Full Disk Access: o que seu agente de IA realmente precisa ler no Mac (e como dar o mínimo)
O Dani Geek — arte original
A Apple avisou em 2 de outubro que vai apertar o Full Disk Access do macOS e citou agentes de IA como motivo. Não deu data nem versão. Você não precisa esperar: o acesso mínimo já é montável hoje, com as peças que o sistema tem.
Comece pelo painel, não pela notícia
Abra Ajustes do Sistema, Privacidade e Segurança, Acesso Total ao Disco. Leia a lista em voz alta.
Esse teste leva uns 40 segundos e quase sempre dói. Terminal, algum backup que você instalou em 2023, um app de notas que pediu e você clicou, talvez um agente de IA que você testou numa terça-feira. A pergunta é se você lembra por que cada linha está lá.
Veja o que a Apple diz que essa chave entrega. O texto é dela, no próprio painel: permite “acesso a todos os arquivos do seu computador, incluindo dados de outros apps (por exemplo, Mail, Mensagens, Safari e Casa), dados de backups do Time Machine e certas configurações administrativas de todos os usuários deste Mac” (Suporte Apple).
Note o fim da frase. Além da sua pasta de trabalho, a chave alcança Mail, Mensagens, histórico, casa conectada e ajustes que valem para todas as contas da máquina.
O que a Apple disse, e o que ela não disse
Em 2 de outubro de 2026 a Apple publicou no Developer News um post curto, “Updates to Full Disk Access in macOS”. Dois parágrafos: um de diagnóstico, um de intenção.
O diagnóstico é uma admissão incomum. A própria Apple escreve que o Full Disk Access “largely sidesteps these controls in order to allow backup apps to function properly on the Mac”. A permissão existe porque app de backup não funciona sem ela, e por isso ela passa por cima do resto do sistema de privacidade. Em seguida acusa, sem nomear ninguém: “some developers are using Full Disk Access in ways that could put users at risk, exposing everything on their systems, including files, mail, messages, and even browsing history, without users’ full knowledge and understanding”.
A frase que fez a notícia viajar é a do motivo: “as AI agents become increasingly capable and autonomous, the risks associated with this level of access will grow substantially” (Apple Developer News).
Tem uma quarta frase que quase ninguém citou e que é a mais forte do comunicado: “for communication apps, this can also compromise the privacy of the people users are communicating with”. Quando você dá acesso ao Mail, o dado que você entrega também é de quem te escreveu, e essa pessoa não clicou em nada.
Agora o que a Apple não disse. Não nomeou nenhum app, não disse qual versão do macOS traz a mudança, não deu prazo e não descreveu a tela nova. Prometeu “controles adicionais” para que a concessão aconteça mediante “ação explícita do usuário”, e parou aí. É uma carta de intenção para desenvolvedores; o recurso ainda não existe. Quem leu em agregador que a Apple “vai bloquear agentes de IA” leu a manchete de alguém, não o comunicado.
Duas correções que mudam a conta
A primeira: Full Disk Access é um registro persistente, e não uma permissão que vale só para a sessão. Você autoriza uma vez e vale para sempre, para todo processo que aquele app disparar, até alguém remover a linha à mão. Não existe re-pergunta por tarefa, por dia ou por reinício.
A segunda: ninguém ganha Full Disk Access sem você dar. Você precisa adicionar o app à lista, no botão +. O problema está na concessão desproporcional e esquecida: você resolveu uma tarefa de dez minutos com uma chave que não expira.
O fato que ninguém escreveu: a permissão não está no agente, está no terminal
Isso vale principalmente para quem roda agente de IA pela linha de comando.
Processos filhos herdam o Full Disk Access do app que os lançou. O TCC, o subsistema de privacidade do macOS, resolve um “processo responsável” e grava a decisão nele. Dar Full Disk Access ao Terminal dá, na prática, Full Disk Access a tudo que você rodar dentro dele (Apple Developer Forums, thread 760291).
Você autorizou um agente, e o que ficou autorizado foi o terminal, com ele todo comando que passar por ali hoje, amanhã e em março. O script que você colar de um fórum e o pacote que você instalar às 23h não vão perguntar nada, porque a pergunta já foi respondida por você meses antes, para outra coisa.
E a herança é frágil justamente onde você gostaria que fosse previsível: binários fora do bundle do app não herdam, e a Apple já quebrou Full Disk Access para helper tools no macOS 11.4 (Michael Tsai). Então você tem o pior arranjo possível: amplo demais quando funciona, instável quando você depende dele.
A tabela que sobrevive à notícia
O painel de Privacidade e Segurança tem vários eixos, e eles não são equivalentes. Os textos abaixo são da Apple, no documento de suporte já citado.
| Painel | O que a Apple diz que ele faz | Quando é o eixo certo |
|---|---|---|
| Arquivos e Pastas | “acessar arquivos e pastas em diferentes locais” | O caso normal. Acesso por local: Documentos, Downloads, Desktop, um volume específico. |
| Acesso Total ao Disco | “todos os arquivos… Mail, Mensagens, Safari e Casa… Time Machine… configurações administrativas de todos os usuários” | Backup de verdade. Praticamente nada mais. |
| Automação | “acessar e controlar outros apps” | Quando a tarefa é mesmo pilotar outro app. Leia a ressalva abaixo. |
| Acessibilidade | “executar scripts e comandos de sistema para controlar seu Mac” | Agente que clica e digita na sua interface. Poder alto, escopo diferente. |
| Gerenciamento de Apps | “atualizar ou apagar outros apps” | Instalador, atualizador. Não é leitura de dado. |
A ressalva sobre Automação importa, porque ela virou receita de post sem que ninguém olhasse o que ela faz. Automação é Apple Events: deixa um app controlar outros apps. Isso pode incluir mandar o Mail ler e enviar mensagens, ou mandar o Finder mexer em arquivos. Em alguns cenários é um caminho mais estreito que o disco inteiro. Em outros é uma escalada lateral que chega no mesmo dado por outra porta.
O eixo que de fato dá menos é Arquivos e Pastas, apontado para uma pasta de projeto. É chato, é granular, e é o que dimensiona a permissão ao trabalho do dia.
O mínimo, montável hoje
Quatro movimentos, em ordem de retorno.
1. Limpe a lista. Tire do Acesso Total ao Disco tudo que não é app de backup. Se algo quebrar, o app vai pedir de novo, e aí você decide com a tarefa na frente dos olhos em vez de decidir de memória.
2. Dê pasta, não disco. Para agente que lê e escreve arquivos de trabalho, use Arquivos e Pastas apontando para uma pasta de projeto. Mova para lá o que o agente precisa ver. O que não está na pasta não é problema dele.
3. Separe o terminal do agente. Se você precisa de acesso amplo para uma tarefa de linha de comando, não autorize o terminal que você usa para tudo. Use outro app de terminal, dedicado, e aceite que ele é a ferramenta privilegiada da casa. A herança de processo filho deixa de ser uma surpresa quando o pai existe só para isso.
4. Marque uma revisão. Esse painel só fica honesto se alguém olhar. Trimestral já é melhor que nunca, porque a concessão não expira sozinha.
Um ponto que ficou de fora de propósito: a ideia de rodar o agente numa conta de usuário separada. O texto da Apple diz que Full Disk Access alcança “certas configurações administrativas de todos os usuários deste Mac”, e eu não testei se a concessão em si é por conta ou por máquina. Enquanto isso não for testado aqui, não vou recomendar como isolamento.
O fio para puxar
Fica uma pergunta que o leitor de Mac corporativo vai fazer primeiro: em máquina gerenciada por MDM, parte desses painéis é travada por perfil, e a decisão não é do usuário. Quem decide, então, o que um agente de IA pode ler no notebook da empresa? E qual é a conversa que o profissional leva para o time de TI quando o fluxo de trabalho dele depende de um acesso que a política bloqueia?
Tem outra ponta solta, mais técnica: ninguém mapeou direito o que os agentes populares pedem de fato na instalação. É uma coluna de tabela que eu quero preencher com teste, não com documentação.
Se você abriu o painel e achou algo que te surpreendeu, me conta no @odanigeek no X ou no @odanigeek no Threads. Essa lista costuma render histórias melhores que a notícia.