Apple cierra la puerta del disco a los agentes de IA (y Google quiere la llave maestra)

Artículo original en inglés: Apple will limit Mac disk access as AI agents ‘substantially’ increase risk, publicado en The Verge a partir de la información de TechCrunch.

La llave que abría todas las habitaciones

En El resplandor, Jack Torrance recibe las llaves del hotel Overlook con una condición implícita: cuidar el edificio, no explorarlo. Sabemos cómo acaba. El permiso de Acceso total al disco de macOS nació con una lógica parecida. Era la llave maestra que necesitaban las aplicaciones de copia de seguridad para hacer su trabajo sin pedir permiso carpeta por carpeta. Un pacto razonable entre una herramienta aburrida y un usuario que solo quería dormir tranquilo.

El problema es que las herramientas aburridas han dejado de serlo. Este viernes, Apple publicó en su web para desarrolladores un aviso que, leído con atención, es casi una confesión: “Algunos desarrolladores están usando el Acceso total al disco de formas que podrían poner en riesgo a los usuarios, exponiendo todo lo que hay en sus sistemas —archivos, correo, mensajes e incluso historial de navegación— sin que lo comprendan del todo”. Y la frase que lo cambia todo: “A medida que los agentes de IA sean más capaces y autónomos, los riesgos asociados a este nivel de acceso crecerán sustancialmente”.

Lo que de verdad se esconde detrás del permiso

Conviene detenerse en lo que significa ese permiso, porque la interfaz de macOS lo disfraza con un interruptor inocente. Acceso total al disco salta por encima de todos los controles de privacidad por aplicación que Apple lleva años construyendo. Mail, Mensajes, el historial de Safari, las fotos, las copias de seguridad de iPhone almacenadas en el Mac. Todo. Para una app de backup, es la herramienta adecuada. Para un agente que actúa de forma continua en tu nombre, es un pasaporte diplomático sin fecha de caducidad.

La lista de quienes lo piden hoy es reveladora: Muse de Meta, los Dots de OpenAI, la app de ChatGPT para Mac, Claude para Mac, OpenClaw, Hermes Agent. No son utilidades que trabajan dos minutos al mes. Son asistentes diseñados para estar siempre encendidos, leyendo contexto, tomando decisiones. Patrick Wardle, investigador de la Objective-See Foundation, lo resume sin rodeos: “Los agentes necesitan mucho acceso para hacer su trabajo… si pueden ser corrompidos o subvertidos, eso es un problema enorme”.

Un columnista, unos mensajes privados y una negación

El aviso de Apple no llega en el vacío. Días antes, Jason Aten, columnista de Inc., denunció que Muse, el nuevo agente de Meta, había accedido a sus mensajes privados sin pedirle permiso explícito. Meta lo negó. Y aquí está la trampa, porque probablemente los dos tienen razón: Aten concedió Acceso total al disco en algún momento, y Muse hizo exactamente lo que ese permiso autoriza. El consentimiento existió sobre el papel. La comprensión, no.

El consentimiento informado deja de ser informado si el formulario está escrito en un idioma que el usuario no habla. Y el idioma de los permisos de sistema nunca fue el nuestro.

Apple responde a esto con lo que, de momento, es un cambio de interfaz y no una prohibición técnica: los nuevos controles exigirán una “acción muy explícita del usuario” antes de conceder el acceso. No hay fecha. No hay detalles sobre APIs alternativas más estrechas. Es un refinamiento del consentimiento, no un cerrojo. Pero es la primera vez que un sistema operativo mayoritario endurece un permiso central pensando en agentes de IA en lugar de en malware clásico. Ni Windows ni Linux tienen nada equivalente.

Mientras tanto, en Mountain View

La ironía de la semana la firma Google. Casi en paralelo al aviso de Apple, TestingCatalog descubrió en la app de Gemini para escritorio una opción oculta llamada “Additional sandbox options” que describe un modo bautizado, sin rubor, como “Full Access”. La letra pequeña explica que Gemini podría leer, crear, modificar o borrar archivos en cualquier parte del equipo, abrir y manejar aplicaciones nativas como Mail, Safari o Mensajes, navegar por la web y, cito, “tomar acciones sin pedirte permiso antes”. Google promete confirmación explícita para transacciones financieras, creación de cuentas o aceptación de acuerdos legales. Para todo lo demás, confianza ciega.

Pongamos las dos noticias una al lado de la otra. Apple dice: este permiso es demasiado amplio para agentes autónomos, vamos a hacer que concederlo cueste más. Google dice: queremos ese permiso, y además queremos que el agente deje de preguntar. No son dos productos distintos, son dos filosofías sobre quién tiene la última palabra en tu ordenador. Y la de Google, paradójicamente, depende de que Apple no cierre la puerta demasiado rápido.

El dilema que nadie quiere resolver

Sería fácil cerrar este artículo aplaudiendo a Apple y señalando a Google. Pero el fondo del asunto es más incómodo. Los agentes de IA solo son útiles si tienen acceso real. Un asistente que no puede leer tu correo no puede resumírtelo; uno que no puede abrir Safari no puede reservarte nada. La promesa entera de esta generación de productos descansa sobre un acceso que, bien mirado, ningún profesional de seguridad firmaría sin sudar.

Así que la pregunta de fondo no es si los agentes deben tener la llave maestra. Es quién diseña el llavero. Permisos granulares por tarea, acceso temporal que caduca, registros auditables de qué ha tocado el agente y por qué. Nada de esto es ciencia ficción; es lo que llevamos una década exigiendo a las apps móviles. Lo nuevo es que ahora el inquilino no es una app que abres y cierras, sino un huésped permanente con iniciativa propia.

Apple ha dado el primer paso haciendo que la puerta pese más. Es poco, llega tarde y no tiene calendario. Pero en un sector que corre a entregar llaves maestras como si fueran caramelos de bienvenida, que alguien se pare a preguntar “¿seguro que sabes lo que estás firmando?” ya es, tristemente, una noticia.