我的电脑被黑了。这次被利用的漏洞细节见 Ars Technica 的报道：荷兰官员警告，一个可让攻击者执行恶意代码的高危 macOS 漏洞正被活跃利用。荷兰国家网络安全中心（NCSC）称，已观察到多台可从互联网访问 5900 端口的系统中招，攻击者取得 root 权限并植入门罗币（Monero）挖矿程序。该漏洞编号 CVE-2026-65400，严重程度 7.1 分，源于 macOS 屏幕共享功能的状态管理缺陷。苹果（Apple）上周已为 macOS Tahoe、Sequoia 和 Sonoma 发布补丁。

我的电脑被黑了。被利用的漏洞，Ars Technica 的报道里有细节：

荷兰官员警告，一个允许攻击者执行恶意代码的高危 macOS 漏洞正被积极利用。“NCSC 收到的通知显示，多个可从互联网访问 5900 端口的系统上已观察到对该漏洞的活跃滥用，”荷兰国家网络安全中心本周早些时候警告，“所有这些案例中，受影响系统的 root 权限都已被取得，并被植入了门罗币挖矿程序。”

该漏洞编号 CVE-2026-65400，Apple 上周已为 macOS Tahoe、Sequoia 和 Sonoma 发布补丁。漏洞严重性评分 7.1（满分 10），源于 macOS 屏幕共享功能中的一个缺陷，该功能允许远端在机器开机时查看屏幕并控制键盘鼠标。根本原因是跟踪先前事件、用户交互、变量及其他系统状态的“状态管理”出了错。

漏洞利用的演示视频见这里。CVE-2026-65400 的细节在上周的 Black Hat 安全会议上公开。Apple 上周表示该漏洞“可能”允许没有凭据的攻击者访问 Mac。不清楚 Apple 为何含糊其辞，但淡化措辞在科技公司披露漏洞时很常见。Apple 将漏洞报告归功于安全公司 Bynario。

出事的机器是我常年开机的 Mac Mini，上面除了 Claude 和 Codex 什么都没有；这件事有意思的第一点在于，正是这一点成了我的救命稻草。

智能体保护

我在《Writing Things Down》和几期 Sharp Tech 里都讲过我为同事做的智能体 Gecko。它很棒，但能力和可访问范围都被刻意限制。我真正的智能体是一个专用的 Claude Code 线程，它记录我所有的想法，并跟踪我过去几个月启动的一堆项目的状态。

之所以用 Claude 做这件事（尽管我不太喜欢 Claude 那套腔调），有几个原因：Claude 在 Code 框架里似乎比 Codex 更擅长处理宽泛的讨论，也更优雅地遵循我关于如何记录的要求。Code 还有个持久监控工具，我把它当作收件箱，用来捕捉与我做的一个看板的交互——那个看板可视化跟踪我记录的一切——以及与一个 Telegram 机器人的交互（OpenAI 新的 Dots 实现了其中部分功能，ChatGPT/Codex 早就该有这个了）。

这个监控工具每 30 分钟停一次，所以我的智能体会定期重启它；正是这件事触发了 Claude 的一条紧急通知：

Claude 还提供了更多诊断信息，单方面停止执行所有命令，并指出我的账户现在可以不输密码运行管理员命令——它推测文件就是那么写入的；随后它给出了一系列处理建议。我无视的那条建议是：不要再调用 Claude。事实上，我就是用 Claude 清除了恶意软件——我们最终找到了它获得访问权限的那精确的四秒钟——做了一款今后监控此类情况的工具，然后抹掉了那台 Mac Mini。

这一切都发生在我看到 Ars Technica 那篇报道之前，而且相当了不起。我明白人们担心给这些智能体访问自己电脑的权限——如我所说，那台 Mac Mini 上除了 Codex 和 Claude 什么都没有——但在这个案例里，你完全可以说，如果我没有一个持续运行的智能体，麻烦会大得多。

Apple 的保护

Apple 似乎不太乐见智能体；上周其开发者网站发布了一则题为《macOS 全盘访问权限的更新》的说明，全文如下：

我们向开发者提供强大的 API，让他们能在 Apple 产品的应用中构建出色的能力，并以一套控制机制保护用户隐私数据。全盘访问在很大程度上绕过了这些控制机制，以便备份类应用能在 Mac 上正常工作。一些开发者使用全盘访问的方式可能让用户面临风险，在用户并不充分知情和理解的情况下，暴露其系统上的一切——包括文件、邮件、信息，甚至浏览历史。对通讯类应用而言，这还会危及与用户通信的人的隐私。

今后我们将引入更多控制措施，确保真正希望授予应用这种超常访问级别的用户，只能通过非常明确的用户操作来完成。解决这个问题至关重要。随着 AI 智能体能力越来越强、越来越自主，这种访问级别带来的风险将大幅上升。我们致力于确保用户在授予此类访问前清楚理解这些风险，从而对自己的数据和隐私做出知情决定。

要说我对 Apple 的解决方案会是什么样感到紧张，那是极大的轻描淡写。有一个方面，Mac 是完美的智能体宿主：Apple 几十年来在可脚本化、自动化和无障碍 API（这些往往是一回事）上的投入，让它非常适合计算机使用。此外 macOS 是经过认证的 Unix 系统；这意味着非常适合命令行的智能体可以使用为 Unix 系统构建的整个工具世界。当然，Mac 硬件也很出色。

问题在于，就我的具体用例而言——一台无头、常开、我主要通过其他电脑和手机上的 ChatGPT、Claude 应用访问的 Mac Mini——macOS 极度不友好。最大的问题是只在图形界面弹出的权限提示，电脑上运行的软件（包括智能体）根本看不到。

这些提示是 macOS 一个叫“透明、同意与控制”（TCC）的子系统的一部分，尽管 Apple 似乎不再用这个名字。你 Mac 上被 TCC 覆盖的东西一大堆——每次系统更新名单只会更长——每个想访问这些内容的 App 都必须获得你的明确批准。如果你曾被询问是否允许使用摄像头，或者更烦人地问你是否允许访问桌面或下载文件夹，那你就遇到过 TCC。

这套系统在你主力 Mac 上烦人但还能应付；在一台无头运行智能体的 Mac 上则是灾难，原因有二。第一，智能体随时在写新程序，在我的情况里，这些程序需要访问我网络上的设备（比如 SMB 共享就会触发 TCC 警告）。我需要的是针对智能体的权限层，而不是针对它们创建的程序的权限层；TCC 作用的抽象层级是错的。

第二，TCC 子系统在受保护的空间里弹出提示，任何程序都看不到；这意味着程序会静默失败，而智能体不知道原因；我只好记住屏幕上大概有个权限提示，用屏幕共享软件登录那台 Mac Mini，点“OK”。

这些其实有正当理由。TCC 子系统的目的是保护你不被恶意软件侵害；如果用户态运行的程序能访问提示，恶意软件就能绕过它。但话说回来，我运行的是一台专为智能体部署的电脑：就我的用例而言，TCC 纯粹是麻烦——一个间接导致我被黑的麻烦。

Apple 的令人恼火之处

还是来自 Ars Technica：

正如 NCSC 所指出的，该漏洞是在 5900 端口暴露于互联网时被利用的。打开屏幕共享时，macOS 防火墙会开放该端口。路由器和专用防火墙一般会封锁该端口，除非被配置为覆盖该设置。安全从业者通常建议 Mac 用户即便使用屏幕共享也保持该端口关闭，改用 VPN 或 SSH 隧道连接。这些替代方案超出了大多数用户的能力范围。

最安全的做法是关闭屏幕共享，只在需要时开启，用完就关。可以在“系统设置 > 通用 > 共享”中打开或关闭屏幕共享。当然，安装上周的安全更新也是必须的。

显然我本该——今后也会——使用 VPN（我整个安全方案的基础是 Tailscale）；但我要指出的是，TCC 基本让我别无选择：只要我想按自己希望的方式使用这台 Mac Mini，就必须开着屏幕共享。我不断在用屏幕共享，包括从手机上，而且几乎每次都是为了点掉一个我早就不再当回事的愚蠢提示。

不过这件事真正让我恼火的，是 Apple 发布修复的方式。我当然知道出于安全考虑应该始终保持电脑更新；所以我所有电脑都设成了自动安装安全更新。

我此前不明白的是，这个设置实际上并不适用于大多数安全更新。CVE 修复几乎都通过点版本发布；最近那个点版本正是修这个漏洞的。我突然意识到，多年来我一直让自己暴露在超出必要的风险里，错误地以为勾选“自动安装安全更新”就真的会自动安装安全更新。

我承认这有点吹毛求疵；归根结底是我没有及时安装点版本。但一家如此在意我桌面访问权的公司，却不太在意一个重要设置的表述对一个相当懂行的用户来说意味着什么，这仍然让我不爽。这仍然是我的错，但这个错是诚实犯下的，源于信任 Apple 会把安全更新称为安全更新，尤其是它还提供了自动安装的选项。

这份信任大体上是他们挣来的；越来越让人沮丧的是，他们越来越多地索取这份信任，索取的范围还在不断扩大。抱怨一个更新的标签看似无聊，但既然你要为访问网络共享索取权限，能不能至少在我明确授权时给我的电脑打上补丁？

这也就是为什么那条关于全盘访问的说明让人不安。我能理解用户可能不明白，授予智能体全盘访问意味着它能读你的 iMessage（目前如此——我打赌 iMessage 数据库不久就会像 2000 年代的 iTunes 那样被加密）；但另一些用户可能正想要这个。或者像我一样，他们可能真的想把 Mac 当作自己的个人电脑，而不是一台越来越像 iPhone 的 Apple 管理设备。也许这件事说明我太蠢，不该冒这个险；也许它只是说明，Apple 和我在相伴多年之后已经说不到一块去了。

家居愿景

上周 Mark Gurman 在彭博社写了一篇报道，题为《Apple 终于准备进入下一个大品类：智能家居》：

Apple 计划于 10 月 13 日推进其拖延已久的智能家居布局，这标志着在新任 CEO John Ternus 领导下的关键产品扩张。据知情人士称，该战略的核心是一款代号 J490 的智能家居中枢。Apple 还计划宣布 HomePod mini 自 2020 年问世以来的首次更新，以及 2022 年以来首款新的电视盒子……

这些产品也将成为 Apple 新 Siri AI 助手的展示窗口，这项技术公司花了多年开发。改版后的 Siri 屡次延期，而这些智能家居设备应有助于突出 Apple 在人工智能上终于追赶上的努力。知情人士称，这款家居中枢将是一块约 6 英寸见方的显示屏，有可挂墙和可放台面的版本。由于产品尚未发布，这些人要求匿名……

Apple 设想用户在家里放上好几块这样的屏幕。它们可以用来控制恒温器、门锁等联网产品，也可用于视频通话、对讲式沟通、播放音乐，以及浏览存在 Apple iCloud 里的照片幻灯片。

上周与家居自动化相关的消息不止这一条；Muse 的创造者 Nat Friedman 在 X 上发帖：

我很清楚自己不代表普通用户。首先，我真的在用智能体。更重要的是，我不是 Muse 的目标客户：比起用 Meta 的智能体，我更想造自己的；我目前在做的项目之一，是搭一个小型家庭电子实验室，做一些自己用智能体控制的设备。

话虽如此，Gurman 那篇报道让我意识到，自己对 Apple 的智能家居产品有多么提不起兴趣。一部分是十年来对 Siri 失望累积的疲劳，以及对这家公司能否交付一款以语音为核心的产品持怀疑态度。但更多的是，我反感把 Apple 的限制引入我生活的更多部分。

这些限制不只是全盘访问之类。Apple 在恒温器、门锁等整合上能做到什么程度，取决于它与第三方设备厂商合作到什么程度；问题是第三方厂商大多很糟，尤其是从软件角度看。即便 Siri 完美无缺，Apple 也要面对如何交付一种不被最低共同标准所定义的体验。

我更感兴趣的是自己掌控软件层。事实是，有了 AI，你几乎可以反编译所有现有软件——过去几周游戏界正发生一场革命，一款接一款游戏被反编译成源码，并移植到你想要的任何平台——你也可以自己写。这意味着我的软件能按我想要的方式与我的智能体交互，处理一切事情；这比祈祷 Apple 给出正确的 API、祈祷第三方开发者不掉链子要令人兴奋得多。

应用的局限

顺带说，这也是 Siri 面临的问题；在最近的 iPhone 发布会后，我写过 Ternus 的“智能个人中枢”愿景：

不过最有意思的是，Apple 传统上最大的优势可能反而成了阻碍……Apple 声称有 30 万个应用可与 Siri 配合，这非常令人印象深刻。但请注意，“开发者易于采纳新能力”的含义是开发者必须真的投入工作——这还是在为 Duo 更新界面之外的工作。

在一个所有人都必须说服开发者去做整合的世界里，这不成问题。但浏览器使用正在凸显：智能体只要能直接用网页，就能免费获得与几乎一切事物的整合，而有赖于开发者接入 API 的 Apple 反而处于劣势……

在 Apple 的愿景里，智能的用处由它增强你现有工作流的能力来定义，所以才提到更新日历和提醒事项。但很可能更好的工作流，是把过去发生在应用里的大量工作直接外包给智能体。用一个你必须去查看的结构化提醒应用更好，还是让智能体直接提醒你更好？真实答案大概因人而异，但值得指出的是，Apple 如此固守应用范式，可能压根没考虑过另一种选择。

应用曾经很棒，是比之前更好的体验；但这不代表它们是最好的体验，认真用过智能体的人都明白我的意思。应用挡在中间，也就是说与它们整合会让你的智能体变差；我不想要每个应用一个界面，当我手里有真正的界面——一切数字事物的通用界面。

这正是 Muse Gadgets 计划的天才之处。Meta 在播种整个设备生态，其中一些可能成为真正的产品，而且完全开源。回报不在卖设备，而在于让 Muse 成为一切事物的界面。

黑客的未来

21 年前 Paul Graham 写了《Return of the Mac》：

我认识的最好的黑客都在逐渐转向 Mac。原因当然是 OS X。PowerBook 设计精美，运行 FreeBSD。还需要知道什么？……

有了 OS X，黑客们回来了。我走进剑桥的 Apple 门店时，就像回到家一样。很多东西变了，但空气中仍有那种 Apple 的酷，那种感觉——这场演出由一个真正在乎的人操持，而不是随机的公司交易撮合者。

商界也许会说，那又怎样。谁在乎黑客是否重新喜欢 Apple？黑客市场才多大？

相当小，但其重要性远超它的规模。在计算机领域，黑客现在做的事，十年后所有人都会做。几乎所有技术，从 Unix 到位图显示再到 Web，都是先在计算机系和研究实验室里流行，再逐渐扩散到世界其他地方。

我 2004 年换到 Mac，比他写那篇文章早一年，这话让我很受用：“我刚换了 Mac，看来我是个酷黑客。”说实话，Unix 那部分对我没多大意义；我更喜欢设计和界面，而且很想试试 GarageBand。随后这些年，我体会到 Mac 就是好用——起初比对手慢，然后持平，再到 Apple Silicon 时比什么都好。

但 AI、尤其是智能体，让每个人都成了黑客。只要你有意愿和想法，现在真的什么都能做；而一旦你接受了这一点，围墙花园就不像保护，更像监狱。

明确说，我不是在预言 Apple 衰落；我甚至不打算换电脑或手机。但让我意外的是，我不仅对它的家居设备毫无兴趣，还第一次能想象出一个我不再默认买 Apple 的未来。事实上这已经发生了：在这件事之前我就买了一台新服务器，会跑 Linux；我再也不会把 Mac 放进机架。

对 Apple 来说这当然没关系，那本来就不是他们的电脑被设计来做的事。问题是，他们设计的用途，是不是我正在奔向的那个未来——在那里，智能体式的抽象既让传统界面成为遗物，又让计算无处不在，比以往任何时候都更易得；限制不再是开发者为了规模而构建，而是我自己为我自己而构建的想象力。

讨论围绕 Apple 收紧 macOS 全盘访问权限展开：一派认为这是保护普通用户、回应 Meta 等厂商滥用权限的合理举措，另一派认定这是以安全为名的平台控制；但更多人把火力转向了文中那位把 VNC 端口直接暴露在公网上的作者。

收紧权限是合理的，普通用户本就需要被保护

• 与其纠结 Apple 对 agent 高不高兴，不如承认全盘访问本来就是给备份软件这类少数场景用的，把它交给 Meta 的软件等于主动放弃隐私（较多人）
• 有人指出，一个会不加过滤就把远程访问端口开到公网的人，恰恰是 Apple 需要替他兜底的那类用户（较多人）
• 也有人希望 Apple 留出后门：备份、企业安全扫描等正当需求依然存在，只是需要更细的控制，尤其在 vibe coding 应用横行、厂商主动作恶的当下（较多人） > 这跟情绪无关，全盘访问的用途本来就很窄。（@hombre_fatal）

这是平台控制的惯用剧本

• Apple 以安全为名限制第三方后台自主权，同时让自己的第一方系统框架保有不受约束的常驻访问（较多人）
• 更极端的版本是：Apple 想要所有软件收入的抽成，也无法想象 Mac 不像 iPhone 的那一天（少数人）
• 由此引申出一条个人准则——凡是在合理范围内强迫你做不想做的事、或阻止你做想做的事的公司，尽早离开（少数人） > 这是控制平台的标准剧本，不是安全考虑。（@soltanov）

TCC 作用在了错误的抽象层级

• 有观点认为 agent 会不断生成新程序，而这些程序才是触发告警的主体，需要的是「给 agent 授权」而非「给它写出来的程序授权」（较多人）
• 反驳也很直接：把全盘访问授予 Terminal.app 后，它间接启动的 shell 和 CLI 工具都会继承，iTerm 同样如此，所以这套机制未必需要重造（较多人）
• 还有人反唇相讥：也许不是 TCC 抽象错了，而是你想让一台为真人设计的电脑按 agent 的方式运转（少数人） > 我需要的是给 agent 的权限层，而不是给它生成的程序，TCC 抽象层级错了。（@Someone）

真正的问题在把 5900 端口开到公网

• 漏洞的前提是端口可从互联网访问，这属于基础网络常识缺失，而不是 Apple 的锅（高赞）
• 有人调侃这相当于把水厂和电厂也挂到公网上，反正不能只让终端用户独享乐趣（较多人）
• 也有人指出 VPN 并非冷门知识，随便问一句 AI 都会告诉你，作者最终承认并在改用 Tailscale 算是补上了（较多人） > 他写了一篇文章，向全世界宣告自己不懂基本网络。（@7r33）

专用机器隔离跑 agent 是现实解法，但怕被未来堵死

• 用一台不放个人文件的 Mac mini 专门跑 agent，投屏进去下任务、装软件、发截图，效率提升巨大（较多人）
• 但担忧随之而来：这些护栏如果继续收紧，这种用法可能变得不可行或极其繁琐（较多人）
• 反问也很尖锐：难道结论是 Apple 不该做难以绕过的隐私护栏，因为大家都该像他一样另备一台机器？（少数人）

Apple 的公告含糊到反而制造了猜测空间

• 这次变更既没有时间表也缺乏细节，让人怀疑是不是要等到下一个大版本，这种信息密度在 Apple 的重大变更里不常见（少数人）
• 更大的风险来自 agent 抽象本身：如果消费者习惯了 Muse 那类产品的自由与无处不在的窥探，Apple 坚持隐私与安全使命会变得很吃力（少数人）

有价值的补充

• macOS 今年没有续签 UNIX 03 认证，所以「macOS 是认证 Unix」这个论据本身已经站不住脚（@john_alan）
• 权限继承的机制细节值得记住：授予 Terminal.app 全盘访问后，它启动的 shell 及其调用的工具同样获得该权限，这不是 Apple 给终端开小灶
• 触发这轮讨论的直接背景是 Meta 的 AI agent Muse 曾推送了一条引用用户 Apple Messages 对话的通知，而用户从未授权它读取消息（@GeekyBear）
• 真正的两难在于：大部分 Mac 用户并不知道自己用的是一台界面友好的危险 Unix 工作站，而少数人确实需要危险强大的工具

顺带开的一枪

• 有人吐槽苹果这类闭源厂商的产品在 Hacker News 上获得如此多关注本身就很荒谬，大量讨论只是站在消费者视角膜拜闭源（少数人） > 小模型只懂每个话题的 10%，却给它 root 权限，去吧小家伙。（@swozey）