlo todo. Ahora esa misma llave la piden los asistentes que vienen a leerte el correo y a contestarte los mensajes. La solución de Apple es que la copia se firme ante notario. La llave sigue siendo la misma.

Donde dije "limitar", digo "consentir"

La primera grieta la abrió el propio titular. TechCrunch colgó una corrección al pie. Por un error editorial, la pieza decía que Apple estaba "limiting" los permisos. La autora la cambió para dejar claro que el cambio "reflects informed consent, but is not a new limit". No hay recorte ni cerradura nueva, solo un trámite más solemne, de esos que Hacienda te hace firmar para que no digas que no te avisaron.

Tampoco hay calendario: Apple no dijo cuándo llegarán los controles nuevos. No hay versión de macOS, ni beta, ni lista de qué cambia. Es la circular del casero que anuncia obras "en breve", sin decir cuándo ni qué se va a tocar.

Y la premisa cojea. A MacStories, lo de que Full Disk Access existe para los backups le pareció "nonsense". En su MacBook Pro, solo un puñado de las apps con ese permiso son de copias de seguridad. En la lista salen Alfred, Hazel, un juego de Apple Arcade y apps de la propia Apple, como Pixelmator Pro. El casero, vaya, también tiene copia.

El furgón blindado aparca en tu salón

El 20 de agosto OpenAI estrenó un plugin para que ChatGPT en el Mac busque, lea y envíe tus iMessage, SMS y RCS. Para funcionar necesita la llave gorda, Full Disk Access, y además los nombres de tus contactos y herramientas de automatización.

¿Y el cifrado de extremo a extremo? Protege el mensaje por el camino y en los servidores de Apple. Cuando llega a tu Mac se descifra y se guarda a pelo, en texto plano, en una base SQLite dentro de ~/Library/Messages/, que solo se abre con Full Disk Access. El cifrado es el furgón blindado: protege el dinero en la carretera, pero el dinero acaba contado encima de la mesa de tu salón. Full Disk Access es la llave del salón.

Y no existe la llave solo del salón. El permiso es un único interruptor: no se puede dar para Mensajes y negar para Mail, Safari o Time Machine. En la guía de Mac Hardening, ese interruptor abre Mail, Mensajes, los datos de Safari, los archivos protegidos de otros usuarios y las bases de datos de permisos del sistema.

La línea más fina de la nota de Apple va por otro lado. En las apps de comunicación, ese acceso también puede comprometer la privacidad de la gente con la que hablas. Tu prima te escribe a ti, no a ChatGPT. Y ella no ha firmado nada, ni ante notario ni sin él.

Tres pasos, un reinicio y la misma pelea

Lo curioso de la "very explicit user action" es que la ceremonia ya existe. El columnista de Inc. Jason Aten denunció que Muse, el agente de Meta, conocía el contenido de sus mensajes privados sin que él le hubiera dado permiso. David Singleton, de Meta Superintelligence Labs, respondió describiendo el ritual: tres pasos de permisos que, según él, ni un fallo de la app podría saltarse. En su versión, activar Full Disk Access te manda a los Ajustes de macOS a confirmarlo a mano y reinicia la app entera.

Aten sostiene que el permiso estaba apagado y cree que la vía fueron las notificaciones del Mac; Singleton responde que el agente se confundió al explicárselo. El caso ya lo contamos aquí. Pero fíjate en la forma de la pelea: con tres pasos y un reinicio, la discusión sigue siendo quién abrió qué y por dónde. Si Aten tuviera razón, el notario de Apple estaría vigilando la puerta equivocada.

Encima, el ritual ya es rutina. Cada vez más agentes de escritorio tratan lo de abrir Ajustes, Privacidad y seguridad, Acceso total al disco como un paso más de la instalación. Cualquiera que haya pulsado "Aceptar todas" en un banner de cookies sabe cómo acaban las ceremonias de consentimiento que se repiten: con el dedo yendo solo al botón.

La carta que llega después de firmar

Aquí está el giro que la nota de Apple no toca. Con una app de backup, el momento delicado es el clic: decides si te fías de quien se lleva la copia y ahí se cierra el trato. Con un agente, el clic es la entrada, no el final, porque después lee cosas que no ha escrito nadie de confianza y actúa por su cuenta.

Simon Willison, el que acuñó el término prompt injection, le puso nombre en junio de 2025: la "lethal trifecta". Son tres cosas: acceso a tus datos privados, exposición a contenido no fiable y capacidad de comunicarse hacia fuera. Si un agente las junta, un atacante puede engañarlo para que le envíe tus datos. En el edificio son la llave del cajón, un buzón donde cualquiera echa cartas y sellos para mandar las tuyas. La carta que, en nombre de tu jefe, te pide mandar lo del cajón a una dirección desconocida llega semanas después de que firmaras ante notario.

El plugin de Mensajes de ChatGPT junta las tres patas en un solo producto: lee conversaciones que escribe cualquiera con tu número y envía en tu nombre. OpenAI lo sabe, y su guía pide mantener la aprobación de cada envío en las conversaciones que puedan traer instrucciones engañosas. Y avisa de que la aprobación permanente te quita la última ocasión de revisar lo que ChatGPT manda como si fueras tú. Si una tarea programada puede desactivar esa barrera, eso está en disputa. TechTimes leyó que sí en la documentación de OpenAI. Implicator lee que ese fallo conocido deja el mensaje sin enviar.

Y hay cartas que ni siquiera necesitan engañar al modelo. El 25 de septiembre OpenAI documentó el parche de un fallo de su app para macOS, con crédito para Patrick Wardle, de Objective-See. En el relato de Wired, la app se fiaba de los procesos por su firma y por quién los había lanzado. Pero un intérprete de scripts de confianza tragaba entrada no fiable. Así, código local sin privilegios podía colarse en la cadena y usar capacidades de componentes de ChatGPT. Es colarse en la boda del brazo de un primo del novio.

Solo hay una prueba de concepto, sin víctimas ni robo identificado. Pero la app de confianza queda convertida en un trampolín hacia lo que el intruso no alcanza por sí solo. Cuantas más llaves tenga esa app, más vale el disfraz.

El búfalo, que ha puesto agentes a trabajar en serio, tiene una criba que aquí viene al pelo. Distingue lo que el sistema no deja hacer al agente de lo que solo se le ruega, porque el peligro anda en lo segundo. Pásale esa criba a un agente que ya tiene Full Disk Access. En la columna de lo que el sistema le impide leer no queda casi nada. Todo lo demás depende de que se porte bien. La nota de Apple hace más solemne la entrada en esa situación, pero no la cambia.

El fontanero vino con aprendices

¿Alguna vez le diste Full Disk Access a Terminal o a iTerm2 para que un script dejara de quejarse? La guía de Mac Hardening te pide que no lo dejes puesto, porque cualquier script o herramienta que lances desde esa terminal lo hereda. Incluido el agente de código que arrancas desde ahí.

En el repositorio de Claude Code hay prueba por escrito: un informe de fallo de febrero. Desde la app de escritorio, el agente no podía abrir ~/Library/Messages/chat.db aunque Claude.app tuviera el permiso. Su prueba de que el comando funcionaba: lanzado desde Terminal, sí leía la base de datos de Mensajes, porque Terminal tenía Full Disk Access y sus procesos hijos lo heredaban. Le diste una copia al fontanero el día que se atascó el desagüe, y ahora viene cada mañana con un aprendiz distinto.

Al revés también se lía: otro informe, de agosto, cuenta que dar el permiso a Claude.app no se lo da al binario del agente que lleva dentro. Ese binario tiene identidad propia ante TCC, el sistema de permisos de macOS. Y el arreglo manual que describe el usuario de febrero deja una entrada que no aparece en la lista de Ajustes. Solo se audita con sudo y sqlite3 contra la base de datos de TCC. Una copia de la llave que no sale en el inventario de la comunidad.

La guinda es que esa base de datos del sistema solo la puede leer un proceso que tenga Full Disk Access. Para ver quién tiene copia de la llave maestra, tu terminal necesita la llave maestra. Desinstalar una app tampoco borra siempre sus permisos. Y la nota de Apple no dice nada de las copias que ya circulan. Ni que las apps aprobadas vayan a volver a pedir permiso, ni que se revoque lo concedido, ni que lo nuevo valga hacia atrás.

Donde el casero tiene razón

Desmontar no es negarlo todo: Apple acierta en lo que más importa. Admite en público que hay quien usa su excepción para backups de forma que lo expone todo, y que con agentes el riesgo va a crecer mucho. Y recuerda que el daño alcanza a gente que nunca dio permiso. Hasta MacStories, que llama "nonsense" a lo de los backups, concede que las preocupaciones de Apple con los agentes "are well-founded". Mac Hardening lo dice más seco: es "the most over-granted permission on the Mac".

Y es un aviso para quien fabrica agentes. Si tu producto depende de Full Disk Access, está construido sobre una excepción que el dueño del edificio acaba de señalar con el dedo. MacStories teme justo lo contrario de lo que lamentamos aquí: que Apple acabe restringiendo qué apps pueden pedir el permiso y se lleve por delante utilidades de toda la vida. Ni en ese escenario la llave sería más pequeña. Habría menos copias, pero cada una seguiría abriendo el edificio entero.

Cambia tú la cerradura

El veredicto es diagnóstico de diez y receta de ventanilla. Lo que bajaría el riesgo de verdad es lo que la nota no anuncia: un permiso para una sola carpeta, un solo tipo de dato o una sola sesión. Si eso aparece en una beta de macOS, nos comemos el titular. Mientras tanto, la cerradura es cosa tuya:

1. Abre Ajustes del Sistema > Privacidad y seguridad > Acceso total al disco y pregunta a cada app de la lista para qué quiere tu salón.
2. Quítaselo a la terminal. Si un día lo necesitas, dáselo para esa tarea y retíralo al acabar.
3. Si quieres empezar de cero, sudo tccutil reset SystemPolicyAllFiles borra de golpe todas las decisiones de Full Disk Access. A tu app de backup tendrás que volver a dárselo.
4. Enciende el sandbox de tu agente de código y mira qué cierra de verdad.

Agente	¿Viene encendido?	Qué cierra	Qué deja leer
Claude Code	No: se activa con /sandbox	Escrituras fuera del proyecto y salida directa a la red	Casi toda la máquina, ~/.ssh incluido; sus herramientas de archivos y los servidores MCP van por fuera
Gemini CLI	No: hay que activarlo con -s o en ajustes	Escrituras fuera del proyecto, con el perfil por defecto	Casi todo lo demás
Codex CLI	Sí	Escrituras fuera del espacio de trabajo y red saliente	El material no lo detalla

El patrón: lo que más cierran es escribir fuera del proyecto, y algunos la salida a la red. Leer, en los dos que lo detallan, casi todo. Lo que tu agente lea en el Mac sigue dependiendo de las llaves que tenga la terminal desde la que lo lanzas. Hasta OpenAI, cuando bautizó el modo de Codex que quita todas las restricciones, lo llamó danger-full-access.

El búfalo no espera a Cupertino para esto: permisos los justos y frenos que no dependan de la buena voluntad del agente. La barra libre de acceso la reserva para examinar a un modelo dentro de una caja aislada y temporal, nunca para ponerlo a currar. Y prefiere que el encierro venga de serie, con un contenedor nuevo en cada ejecución, a fiarlo todo a acordarse de quitar el permiso al terminar.

El notario llegará cuando Apple diga. Las copias que ya repartiste duermen esta noche en llaveros ajenos.