Apple refuerza controles de Mac frente a agentes de IA

Por qué Apple actúa ahora: el problema del Acceso total al disco

Apple endurecerá los controles del permiso Acceso total al disco en macOS para responder a un problema nuevo: los agentes de inteligencia artificial que necesitan leer archivos, correo, mensajes e historial de navegación para operar están heredando un permiso que se creó originalmente para apps de respaldo. La compañía lo anunció este viernes en un comunicado dirigido a desarrolladores, sin precisar la versión de macOS en la que llegará el cambio ni mencionar a ninguna aplicación por su nombre.

El Acceso total al disco existe en macOS desde hace años y está pensado para que utilidades como Time Machine o apps de copia de seguridad puedan leer todo el sistema. La guía de seguridad de Apple describe el mecanismo: cuando una app pide acceso a archivos en Documentos, Descargas o iCloud Drive, el sistema muestra un aviso; cuando pide acceso completo al almacenamiento, el usuario debe ir a Configuración del sistema y agregar la app manualmente. La propia compañía admite que este permiso «saltea en buena medida» los controles que respaldan a sus otras APIs.

Lo que cambió es el tipo de software que pide ese permiso. Ya no son solo apps de respaldo: son agentes de IA que ejecutan tareas de forma autónoma — a veces sin supervisión humana — y que necesitan leer y escribir sobre datos sensibles para funcionar. Apple advierte que «los riesgos asociados con este nivel de acceso crecerán sustancialmente» a medida que estos agentes se vuelvan «más capaces y autónomos».

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

¿Qué cambia concretamente?

El fabricante dijo que introducirá «controles adicionales» para que el permiso solo pueda otorgarse con «una acción muy explícita del usuario». El aviso se publicó en el sitio de noticias para desarrolladores y fue recogido por MacRumors el mismo día; no incluye calendario de despliegue ni nombre de desarrolladores o apps afectadas, una omisión notable dado el tono del mensaje.

Para Mac administrados por empresas, ya existe el payload Privacy Preferences Policy Control que permite a los equipos de TI gestionar esos permisos a distancia. Unite.ai documenta que ese payload permite especificar el bundle ID de la app, si se le permite o deniega el acceso y los requisitos de firma de código. Si el cambio anunciado por Apple se integra con ese mecanismo, las empresas podrán revocar o limitar de forma centralizada el Acceso total al disco para apps específicas — un cambio relevante para departamentos de seguridad que hoy dependen de auditorías manuales.

El caso Muse: cuando un agente cruza la línea

El aviso de Apple llega después de que el columnista Jason Aten, de Inc., relatara que el asistente Muse de Meta había sincronizado su base de datos local de Mensajes y la usaba como contexto para tareas sin que él hubiera dado permiso explícito. Mashable recogió el caso: Meta respondió que es imposible que Muse acceda a Mensajes si el usuario no concede el permiso, pero el incidente expuso la duda central que Apple busca desactivar — ¿saben los usuarios realmente a qué están dando acceso cuando aceptan un permiso de macOS?

Muse superó los 5 millones de descargas recientemente y lideró las listas de tiendas de aplicaciones el mes pasado, según Mashable. No es el único caso: OpenAI lanzó en agosto una función opcional en la app de ChatGPT para Mac que permite leer, resumir, escribir y enviar mensajes en nombre del usuario, y que requiere Acceso total al disco para acceder a las conversaciones de la app Mensajes de Apple. OpenAI anunció a principios de esta semana que más de 35 millones de personas usan sus herramientas ChatGPT Work y Codex, frente a los 10 millones registrados en julio.

El tamaño del riesgo: 80% de las herramientas de IA operan sin supervisión

El movimiento de Apple no es aislado. La firma Reco publicó el 26 de agosto el reporte The State of Agent Security 2026, basado en telemetría propia y en un análisis de 500 servidores del Model Context Protocol (MCP) publicados. Los hallazgos son duros:

80% de las herramientas de IA en entornos empresariales operan sin supervisión del equipo de TI, según el reporte de Reco, recogido por Yahoo Finance.
62% de los 500 servidores MCP analizados combinan acceso de lectura a archivos locales con conectividad de red saliente, lo que abre una ruta directa para exfiltración de datos.
525 de 637 vulnerabilidades relacionadas con agentes y herramientas de LLM fueron divulgadas en los últimos 18 meses, una tasa de divulgación mensual más de seis veces superior a la de 2023 y 2024.

«La presión no viene solo de herramientas sancionadas; el riesgo más grande está en la larga cola de frameworks de automatización, agentes de navegador y herramientas de integración que pueden mantener permisos y actuar de forma independiente», advierte el reporte. La consecuencia práctica: la superficie de ataque crece mucho más rápido que la capacidad de los equipos de seguridad para monitorearla.

En paralelo, Nvidia anunció esta semana el lanzamiento general de OpenShell, su framework de código abierto para contener agentes de IA, y presentó Sentry, un dominio de seguridad aislado para chips que monitorea agentes en ejecución. La empresa, según Wired, colabora con Anthropic, Cisco, CrowdStrike, Hugging Face, Microsoft, Palantir y otros en su plataforma Open Agent Safety Platform. OpenAI no aparece en la lista de socios anunciados, pese a que Nvidia confirmó que forma parte del esfuerzo.

Qué significa esto para tu startup

Si construyes un agente de IA:

Auditoría de permisos: revisar qué pide realmente tu agente y limitar el alcance. Si puedes operar sobre una carpeta específica, no pidas Acceso total al disco; el nuevo control de Apple hará visible esa petición.
Consentimiento granular: evitar la solicitud de Acceso total al disco salvo que sea estrictamente necesario. Ofrecer opciones por carpeta o por tipo de dato reduce fricción y baja el riesgo de ser el próximo nombre que aparezca en una columna de tecnología.
Logging transparente: que el usuario vea qué datos leyó o modificó tu agente y cuándo. Esto no es solo buena práctica, es la única defensa frente al tipo de incidente que tuvo Muse con Mensajes.

Si usas agentes de IA en tu empresa:

Inventario inmediato: revisar qué apps tienen Acceso total al disco hoy en los Mac del equipo (Configuración del sistema > Privacidad y seguridad > Acceso total al disco).
Política de renovación: establecer un proceso para renovar o revocar esos permisos de forma periódica, no dejarlo en modo «lo configuré una vez y ahí quedó».
Empresas con MDM: usar el payload de Privacy Preferences Policy Control para limitar el acceso a apps específicas en flotas administradas.

Visión de fondo:

La presión regulatoria y técnica va a crecer a la par. Si tu producto toca datos sensibles — sobre todo de terceros — el consentimiento granular va a dejar de ser un nice-to-have. Los founders que diseñen sus productos pensando en que cada permiso sea explícito y revocable van a tener una ventaja competitiva real cuando llegue la próxima ronda de regulación, venga de Bruselas, Washington o los propios sistemas operativos.

Conclusión

Apple movió ficha primero porque su sistema operativo es donde el riesgo se ve de forma más visible — apps de escritorio con acceso a todo el sistema de archivos, mensajes y correo. Pero la tendencia es transversal: los datos del reporte de Reco muestran que la mayoría de los agentes de IA que usan las empresas no están siendo supervisados por TI, y que las vulnerabilidades asociadas crecen a un ritmo que ningún equipo de seguridad puede absorber sin automatizar. Para founders, la lectura es directa: si construyes o vendes herramientas con agentes, el próximo diferenciador no va a ser solo qué pueden hacer, sino qué tan explícito y reversible es el acceso que piden.