Apple neemt maatregelen om macOS’ Full Disk Access strakker te begrenzen. De aanleiding is niet nieuw: zodra AI-agenten zelfstandiger worden, groeit het risico dat een instelling die bedoeld is voor legitieme diepe systeemtoegang, door apps of agenten oneerlijk of onduidelijk wordt misbruikt. Apple geeft daarbij aan dat gebruikers beter moeten begrijpen welke privacy- en beveiligingsimpact zo’n machtiging heeft.
In dit artikel leggen we uit wat Full Disk Access precies doet, waarom Apple het beleid aanscherpt en hoe organisaties en securityteams dit kunnen vertalen naar concrete maatregelen voor macOS-gebruik.
Wat is Full Disk Access op macOS?
Full Disk Access is een macOS-instelling die je vindt via Privacy & Security in de app Instellingen. Apple introduceerde de functie al in macOS Mojave (10.14). Met Full Disk Access kunnen gebruikers aangeven welke applicaties de volledige schijf mogen benaderen en daarmee gegevens kunnen lezen of schrijven die normaal afgeschermd zijn.
Volgens Apple is de setting bedoeld om gebruikers controle te geven over apps die daarvoor diepere toegang nodig hebben, bijvoorbeeld securitytools en backupsoftware. Denk aan toegang tot bestanden en data van applicaties zoals Mail, Messages, Safari en zelfs Time Machine-back-ups.
Waarom Full Disk Access een groter risico wordt door AI-agenten
Apple stelt dat Full Disk Access in de praktijk soms wordt gebruikt op een manier die gebruikers risico kan opleveren. Het gaat daarbij om situaties waarin een app (of AI-agent) zonder voldoende kennis of begrip van de gebruiker toegang krijgt tot bijna alles op het apparaat.
Apple noemt expliciet dat Full Disk Access kan betekenen dat een app gegevens kan benaderen zoals:
- bestanden op het systeem
- mail en berichten
- privacygevoelige communicatiegegevens
- zelfs browsinggeschiedenis
Daarnaast waarschuwt Apple dat bij communicatie-apps ook de privacy van mensen met wie gebruikers communiceren in het geding kan komen. Kortom: Full Disk Access is krachtig, en hoe autonome agenten worden, hoe groter de kans dat die kracht op een verkeerde manier wordt ingezet.
Wat Apple gaat veranderen: alleen met expliciete actie
Apple kondigt aan dat het de besturing rond Full Disk Access wil aanscherpen. Het doel is helder: toegang moet worden toegekend met een duidelijke, expliciete gebruikersactie. Apple geeft aan dat Full Disk Access in grote mate controles omzeilt die bedoeld zijn om gebruikersdata te beschermen.
Volgens Apple is niet bekend wanneer de nieuwe controls precies worden uitgerold. Wel benadrukt Apple dat gebruikers geïnformeerd moeten zijn voordat ze zulke hoge toegang verlenen.
Concreet: minder “automatische” of onduidelijke toestemming
De kern van de wijziging is dat Apple wil zorgen dat mensen niet alleen een dialoog bevestigen zonder volledig te begrijpen wat de instelling mogelijk maakt. Dat is extra belangrijk nu AI-agenten doelgerichter en zelfstandiger worden.
De link met Muse en agentische tools
Hoewel Apple geen specifieke app noemt, lijkt de aankondiging sterk te passen bij eerdere publiciteit over agentic tools. In een recent rapport zou een agent toegang hebben gekregen tot iMessages van een journalist nadat Full Disk Access was toegestaan.
Er is inmiddels ook verduidelijking gegeven: om in Muse privéberichten te kunnen lezen, moet de agent én Full Disk Access hebben én moet er een specifieke Messages-connector aan staan. Apple gebruikt deze context om de bredere boodschap te ondersteunen: rechten die “te groot” zijn voor een agent, kunnen privacygevoelige gegevens aantasten.
Waarom dubbele toestemming belangrijk is
De uitleg rond Muse laat zien dat macOS-machtigingen en applicatiespecifieke integraties samen bepalen wat er echt mogelijk is. Het is dus niet alleen de OS-instelling; de integratie-instellingen binnen de AI-tool spelen ook mee.
Dat inzicht is voor securityteams essentieel: zelfs als één laag van controle bestaat, kan de combinatie met een tweede laag alsnog leiden tot ongewenste toegang.
Not-a-mused en token-toegang: van proof-of-concept naar aandacht voor misbruik
De Apple-aankondiging komt bovendien weken nadat securityonderzoeker Patrick Wardle een proof-of-concept (PoC) demonstreerde voor een zero-day in Muse voor macOS. Daarbij gaat het om de app not-a-mused, een kwetsbaarheid die volgens Wardle het mogelijk maakt om via een lokale app of terminalcommando toegang te verkrijgen tot een token waarmee gebruikers authentiseren bij hun Muse-account.
De implicatie die Wardle schetst, is dat Muse door het type toegang dat het krijgt, mogelijk “meer” kan dan normale malware. Dat maakt de keten van privileges—en daarmee mogelijke misbruikscenario’s—extra aantrekkelijk voor aanvallers.
Specifiek noemde Wardle een niet-gedocumenteerde setting met de naam endo_voyager_dictation_endpoint. Daarmee zou een lokale aanvaller zonder speciale privileges dictation-audio en prompts kunnen:
- capturen
- kwaadaardige prompts injecteren
- en de toegekende toegang voor andere acties misbruiken
Deze bevindingen tonen volgens de bredere context hoe agentic tools meer kunnen doen dan “alleen maar lezen”: ze schrijven mogelijk bestanden weg op schijf, kunnen microfoon en camera aanspreken, kalendergebeurtenissen aanmaken, e-mails versturen en locatie kunnen monitoren.
Wat betekent dit voor organisaties met macOS en AI-agenten?
Als je binnen je organisatie AI-agenten op macOS gebruikt, is dit moment vooral een goed signaal om beleid en inrichting te herzien rond Full Disk Access.
Hier zijn praktische aandachtspunten die je kunt meenemen:
- Geef Full Disk Access alleen aan apps die het echt nodig hebben en herbeoordeel periodiek of dat nog steeds zo is.
- Werk met het principe van minimale toestemming: combineer OS-toestemmingen met interne configuraties, zodat er niet één “brede” machtiging overblijft die alles mogelijk maakt.
- Voorkom token-lekken en privilege misbruik door updates en patching strak op te volgen, vooral bij AI-apps die OS-integraties gebruiken.
- Train gebruikers op betekenis, niet alleen op klikken: leg uit welke data potentieel geraakt kan worden als Full Disk Access is ingeschakeld.
Ook helpt het om logging en monitoring te richten op ongebruikelijke acties vanuit agenten: denk aan onverwachte toegang tot berichten, wijzigingen aan bestanden of netwerkgedrag dat niet past bij het normale gebruik.
Als je wilt, kun je daarnaast ook kijken naar hoe “security fundamentals” en IAM/permissioning in de praktijk samenkomen—dat soort basiskeuzes blijft belangrijk, zelfs als AI de tempo maakt. Een vergelijkbare insteek vind je in Focus op security fundamentals: AI versnelt, basis blijft.
Extra aandacht: tokens, integraties en datastromen
Wat deze casus extra scherp maakt, is dat permissies niet alleen als “aan/uit” moeten worden bekeken. Integendeel: een AI-agent combineert meestal meerdere onderdelen—OS-toestemmingen, app-integraties en interne authenticatietokens—waardoor de totale impact groter kan zijn dan gebruikers verwachten.
Securityteams doen er daarom verstandig aan om datastromen in kaart te brengen. Welke data kan de agent ophalen? Welke data schrijft hij terug? En waar komt autorisatie tot stand?
Dat is ook relevant voor andere AI-gebruikssituaties. Bijvoorbeeld bij AI-gedreven aanvalspaden rond messaging en koppelingen zie je steeds vaker dat integraties en rechten in samenhang worden misbruikt; daarom blijft het belangrijk om integraties expliciet te configureren en te controleren.
Ter illustratie van hoe kwetsbaarheden rond toegangsrechten kunnen escaleren binnen bekende omgevingen, is het nuttig om ook dit soort patronen te herkennen bij andere platformen. Zie bijvoorbeeld Warlock en SharePoint: ransomware via webshell voor een blik op hoe toegang en misbruik elkaar kunnen versterken in gecompromitteerde systemen.
Wat kun je nu doen, voordat de nieuwe regels uitrollen?
Zelfs al is nog niet bekend wanneer Apple de strengere controls exact doorvoert, kun je nu al anticiperen. Richt je aanpak op twee lijnen: inrichting en governance.
1) Inrichting: maak machtigingen zichtbaar
Zorg dat je weet welke apps bij jullie Full Disk Access hebben. Leg vast waarvoor die apps toestemming vragen en wie ze beheert. Als je meerdere omgevingen hebt (bijvoorbeeld ontwikkeling, productie of werk/privé), zorg dan dat je machtigingen niet onnodig “mee verhuizen”.
2) Governance: maak toestemming onderdeel van beleid
Beschrijf wanneer Full Disk Access acceptabel is, welke uitzonderingen gelden en hoe je uitzonderingen intrekt. Voeg daarbij een proces voor evaluatie na updates: zodra een AI-agent nieuwe OS-integraties krijgt, kan het risico veranderen.
3) Gebruikerscommunicatie: begrijp wat er wordt gedeeld
Apple benadrukt dat gebruikers de risico’s moeten snappen voordat ze toegang verlenen. Daar sluit je interne communicatie op aan met korte, concrete uitleg: welke data kan mogelijk worden ingezien of beïnvloed?
Conclusie
Apple’s aankondiging laat zien dat macOS’ Full Disk Access niet “automatisch veilig” is zodra je het uitrolt voor AI-agenten. Juist omdat agenten autonomer worden, neemt de kans toe dat brede systeemtoegang onbedoeld of onvoldoende uitgelegd wordt gebruikt. De richting van Apple—strakker sturen op expliciete gebruikersactie—is daarmee een logische stap richting betere privacybescherming.
Voor organisaties is het advies eenvoudig maar belangrijk: minimaliseer machtigingen, controleer configuraties, houd apps en integraties up-to-date en maak toestemming begrijpelijk. Zo verklein je de kans dat een krachtige faciliteit zoals Full Disk Access verandert in een brede aanvalsvector voor datadiefstal of privacyverlies.
Bron: https://thehackernews.com/2026/10/apple-plans-tighter-macos-full-disk.html
