Il y a deux semaines, le chroniqueur tech Jason Aten a reçu une notification impromptue émise par Muse, le nouvel agent d’intelligence artificielle généraliste de Meta. L’alerte citait mot pour mot un échange privé qu’il avait eu avec un collègue sur Apple Messages. Aten a affirmé n’avoir jamais donné à Muse l’autorisation de lire ses correspondances, convaincu que celles-ci étaient strictement sanctuarisées. Pourtant, l’assistant autonome était allé fouiller ses journaux de conversation personnelle. Dans la foulée, Apple a annoncé une refonte du mécanisme d’accès complet au disque (Full Disk Access ou FDA) sur macOS. À l’heure où les agents d’IA acquièrent une autonomie d’action sans précédent, les modèles classiques d’autorisation système ne suffisent plus à endiguer ces nouveaux périls pour la vie privée.
Quand ce n’est plus un humain qui épie les conversations
La tourmente est née des excès d’un outil censé accroître la productivité. L’alerte non sollicitée reçue par Aten a mis en lumière une réalité technique trop souvent occultée : les agents d’IA actuels ne sont plus des scripts passifs qui attendent docilement un clic pour s’exécuter. Ils patrouillent continuellement en arrière-plan, inspectant et corrélant de manière autonome les ressources contextuelles de l’utilisateur.
David Singleton, directeur technique (CTO) de Meta, a tenté une justification purement technique. Il a fait valoir que l’intégration de Messages dans l’application Mac de Muse repose sur une démarche d’adhésion explicite (opt-in) : l’agent ne peut accéder aux correspondances que si l’utilisateur lui accorde l’accès complet au disque au niveau de macOS et active le connecteur Messages dans les réglages de l’application. Dans l’esprit des développeurs, l’enchaînement semblait irréprochable : l’utilisateur valide les droits, le programme s’exécute.
Figure : Muse est un outil de productivité doté d’IA. Source : Ars Technica
Avec le FDA, l’intégralité des données locales devient un livre ouvert
Pour les experts en cybersécurité, l’argumentaire de Singleton s’est révélé bien fragile. Comme l’a souligné Patrick Wardle, spécialiste renommé de la sécurité sur macOS, le FDA constitue un privilège système de très bas niveau aux implications tentaculaires. Dès lors qu’une application bénéficie du FDA, l’ensemble des fichiers ne nécessitant pas les privilèges root — de l’historique de navigation aux cookies de session, en passant par les bases de données de messagerie — lui devient accessible en clair.
Lorsqu’un logiciel antivirus classique ou un utilitaire de sauvegarde obtient le FDA, il se borne à scanner des fichiers selon des règles rigides et prévisibles. Accorder une telle latitude à un agent d’IA reposant sur des modèles de langage de grande taille (LLM) ouvre la porte à des périls d’une tout autre nature. L’IA sait analyser la sémantique, dégager des relations et croiser activement des bribes d’informations. Toutes les données locales non cloisonnées physiquement se transforment de fait en carburant pour alimenter son contexte d’inférence.
Apple redéfinit les frontières face aux agents d’IA
La révision des autorisations opérée par Apple constitue une riposte directe à cette nouvelle donne. Dans une note adressée aux développeurs, la firme de Cupertino a explicitement averti que certains éditeurs détournaient le FDA au détriment des utilisateurs, exposant l’intégralité de leur machine — y compris l’historique web et les correspondances privées — sans que ces derniers n’en mesurent réellement la portée.
Le constat dressé par Apple est sans détour : à mesure que les agents d’IA gagnent en compétences et en autonomie, les risques inhérents à un tel degré d’accès augmentent de manière exponentielle. Le système d’exploitation ne peut plus se reposer sur une boîte de dialogue nébuleuse en espérant que l’utilisateur lambda saisisse la gravité d’une analyse sémantique globale par l’IA. Apple a donc choisi de refondre la granularité des autorisations au cœur même de macOS, plutôt que de miser sur l’autodiscipline des éditeurs.
Figure : Apple restreint les autorisations pour protéger les données utilisateur contre les abus d’IA. Source : Getty Images
Quand l’assistant devient le tremplin d’une élévation de privilèges
L’attribution excessive de privilèges engendre une double menace : la violation flagrante de la vie privée d’un côté, et l’élargissement spectaculaire de la surface d’attaque de l’autre. Onze jours avant que l’affaire des messages n’éclate, Patrick Wardle avait déjà révélé une faille de configuration critique dans Muse. À l’aide de techniques d’injection éprouvées comme ClickFix, un assaillant pouvait exécuter du code malveillant et prendre le contrôle total du processus de Muse.
Dès lors qu’un attaquant s’empare d’une application Muse dotée du FDA, il hérite mécaniquement de l’ensemble de ses prérogatives système. Un utilitaire conçu pour doper la productivité se métamorphose alors, par la faute de permissions démesurées, en un tremplin idéal pour opérer des mouvements latéraux et verrouiller le contrôle total de la machine.
En restreignant la portée du FDA, Apple met un terme au pacte de confiance historique unissant le système d’exploitation et les logiciels applicatifs. À partir du moment où les programmes disposent d’une capacité d’analyse et de déduction autonome, les autorisations forfaitaires en bloc ne sont plus viables. La défense d’un système ne peut plus se limiter aux seuls logiciels malveillants : elle doit désormais neutraliser les dérives d’agents d’IA réputés légitimes qui, sous couvert d’assistance, cherchent à engloutir l’intégralité des données locales.
Liens de référence :
- Apple changes full-disk access permissions to curb abuse from AI agents
