Apple은 AI 에이전트 때문에 전체 디스크 접근 권한에 새 통제를 더하겠다고 했다. 버전도, 날짜도, 개발자 이름도 밝히지 않았다

Apple은 10월 2일 개발자들에게 짧은 공지를 냈다. 200단어가 안 되고, 버전 번호도 날짜도 API도 없다. 내용은 Mac에 있는 모든 것을 앱이 읽게 해 주는 macOS 권한, 전체 디스크 접근 권한에 통제를 더하겠다는 것이다. 내놓은 것은 이유 하나뿐이고, 그 이유는 AI 에이전트다.

일부 개발자는 사용자를 위험에 빠뜨릴 수 있는 방식으로 전체 디스크 접근 권한을 쓰고 있으며, 파일, 메일, 메시지, 심지어 브라우징 기록까지 시스템에 있는 모든 것을 사용자가 충분히 알고 이해하지 못한 상태로 노출시키고 있다. 커뮤니케이션 앱의 경우 이는 사용자가 대화하고 있는 상대의 프라이버시까지 훼손할 수 있다.

이것은 릴리스 노트가 아니다. 경고이고, 특정 에이전트 하나를 둘러싼 공개 논쟁이 벌어진 며칠 뒤에 나왔다.

예외로 작동하는 유일한 권한

macOS는 보통 데이터를 조각으로 나눠 묻는다. 서류 폴더, 연락처, 카메라, 화면을 쓰려는 앱은 각각 따로 확인을 받고, 시스템 프라이버시 데이터베이스에 기록되며, 항목별로 철회할 수 있다. 전체 디스크 접근 권한은 그 설계의 예외다. 시스템 설정에 있는 스위치 하나가, 항목별 확인이 지키려고 존재하는 보호 데이터를 앱에 한꺼번에 넘긴다. Apple은 2018년 macOS Mojave에서 이를 도입했고, 그 목적은 좁게 설명됐다. 백업 소프트웨어는 읽을 허가가 없는 디스크를 백업할 수 없다.

이 설계가 7년을 버틴 것은 이 권한을 요구하는 앱의 면면이 작고 심심했기 때문이다. 백업 도구, 디스크 유틸리티, 엔드포인트 보안 에이전트. 당신의 메일을 읽고, 답장을 초안 잡고, 파일을 뒤지고, 당신이 자리를 비운 동안 움직이는 에이전트는 똑같은 스위치를 원한다. 그 이유는 조금도 심심하지 않다.

나흘 전에 있었던 일

9월 28일 Inc. 칼럼니스트 Jason Aten은 Meta의 에이전트 Muse가 자기 Mac mini에서 메시지 데이터베이스를 특정 행 번호까지 동기화해 두고 있었다고 밝혔다. 설치 과정에서 메시지 접근을 거절했고, 전체 디스크 접근 권한은 꺼진 것으로 표시돼 있었다. 내용을 어떻게 알았느냐는 물음에 Muse는 알림 배너만 봤다고 답했다.

Meta는 이 설명에 반박했다. 커뮤니케이션 책임자 Andy Stone은 이 연동이 "전적으로 옵트인"이며 전체 디스크 접근 권한과 Muse의 메시지 커넥터 둘 다를 켜야 한다고 말했다.

이걸 하지 않으면 당신의 메시지를 읽을 수 없다. 그리고 언제든 철회할 수 있다.

Meta의 Superintelligence Labs를 이끄는 David Singleton은 에이전트가 내놓은 알림이라는 설명이 틀렸다는 점을 인정하면서도, 메시지를 읽는 데는 세 단계의 별개 허가가 필요하고 "Muse 앱에 버그가 있었더라도 macOS의 보호를 우회할 수는 없다"고 말했다.

양쪽 다 자기 쪽 절반에 대해서는 맞을 수 있다. Meta의 입장은 사용자가 열지 않으면 그 문은 열리지 않는다는 것이고, Aten의 입장은 자신은 열지 않았다는 것이다. 어느 당사자도 아닌 사람은 이를 가릴 수 없고, 바로 그게 핵심이다. 이 권한은 단일한 참/거짓 값이며, 사용자가 읽을 수 있는 로그도 없고, 범위도 없고, 만료도 없다. 에이전트가 접근 권한을 가진 것처럼 행동할 때, 그 주인에게는 가지고 있지 않다는 것을 증명할 방법이 없다.

Apple의 공지는 Meta를 언급하지 않고, 언급할 필요도 없다. Engadget은 OpenClaw와 Dots를 포함한 에이전트 데스크톱 클라이언트들이 같은 스위치를 으레 요구하고 있으며, 일부 사용자는 에이전트 전용 Mac을 따로 두고 돌리는 쪽으로 갔다고 전한다.

마찰은 범위가 아니다

찬찬히 읽으면 Apple이 약속하는 것은 더 좁은 문이 아니라 더 무거운 문이다. 약속은 "이 비범한 수준의 접근 권한을 진심으로 주고자 하는 사용자가 매우 명시적인 사용자 조작을 통해서만 그렇게 할 수 있도록 하는 추가 통제"다. 더 신중한 동의, 더 충분히 알려진 동의다. 에이전트가 대신 요구할 수 있는 범위가 좁혀진 권한이 아니다.

이 차이는 무겁다. 백업 도구와 자율 에이전트가 동일한 스위치를 요구하는 까닭은 macOS에 중간 항이 없기 때문이다. "메일은 읽어도 되지만 브라우징 기록은 안 됨"도 없고, 한 시간 뒤 끊기는 허가도 없고, 에이전트가 매번 다시 얻어야 하는 세션 단위 접근도 없다. 그것이 생기기 전까지, 확인 창을 늘리는 일은 "예"라고 말하는 비용만 높이고 "예"가 뜻하는 내용은 바꾸지 않는다. 경고 셋을 눌러 지나온 사용자는 여전히 전부를 넘긴 것이다. 자신이 주고받은 모든 대화의 상대편 절반까지 함께.

macOS 27 Golden Gate는 9월 14일에 출하되어 9월 28일 27.0.1에 이르렀다. 순리대로라면 그릇은 27.1이지만 Apple은 그것도, 다른 무엇도 밝히지 않았다. 변경이 도착했을 때의 시험은 그것이 어느 종류인지다. 더 큰 소리를 내는 대화상자라면, Apple이 눈치챘다는 사실을 에이전트 개발자들에게 알리는 데서 끝난다. 더 좁은 새 엔타이틀먼트 — 에이전트가 더 적게 요구할 수 있게 하고, 전부를 요구하는 일을 눈에 띄게 만드는 것 — 라면, 그들이 기대 온 스위치가 거둬지는 중이라는 뜻이 된다.

그때까지 존재하는 통제는 이미 존재했던 것뿐이다. 시스템 설정, 개인정보 보호 및 보안, 전체 디스크 접근 권한. 열쇠를 쥔 앱들의 목록이 거기 있고, 되돌려 받을 스위치도 거기 있다.

Sources: Apple Developer: Updates to Full Disk Access in macOS · TechCrunch: Apple says it's tightening macOS 'Full Disk Access' controls due to new risks from AI agents · AppleInsider: Apple moves to protect private Mac data from overreaching AI apps · Engadget: Apple sounds the alarm on AI agents and 'Full Disk Access' · Decrypt: Meta pushes back on claim that Muse AI read a user's messages without consent · AppleInsider: Meta Muse AI reportedly read Mac Messages without consent · Eclectic Light: Explainer — permissions, privacy and TCC · MacRumors: Apple releases macOS Golden Gate 27.0.1