Apple, AI Ajanlarına 'Tam Disk Erişimi' Uyarısı Getirdi: Güvenlik Duvarı Yükseliyor

Apple, macOS Sequoia 15.1 ve sonrası sürümlerde dağıtılan güncellenmiş Transparanlık, Onay ve Kontrol (TCC) altyapısıyla, kendilerini "AI ajanı" (AI agent) olarak tanımlayan veya davranan uygulamaların Tam Disk Erişimi (Full Disk Access - FDA) isteğini hedef alan yeni bir güvenlik katmanı devreye soktu. Geliştirici belgelerinde ve son beta sürümlerinde gözlemlenen değişikliklere göre, sistem artık bir uygulama FDA izni istediğinde, bu uygulamanın yapay zeka odaklı bir araç olup olmadığını tespit edip kullanıcıya özel, rengarenk bir risk uyarısı sunuyor.

Neden 'Tam Disk Erişimi' Bu Kadar Kritik?

FDA, bir uygulamaya kullanıcının ev dizini dahil tüm dosya sistemine, hatta diğer uygulamaların korumalı verilerine (Mail, Mesajlar, Safari, Keychain) erişim izni verir. Geleneksel olarak yedekleme yazılımları veya virüs tarayıcıları için tasarlanmış bu izin, son iki yılda Cursor, Windsurf, GitHub Copilot CLI veya lokal LLM çalıştıran araçlar (Ollama, LM Studio arayüzleri) gibi "kod ajanları" tarafından proje dosyalarını okuyup yazabilmek, terminal komutları çalıştırmak için yoğunca talep edilmeye başlandı.

Apple'ın güvenlik mühendislik ekiplerinin iç paylaşımlarında vurgulandığına göre; bir AI ajanına FDA vermek, o aracın (ve olası bir uzaktan kod çalıştırma zaafiyeti durumunda saldırganın) kullanıcının SSH anahtarlarına, .env dosyalarındaki API anahtarlarına, tarayıcı çerezlerine ve Keychain'de saklı şifrelere erişebilmesi demektir. Bu, klasik bir editörün proje klasörüne erişmesinden nitelikli olarak farklı bir tehdit vektörü oluşturuyor.

Yeni Uyarı: 'Bu Uygulama Bir AI Ajanı Olabilir'

Yeni TCC diyalogunda, standart "Bu uygulama disklerinize erişmek istiyor" metninin yanı sıra, uygulamanın imzasındaki entitlement'lerden (entitlements) veya çalışma zamanı davranışlarından (sık süren `fork/exec`, geniş dosya tarama, ağ bağlantıları kombinasyonu) AI ajanı profiline ulaşıldığında "Bu uygulama bir yapay zeka ajanı gibi davranıyor. Tam disk erişimi, tüm kişisel verilerinizi okuyup dışarı gönderebilir." biçiminde açık bir uyarı metni yer alıyor. Bu uyarı, kullanıcının "Ayarlar > Gizlilik ve Güvenlik > Tam Disk Erişimi" yoluyla manuel onaylamasını zorunlu kılıyor; komut satırı aracılığıyla (MDM haricinde) programatik onay yolları bu kategori için kapatıldı.

Geliştiriciler İçin Zorlu Bal: Sandbox mı, FDA mı?

Değişiklik, popüler kod asistanlarının macOS sürümlerini geliştiren ekipleri zor durumda bıraktı. Birçok araç halihazırda "App Sandbox" dışında çalışıyor çünkü sandbox, proje kök dizini dışına çıkma yeteneğini (örneğin `/usr/local/bin` araçlarını çalıştırmayı veya sistem derleyicilerini çağırmayı) kısıtluyor. Apple, geliştiricilere FDA yerine File Provider uzantıları veya kullanıcı tarafından seçilen klasörlere erişim için Security-Scoped Bookmarks kullanımını öneriyor. Ancak bu yöntemler, "agent" tanımının özü olan "kullanıcı müdahalesi olmadan dosya sistemi üzerinde serbest dolaşma ve araç çağırma" yeteneğini tam karşılayamıyor.

Bazı geliştiriciler, uygulamalarını "AI ajanı" etiketinden çıkarmak için entitlement'lardan `com.apple.developer.agent-capabilities` gibi bayrakları kaldırıyor veya çalışma zamanı davranışlarını gizlemeye çalışıyor; ancak Apple, bu tür sömürgeleri engellemek için sunucu taraflı notaryasyon (notarization) kontrollerinde davranışsal analiz (heuristic analysis) yapmaya başladı.

Kullanıcı Verileri: Şifreler, Anahtarlar Risk Altında

Güvenlik araştırmaları, FDA iznine sahip kötü niyetli veya ele geçirilmiş bir AI aracının, kullanıcının terminal geçmişinden (`.zsh_history`, `.bash_history`) komut enjekte ederek, SSH agent socket'ine (`SSH_AUTH_SOCK`) erişerek veya Keychain'de `security` komutu ile sorgulama yaparak hassas verileri sızdırabileceğini kanıtladı. Apple'ın yeni uyarısı, bu saldırı yüzeyini (attack surface) son kullanıcıya görünür kılmayı hedefliyor; "Bu aracı güveniyor musun?" sorusunu teknik detaylardan arındırıp, "Tüm şifreleriniz ve anahtarlarınız" seviyesine çekiyor.

Apple Intelligence Farkı: Yerel Model Önceliği

Bu hamle, Apple'ın kendi "Apple Intelligence" altyapısının (Private Cloud Compute ve on-device modeller) tasarım felsefesiyle de uyumlu. Apple'ın kendi yazılım araçları (Xcode 16 Predictive Completion, Swift Assist) sistem entegrasyonu sayesinde FDA istemeden, sandbox içinden ve kullanıcı onayıyla belirli dosyalara erişim sağlıyor. Üçüncü parti ajanlara yönelik sertleşme, "gizlilik önce" (privacy first) mesajını güçlendirirken, platformda rekabet eden AI kodlama araçlarının kullanıcı deneyimini (UX) ciddi oranda bozuyor; kullanıcılar artık her yeni araç kurulumunda kırmızı bayraklı bir diyalogla karşılaşıyor.