适用场景
本地跑的 AI 智能体通常要读写文件：整理下载目录、改代码、抓取笔记、生成报表。多数人图省事，直接在自己日常用的终端里启动它，结果它继承了终端的一切权限，能翻到聊天记录、浏览器数据、SSH 私钥。这套方案解决的就是这个问题：用一个专用低权限账号 + 目录级授权 + 克制的 TCC 授权，把智能体的可触达范围压到"只碰该碰的文件"。
需要说明的是，近年 macOS 对隐私资源的管控在持续收紧，受保护的目录和系统能力只会多不会少，具体某个版本弹什么窗、拦什么路径，以官方文档当前版本为准。
环境与前置条件
- 操作系统：macOS。不同大版本在"隐私与安全性"面板的条目位置有差异，以本机实际界面为准。
- 账号：至少一个管理员账号（用于创建用户、改权限、装 LaunchDaemon），外加一个专门给智能体用的标准账号。
- 运行时：智能体自身的依赖（Python、Node、模型文件等）先确认能在命令行正常启动。
- 磁盘：工作目录预留足够空间，模型权重动辄几 GB 到几十 GB，建议单独放在
/Users/Shared下而不是用户家目录。 - 内存/显存：纯本机推理对内存要求较高，具体门槛取决于模型规模，先跑通再谈收敛。
- 操作前先停掉正在运行的智能体进程，避免改权限时它还在写文件。
分步骤部署
步骤一：先盘点智能体现在能碰到什么
在收紧之前，先知道现状。看它由什么启动：
```bash
ps -ef | grep -i -E "agent|ollama|python|node" | grep -v grep
```
如果进程的父进程是 Terminal 或 iTerm，说明它跑在一个通用终端里——这个终端有权限看的，它都有。接着看看终端本身被授了什么：
```bash
osascript -e 'id of app "Terminal"'
ls ~/Library/Messages 2>&1 | head -3
```
第二条命令如果直接列出文件，说明当前终端有完全磁盘访问权限，凡是它启动的子进程都能读聊天数据库。这一步不修改任何东西，目的是确认风险面。
步骤二：创建专用低权限账号
权限收敛的第一道边界是账号边界，比任何配置都硬。
图形方式：系统设置 → 用户与群组 → 添加用户 → 新账号选"标准"，不要勾选"允许用户管理这台电脑"。
命令行方式：
```bash
sudo sysadminctl -addUser aiagent -fullName "AI 词典：AI Agent">AI Agent" -shell /bin/zsh -password -
```
执行后会提示交互式输入密码（不要写在命令里）。标准账号默认不在 sudoers 里，这正是需要的效果。验证：
```bash
id aiagent
sudo -u aiagent whoami
```
预期输出 aiagent。如果 sudo -u aiagent sudo -n true 返回失败，说明该账号没有提权能力，符合预期。
步骤三：建工作目录并放权
给智能体一块自己的地，别的都不给：
```bash
sudo mkdir -p /Users/Shared/agent-workspace/{inbox,outbox,scratch,logs}
sudo chown -R aiagent:staff /Users/Shared/agent-workspace
sudo chmod -R 750 /Users/Shared/agent-workspace
```
750 表示属主可读写执行、同组可读执行、其他人完全看不到。
如果智能体需要读某个项目目录，但不需要改，用 POSIX ACL 精确加权限，不要动整个目录的属主：
```bash
sudo chmod +a "user:aiagent allow read,execute,list,search" /Users/you/project
ls -le /Users/you/project
```
ls -le 会多出一行 ACL 条目。撤权时按条目文本原样删除：
```bash
sudo chmod -a "user:aiagent allow read,execute,list,search" /Users/you/project
```
同时把自己的家目录收一收，防止跨账号翻页：
```bash
sudo chmod 700 /Users/you
```
步骤四：用专用账号运行智能体
临时调试：
```bash
sudo -u aiagent -H /bin/zsh -l
```
进去以后 whoami 应返回 aiagent，echo $HOME 应返回 /Users/aiagent。在这个 shell 里启动智能体。
要常驻就写成 LaunchDaemon（系统级），由 UserName 指定运行身份。建文件 /Library/LaunchDaemons/com.example.localagent.plist：
```xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key><string>com.example.localagent</string>
<key>UserName</key><string>aiagent</string>
<key>ProgramArguments</key>
<array>
<string>/usr/bin/python3</string>
<string>/Users/Shared/agent-workspace/agent.py</string>
</array>
<key>WorkingDirectory</key><string>/Users/Shared/agent-workspace</string>
<key>StandardOutPath</key><string>/Users/Shared/agent-workspace/logs/agent.out.log</string>
<key>StandardErrorPath</key><string>/Users/Shared/agent-workspace/logs/agent.err.log</string>
<key>RunAtLoad</key><true/>
<key>KeepAlive</key><true/>
</dict>
</plist>
```
权限与加载：
```bash
sudo chown root:wheel /Library/LaunchDaemons/com.example.localagent.plist
sudo chmod 644 /Library/LaunchDaemons/com.example.localagent.plist
plutil -lint /Library/LaunchDaemons/com.example.localagent.plist
sudo launchctl bootstrap system /Library/LaunchDaemons/com.example.localagent.plist
```
plutil -lint 输出 OK 表示语法没问题；launchctl print system/com.example.localagent 能看到状态即加载成功。卸载用 sudo launchctl bootout system/com.example.localagent。
步骤五：按需开启 TCC 授权，并知道去哪里撤销
TCC 是 macOS 的隐私授权框架，"隐私与安全性"面板里的每一项都归它管。关键认知有三条：
第一，授权对象是"应用身份"，不是某个进程。带签名的 .app 按 bundle id 记录；命令行程序没有自己的身份，于是授权被记在它的父进程（比如 Terminal）上。所以给终端开完全磁盘访问，等于给在这个终端里跑过的所有脚本开权限，包括 sudo 之后的子进程。这也是本方案不推荐给通用终端开 FDA 的原因。
第二，涉及磁盘范围的两个入口要分清：桌面/文稿/下载 是三个独立条目，只对已授权的 App 开放；"完全磁盘访问权限"是更宽的集合，包含邮件、信息、Safari 数据、Time Machine 备份等位置。
第三，脚本无法替你打开这些开关，必须人工在图形界面操作，这是设计使然。真要开，优先给一个功能单一的专用 .app，而不是终端。
撤销路径：系统设置 → 隐私与安全性 → 对应分类 → 关掉开关即撤销，立即生效。如果条目残留或想整体重来：
```bash
sudo tccutil reset All
sudo tccutil reset All com.apple.Terminal
```
第一条重置所有 App 的授权，之后每个 App 都会重新弹窗，谨慎使用。第二条只重置指定 bundle id，bundle id 可以用 osascript -e 'id of app "Terminal"' 查。部分服务支持单独重置（如 tccutil reset SystemPolicyAllFiles），是否支持以本机 tccutil 的提示为准。
验证部署是否成功
逐条执行，观察预期结果：
```bash
1. 身份正确
sudo -u aiagent whoami # 预期：aiagent
2. 工作目录可写
sudo -u aiagent touch /Users/Shared/agent-workspace/scratch/t.txt # 预期：无报错
3. 用户家目录不可读
sudo -u aiagent ls /Users/you/Documents # 预期：Permission denied
4. SSH 私钥不可读
sudo -u aiagent cat /Users/you/.ssh/id_ed25519 # 预期：Permission denied
5. 受 TCC 保护的数据不可读
sudo -u aiagent ls ~/Library/Messages # 预期：Operation not permitted
6. TCC 数据库不可读（SIP 保护）
sudo -u aiagent sqlite3 /Library/Application\ Support/com.apple.TCC/TCC.db ".tables"
预期：报错，无法打开
```
第 4、5 条的失败原因不同：第 4 条是 POSIX 权限位拦住的，第 5 条是 TCC 拦住的，哪怕文件权限位是 777 也照样拒绝。另外提醒一句，TCC 的判定跟着"负责进程"走，如果当前终端本身有完全磁盘访问权限，用 sudo -u 切用户后仍可能读到受保护数据。所以第 5 条的最终确认，建议在一个没有开 FDA 的终端里做，或者直接以 aiagent 身份图形登录后操作。
常见报错与解决
报错：Operation not permitted（读 ~/Library/Messages、~/Library/Safari 等）
原因：不是权限位问题，是 TCC 拦截，root 也不一定绕得过去。
解决：不要试图用 chmod 或 sudo 硬闯。正确做法是让智能体不依赖这些数据；确实需要时，由用户手动把内容导出到工作目录，或专门做一个功能单一的 App 去申请授权。
报错：Permission denied（跨账号读文件）
原因：家目录被设为 700，或目标目录 ACL 未包含该账号。
解决：
```bash
ls -le /Users/you
sudo chmod +a "user:aiagent allow read,execute,list,search" /Users/you/shared-input
```
报错：launchctl bootstrap 返回 Bootstrap failed: 5: Input/output error
原因：plist 语法错误、属主/权限不对，或该 Label 已加载。
解决：
```bash
plutil -lint /Library/LaunchDaemons/com.example.localagent.plist
sudo chown root:wheel /Library/LaunchDaemons/com.example.localagent.plist
sudo chmod 644 /Library/LaunchDaemons/com.example.localagent.plist
sudo launchctl bootout system/com.example.localagent
sudo launchctl bootstrap system /Library/LaunchDaemons/com.example.localagent.plist
```
报错：tccutil 提示 No such bundle identifier
原因：bundle id 写错或用的是 App 显示名。
解决：
```bash
osascript -e 'id of app "Terminal"'
sudo tccutil reset All com.apple.Terminal
```
报错：智能体启动后日志里全是写日志文件失败
原因：StandardOutPath 所在目录不存在，或 aiagent 对该目录无写权限。
解决：
```bash
sudo mkdir -p /Users/Shared/agent-workspace/logs
sudo chown -R aiagent:staff /Users/Shared/agent-workspace/logs
```
后续维护
备份：需要备份的是配置，不是模型文件。把 LaunchDaemon plist、ls -le 输出的 ACL 清单、TCC 授权项的截图归到一个目录里。目录 ACL 恢复时按记录逐条 chmod +a 重放即可。
升级：macOS 大版本升级后重新跑一遍上面的验证清单，隐私面板的条目、启动项的加载状态都可能变化，某些授权会重新弹窗。智能体框架自身升级后同样重跑一遍，因为新版可能新增了对新路径的访问需求。
日志与审计：看 TCC 相关事件用统一日志：
```bash
log show --last 1d --predicate 'subsystem == "com.apple.TCC"' --info | tail -50
log stream --predicate 'subsystem == "com.apple.TCC"' --level info
```
智能体自身的输出看 plist 里配置的 agent.out.log / agent.err.log，建议加轮转，别让日志把磁盘写满。
定期复查：每隔一段时间以 aiagent 身份跑一遍验证清单前三条，确认工作目录仍然可写、家目录仍然不可读；再用 ls -le 检查有没有人为加的临时 ACL 忘了撤。给出去的权限容易，收回来靠的是有节奏地复查。