今天三则 AI 更新看起来分别在谈：
Mac 隐私、
OpenAI 内部安全文化，
以及一个新的欧洲开放模型。
但把它们放在一起，
其实都在回答同一个问题：
AI 能力愈来愈强之后，人到底还握有多少控制权？
以前 AI 最大的风险可能只是：
回答错。
现在 Agent 开始能：
读你的文件、
看 Email、
操作 App、
运行 Tool、
长时间完成任务。
问题因此完全不一样了。
1. Apple：AI Agent 要碰整台 Mac，未来不能再只是随手打开 Full Disk Access
Apple 10 月 2 日罕见发布一则专门谈：
Full Disk Access
的开发者公告。
这个 macOS 权限原本主要是为了让：
备份软件、
安全工具
等特殊 App，
能读取一般 App 平常碰不到的系统数据。
一旦打开，
App 可能取得非常广的数据范围。
Apple 自己列出的例子包括：
- Files
- Messages
- Browsing History
也就是：
几乎整台 Mac 上最私人的数据。
Apple 现在直接说：AI Agent 让这个权限变得更危险
Apple 官方公告的措辞很直接。
公司表示，
Full Disk Access 本来就会大幅绕过 macOS 平常用来保护私人数据的控制。
现在有部分开发者，
正在用这个权限做出可能让用户没有充分理解风险的功能。
更重要的是，
Apple 特别点出：
当 AI Agent 变得愈来愈有能力、愈来愈自主时，这种等级的访问权造成的风险会大幅增加。
因此 Apple 表示，
未来会加入：
Additional Controls。
目的就是让真正想授予 Full Disk Access 的用户，
必须透过更明确的操作，
知道自己正在交出什么。
但 Apple 还没公布新机制长什么样
这里不能写成：
「macOS 现在已经改掉 Full Disk Access。」
Apple 目前公布的是：
未来会增加控制。
但尚未说明：
哪个 macOS 版本、
什么时候推出、
实际确认画面长什么样、
不同类型 App 是否会有不同权限。
所以目前最准确的说法是：
Apple 已经正式决定收紧这个入口，但新控制还没有完整公布。
为什么最近突然要处理？
时间点不是偶然。
Reuters 报导指出，
这项公告出现在 Meta Muse 引发 Mac 隐私争议之后。
有用户质疑 Muse 为什么能知道自己 Apple Messages 里的私人内容。
Meta 则否认 Muse 在没有授权下偷读 Messages，
表示相关数据访问必须由用户激活权限与 Connector。
Apple 自己的公告并没有点名：
Meta，
也没有点名：
Muse。
所以不能写成：
「Apple 认定 Muse 偷看用户消息。」
Apple真正确认的是另一件事：
Full Disk Access 的权限太广，而 AI Agent 让这种权限的后果变得比以前更大。
这件事真正重要的不是 Mac 又多一个警告窗口
以前你给一个传统 App Full Disk Access，
它通常只有几个固定功能。
但 Agent 不一样。
Agent 可以：
读数据、
理解数据、
把不同来源串在一起、
自己决定下一步，
甚至再调用其他 Tool。
所以同样一个：
「可以读文件」
的权限，
交给传统 Backup App，
和交给一个能自主规划工作的 AI Agent，
实际风险完全不同。
这也是未来所有操作系统都会面对的问题：
权限设计不能只看 App 能碰什么。
还要看：
拿到权限的 AI 能用这些数据做多少事情。
2. 曾负责 OpenAI 安全报告的人离职：他认为「先放出去、出事再修」已经不够
第二件事情发生在 OpenAI 内部。
David Robinson 10 月 3 日公开宣布，
自己已经离开 OpenAI。
他在公司工作约三年半，
并表示自己曾主导 OpenAI 多次重大模型发布时的：
Safety Reports。
他也参与 OpenAI Preparedness Framework 相关工作。
所以这不是一般员工离职后对公司的抱怨。
他原本工作的核心之一，
就是：
模型到底安全到什么程度。
Robinson 真正批评的是「Iterative Deployment」
他的核心论点不是：
「OpenAI 完全没有安全措施。」
而是他认为现在整个 Silicon Valley 很习惯的一种方法，
到了 Frontier AI 阶段可能不再够用。
这种方法就是：
Iterative Deployment。
概念很简单。
先把技术做出来。
部署。
看到问题。
修掉。
再推出更好的版本。
这其实也是整个软件产业几十年来很成功的方法。
App 出 Bug，
修 Patch。
网站遇到问题，
更新。
模型发现新的 Jailbreak，
再补 Guardrail。
问题是 Robinson 认为：
当一次失败造成的后果愈来愈大时，这个方法本身就会开始出问题。
因为试错，本来就代表一定会有「错」
如果一个 AI 只是：
推荐错电影，
这次试错没什么。
但如果 AI Agent 已经能：
操作系统、
做资安研究、
控制 Tool、
长时间自主运行工作，
一次错误的范围可能就完全不同。
Robinson 在公开文章中特别引用最近 AI Agent 越过测试环境等事件，
认为：
能力愈强，不能再把「真的发生事故后才知道哪里要补」当成主要安全方法。
他甚至认为 Frontier AI Lab 应该更像：
核电厂、
航空业。
也就是：
不是靠一层安全措施，
而是创建：
多层备援、
独立检查、
失败隔离、
人为错误防护。
这是 Robinson 的公开主张，不是已证明的 OpenAI 结论
这一点一定要分清楚。
Robinson 说：
OpenAI 的文化已经「broken」。
这是：
他的判断。
不是监管机关调查后做出的正式认定。
OpenAI 也公开回应，
公司正在持续强化：
研究与测试环境的 Security、
第三方 Evaluations、
Real-time Monitoring，
以及模型是否能在可安全管理的范围内运作。
OpenAI 表示，
必要时也会：
放慢、
暂停 Training，
或暂缓模型发布。
所以今天真正重要的不是判断：
「Robinson 对、OpenAI 错。」
而是：
连原本负责模型 Safety Report 的人，都开始认为现在的安全开发方法需要重新设计。
这跟前几天 FTC 调查其实接在一起
10 月 1 日我们才整理过：
美国 FTC 已经开始正式调查 Rogue AI Agent 风险。
现在又有 OpenAI 内部安全人士公开说：
不能再只靠 Trial and Error。
代表 Agent Safety 正在同时从：
公司内部、
操作系统、
政府监管
三个方向出现压力。
AI 安全开始不是：
「研究人员要不要担心。」
而是：
产品正式上线前到底应该通过什么流程。
3. 同一天，德国 Aleph Alpha 却把一个 78B 模型直接开放权重
第三件事情看起来完全相反。
德国 AI 公司 Aleph Alpha 10 月 3 日正式发布：
Kolibri。
这是一个：
German／English
双语的 Mixture-of-Experts Model。
总参数：
78.1B。
但每个 Token 实际激活的参数大约只有：
3.46B。
而且：
完整 Model Weights 可以下载。
License 采：
Apache 2.0。
什么叫 78B，但一次只跑 3.46B？
因为 Kolibri 使用：
Mixture of Experts，MoE。
可以想像它不是一个巨大脑袋，
每次问题都让全部神经一起工作。
而是里面放很多不同 Expert。
每一个 Token 进来后，
Routing System 只挑一部分 Expert 工作。
Kolibri 有：
384 个 Routed Experts。
每个 Token 只会启动其中：
6 个。
因此整个模型可以拥有很大的总容量，
但一次推理不必让全部 78B 参数一起运作。
这就是现在很多大型模型希望兼顾：
能力
与
Inference Cost
的方法之一。
另一个亮点是 1M Context，但要看清楚条件
Aleph Alpha 表示，
Kolibri 最长可以支持：
1,048,576 Tokens。
也就是大约：
100 万 Token。
但这个数字不能直接理解成：
「它原生就是用 100 万 Token 训练的。」
官方 Model Card 说明，
Kolibri 实际 Long-context Training 做到：
262,144 Tokens，也就是约 256K。
1M 是进一步延伸后，
Aleph Alpha 已验证品质与 Serving Efficiency 的范围。
而且官方自己也建议：
如果重视延迟、吞吐量与复杂任务，
最好控制在：
256K 以内。
这个差别很重要。
为什么一个德英模型值得列进今天重点？
因为 Aleph Alpha 打的不是：
「我要再做一个 ChatGPT。」
它一直主打：
Sovereign AI。
尤其是：
政府、
制造业、
航太、
受监管产业。
这些客户最在意的不一定是：
排行榜第一名。
它们可能更在意：
模型能不能放自己机房？
数据能不能不送给美国 Cloud？
Weights 能不能自己保存？
Deployment 能不能自己控制？
系统能不能 Audit？
而 Kolibri 这次直接给出：
完整权重＋Apache 2.0，
让企业可以把模型真正放进自己控制的 Infrastructure。
它甚至特别训练「不知道就说不知道」
Aleph Alpha 另外强调一个有意思的方向：
Abstention。
Kolibri 被特别训练，
如果你要求它根据一份文档回答问题，
但答案根本不存在于文档里，
模型应该学会：
不要硬补答案。
对一般聊天来说，
这可能没有 Benchmark 第一名那么吸睛。
但对：
政府法规、
企业文档、
RAG、
内部 Knowledge Base
反而非常重要。
因为很多企业真正怕的不是：
AI 少答一题。
而是：
AI 很有自信地补出一个不存在的答案。
开放权重并不代表没有安全问题
Aleph Alpha 自己也在 Model Card 写得很清楚：
模型虽然经过：
有害内容拒答、
PII Extraction 防护
等 Safety Training，
但：
Model-level Safeguard 不能取代 Application-level Safeguard。
也就是说，
你可以把 Kolibri 下载回去。
不代表：
下载完就可以直接放进公司 Production。
正式部署仍需要：
Content Filtering、
Output Validation、
Permission Control、
监控。
这和今天前面两则新闻其实又接起来了。
今天三件事情刚好形成三种「控制」
Apple 处理的是：
AI 可以碰哪些数据。
OpenAI 内部争论的是：
模型能力成长到什么程度之前，安全措施应该先做到哪里。
Aleph Alpha 处理的是：
模型本身到底由谁掌握。
这三层过去很容易被全部混成：
「AI 安不安全？」
但未来企业真正需要拆开看。
第一层：
Data Control。
它能读什么？
第二层：
Action Control。
它可以自己做什么？
第三层：
Model Control。
模型在哪里跑？
谁持有权重？
数据需要经过谁的 Cloud？
一般用户最值得记住的是什么？
当 AI 还只是聊天机器人时，
你最需要注意的是：
「我输入了什么？」
当 AI 变成 Agent 后，
问题会改成：
「我到底授权了它什么？」
而当企业开始自己部署模型，
问题又再往前一步：
「到底谁控制这个 AI？」
所以接下来真正成熟的 AI 系统，
不能只是：
模型更聪明。
还必须让人清楚知道：
它看得到什么、
它能做什么、
它什么时候一定要停下来，
以及最后谁真的握有控制权。
推荐阅读
今日 AI 重点｜2026/10/01：Google 推 Gemini 4 Argon、FTC 首查 Rogue Agent、Anthropic：机器人能做 74% 实体任务但仅 0.3% 划算
