3行でいうと

  • フルディスクアクセスは、Mac上のほぼすべてのファイルに届く、いちばん広い許可。他のアプリのデータも含む。
  • Appleは2026年10月2日、この権限をより明示的な操作でしか渡せなくする制御を予告した。時期や操作の詳細は未確認。
  • 見立てでは、まず権限を誰にも渡さずに動かし、求められたら理由を確かめるのが安全。

Macでローカルのエージェントやコーディングツールを動かすと、「フルディスクアクセスを許可してください」という案内に出会うことがあります。許可すれば動きます。ただ、その一言で渡すものは、思っているより大きいかもしれません。

この記事は、Appleの発表と公式文書で確認できたことだけを事実として書き、僕らの考えは「見立てです。」と分けています。この記事は、実際に使って確かめた記録ではありません。

フルディスクアクセスとは何か

macOSには、アプリが勝手に個人のデータを読めないようにする仕組みがあります。Appleの文書では、Transparency, Consent, and Control（透明性・同意・管理）、略してTCCと呼ばれています。カメラ、マイク、連絡先などは、アプリが使いたいときに、ユーザーの許可を求めます。

フルディスクアクセス（以下、FDA）は、その中でいちばん広い許可です。Appleのサポート文書では、アプリが「コンピュータ内のすべてのファイル」に届くようになる設定で、ほかのアプリのデータ（メール、メッセージ、Safari、ホームなど）も含む、と説明されています。Time Machineのバックアップや、一部の管理用の設定も含まれます。Mac専用で、iPhoneやiPadにはありません。

FDAは、ほかの許可の「少し大きい版」ではありません。Appleの別の文書は、FDAを、フォルダごとの許可（「ファイルとフォルダ」）や、オートメーション、アプリの管理、デベロッパツールとは別の項目として扱っています。

設定する場所

Appleのサポート文書にある手順は、次のとおりです。

  1. アップルメニューから「システム設定」を開きます。
  2. サイドバーの「プライバシーとセキュリティ」を選びます（見つからないときはスクロール）。
  3. 「ファイルとフォルダ」または「フルディスクアクセス」を選びます。
  4. 追加ボタン（＋）を押して、アプリを選び、「開く」を押します。

画面の表記は、日本語版のmacOSで確かめていません。文書の英語の表記からの訳です。

アプリが、コードや権利（entitlement）の設定だけでFDAを手に入れることはできません。Appleの開発者向け文書は、ユーザーがシステム設定で自分で許可する必要がある、と書いています。同じ文書は、バックアップのアプリのように、ファイルがどこにあっても読む必要がある用途を、例に挙げています。

「ファイルとフォルダ」との違い

「ファイルとフォルダ」は、アプリがデスクトップ、書類、ダウンロードなど、特定の場所に届くかどうかを決めます。Appleの文書では、アプリがアクセスを求めたものが一覧に出て、スイッチで切り替えられます。

見るべき違いは、範囲です。前者は場所ごと、後者はMac全体です。

Appleは何を発表したか

Apple Developerのニュースに、2026年10月2日付で「Updates to Full Disk Access in macOS」が載っています。僕らが読んだ範囲で、内容は次のとおりです。

  • Appleは、FDAは本来、バックアップのアプリが動くために、通常の保護の仕組みをほぼ迂回できるようにしたものだ、と説明しています。
  • 一部の開発者が、ユーザーを危険にさらしうる形でFDAを使っている、と指摘しています。ファイル、メール、メッセージ、ブラウザの履歴まで、ユーザーが十分に分からないまま見える状態になりうる、という書き方です。
  • 通信アプリでは、やり取りする相手のプライバシーにも関わる、と書いています。
  • 今後、この権限を渡したいユーザーが「とても明示的な操作」でしか渡せないように、追加の制御を導入する、と予告しています。
  • 理由として、AIエージェントが高機能で自律的になるほど、この権限のリスクが大きくなる、と述べています。

ここで、僕らが確認できなかった点を書きます。

  • いつから入るのか。 発表文に、時期はありません。MacRumorsも、実装の日付は示されていない、と報じています。
  • どういう操作になるのか。 具体的な画面や手順は、読めた範囲で見つかりませんでした。
  • どのアプリが対象か。 Appleは、アプリの名前を挙げていません。報道では、Meta MuseのようなAIエージェントが背景にある、という書き方がありました。ただ、これは報道側の文脈で、Appleの発表文には名前がありません。

macOS 27のリリースノートも見ましたが、FDAの新しい許可の制御に当たる項目は、読めた範囲で見つかりませんでした。関連して、別の開発チームのアプリのデータの置き場への読み書きが、確認なしに拒否される（ユーザーが「プライバシーとセキュリティ」で管理できる）という変更が、システム整合性保護の欄に載っています。ただ、これはFDAの予告とは別の話です。

反応

MacStoriesのJohn Voorhees氏は、自分のMacでFDAを持つアプリが、バックアップ以外にも多い、と書いています。ランチャーやファイル整理のアプリ、ゲームも含まれる、という内容です。そのうえで、発表が具体的でないこと、Appleが「確認を厳しくする」だけでなく、FDAを持てるアプリ自体を絞るかもしれないことを、心配しています。これは筆者個人の意見で、Appleの説明ではありません。

ターミナルやAIツールに渡すと、何が起きるか

渡したものは、その先の全部に及ぶ

ターミナルにFDAを渡す場合から考えます。技術解説ブログのEclectic Light Companyは、ターミナルで動かしたコマンドには、ターミナルアプリのプライバシー設定が使われる、と説明しています。補助的なプロセスは、親のアプリの責任として扱われます。これはApple自身の文書ではなく、第三者の解説です。

見立てです。この仕組みなら、ターミナルにFDAを渡すと、その中で動くものすべてが、FDAの範囲に届く可能性があります。自分で打ったコマンドだけでなく、エージェントが生成して実行したコマンドもです。「このツールを信頼する」ことと、「このターミナルで動くすべてを信頼する」ことは、同じではありません。

届く範囲

FDAがあれば、Appleの文書上は、ほかのアプリのデータや、バックアップにも届きます。ローカルで動かすモデル自体は、ふつう手元の外に送りません。ただ、エージェントはモデルだけでなく、ファイルを読む、コマンドを動かす、ネットワークに出る、外部のサービスにつなぐ、といった道具を持つことがあります。道具が外に出られるなら、読めるものが広いほど、困る場面も広がります。

もう一つ、Anthropicのドキュメントは、エージェントがWebや文書で出会った悪意ある文章に、指示を書き換えられる攻撃（プロンプトインジェクション）を、対策の対象として挙げています。読めるファイルが全部のとき、うまく乗っ取られた場合の被害も、全部に近づきます。これは一般的な考え方で、見立てです。

FDAがあっても、守られるもの

FDAは、何でも読み書きできる権限ではありません。Appleの開発者向け文書は、アクセスを妨げるものとして、ファイルの権限（POSIXの読み書き実行の設定）、アクセス制御リスト、システム整合性保護（SIP）などを別に挙げています。Eclectic Light Companyも、FDAは権限やアクセス制御リストの制限を上書きできない、としています。FDAを渡しても、OSの土台は守られます。ただ、ユーザーの書類、メール、メッセージの置き場は、その外側です。

渡さずに済ませる考え方

ここは、公式の文書で確かめられる範囲と、僕らの見立てを分けて書きます。

1. 作業フォルダだけに絞る

Appleのサンドボックスの文書では、アプリが外にあるファイルを使う標準的な方法は、ユーザーが開く・保存のパネルで選ぶことです。選んだフォルダには、その中身まで届きます。FDAは、この方法で足りない場合の、例外として書かれています。

コーディングエージェント側にも、同じ考え方があります。Claude Codeの公式文書によると、コマンドを動かす道具（Bash）には、macOSのSeatbeltを使ったサンドボックスがあります。標準では、書き込める場所は作業フォルダ、ユーザーごとの一時フォルダ、追加で足したフォルダに限られます。読む側は、標準では、拒否された場所を除く、コンピュータ全体です。つまり、標準の状態では、書き込みは絞られていても、読み取りの範囲は広いままです。

また、同じ文書は、作業フォルダの外に出るときに確認を求める境界が、「許可の確認」であって、OSの強制ではない、とも書いています。承認したコマンドは、そのユーザーが書ける場所に書けてしまう、という説明です。OSが強制するのは、サンドボックスをオンにしたときです。なお、この文書はClaude Codeの話で、ほかのツールが同じとは限りません。

見立てです。ツールを選ぶときは、「FDAが要る」と言われた時点で、理由を確かめたいところです。作業フォルダで足りる仕事に、FDAを求めるツールは、疑ってよいと考えます。

2. 専用のユーザーを作る

Appleのサポート文書では、ユーザーの種類は「管理者」「標準」「共有のみ」です。標準のユーザーは、アプリを入れて、自分の設定を変えられます。ほかのユーザーを追加したり、ほかのユーザーの設定を変えたりはできません。管理者のアカウントには、自動ログインを有効にしないよう、文書に書かれています。

見立てです。AI用に標準ユーザーを1つ作り、普段の書類やメールは、別のユーザーに置く。この分け方は、考え方として分かりやすいと思います。

ただし、確認できなかった点があります。

3. 渡したものを、見直す

Appleの文書にある、リセットの道具がtccutilです。許可の項目ごと、アプリごと、あるいは全部を、初期状態に戻せます。文書の例は、マイクの項目を戻すものです。全部を戻すコマンドもありますが、すべてのアプリの許可に影響します。また、MDM（組織の管理の仕組み）で設定された許可は、これでは戻りません。

FDAの一覧を、ときどき開いて、いまも必要なアプリかを見ることをおすすめします。操作の細部は、お使いのmacOSの画面で確認してください。

M6 Mac miniをAIサーバーにする人へ：最初の整理

ここは、全体が見立てです。公式の文書に、この順番で書かれているわけではありません。

順番 やること 根拠
1 管理者のアカウントとは別に、AI用の標準ユーザーを作る Appleのユーザー種別の説明
2 管理者には自動ログインをつけない 同上
3 モデル、作業フォルダ、ログは、AI用ユーザーのホーム以下の、1か所にまとめる 作業フォルダに絞る考え方
4 最初は、FDAを誰にも渡さずに動かす Appleの発表：FDAは例外的な権限
5 「ファイルとフォルダ」の確認が出たら、フォルダごとに判断する 同文書：場所ごとの許可
6 FDAを求められたら、理由を確かめる。ターミナルに渡すときは、動くものすべてに及ぶ前提で考える Eclectic Light Companyの説明
7 エージェントのサンドボックスは、書き込み側だけでなく、読み取りの範囲と、認証情報の置き場も確認する Claude Codeの文書
8 家のネットワークの公開範囲は、別に決める 前の記事（家のAIサーバー）参照

Mac miniは、画面の前に誰もいない時間が長くなります。確認の画面が出ても、気づかないまま、許可を押し続けるかもしれません。サーバーとして置く機械ほど、「最初に渡さない」ことの価値は上がると考えます。

3番について補足します。メールやメッセージは、AI用ではない普段のユーザーに置いたままにします。AI用のユーザーの作業がそのフォルダの中で済むなら、FDAがなくても、多くの仕事は足りるはずです。ただし、これはこの記事でまだ確かめていない予想です。

気をつけること

出典

更新履歴