# 你的 Mac 有多“健谈”？macOS 未经询问就透露的关于你的信息

> 早在任何第三方应用运行之前，macOS 本身就已经在与 Apple 的服务器通信——2020 年，人们发现其中一个通道会完全无视你的防火墙和 VPN。

HisnLabs Security & Research Team · Published 2026-08-12
Canonical: https://hisnlabs.com/zh/blog/ni-de-mac-you-duo-jiantan

一个只监视你自己安装的应用的防火墙，看到的只是一半的画面。macOS 本身会持续发起源源不断的出站连接——检查软件更新、同步 iCloud、验证应用签名——而其中一个通道曾在一段时间内几乎无法被用户屏蔽。

## trustd 的发现

2020 年 11 月 12 日，安全研究员 Jeffrey Paul 记录到：macOS Big Sur 会在证书吊销检查（OCSP）过程中，通过未加密的连接，把用于识别你打开的每一个应用的哈希值发送到 Apple 的服务器。每个请求都携带应用标识符、你的 IP 地址和一个时间戳——实际上就是一份“你何时运行了什么”的日志，以明文形式在网络上传输。

执行这些检查的进程 trustd 被列入了一份系统清单，Little Snitch 这类内容过滤工具既无法拦截也无法屏蔽它，因此开启防火墙或 VPN 都无济于事。Paul 的重点并不是 Apple 自己在读取这些日志，而是任何能看到这些流量的人——从你的网络运营商到网络上的窃听者——都可以读取。

## 这不是唯一的通道

OCSP 检查只是一个更普遍模式的例子：“软件更新”会按自己的时间表检查新版本，iCloud 和 Handoff 会在你的设备之间保持多个后台连接，Siri 建议和 Spotlight 也可能向 Apple 请求结果——这一切都发生在你打开任何一个第三方应用之前。

## 这对你意味着什么

- macOS 自身的后台流量真实存在、有据可查，并且至少有一个案例证明它能完全绕过用户安装的防火墙。
- 这更多是一个隐私和可见性问题，而不是恶意软件问题——这些流量属于 Apple 自己，但你既无法看到它，也无法对其做出选择。
- 一个能在网络层面显示所有连接、而不仅仅是应用自己声明的连接的工具，是了解你的 Mac 究竟向外发送了什么的唯一方式。

## FireAI 和 HisnLabs 在其中扮演的角色

这一切并不意味着 macOS 有恶意——它只是说明这台电脑对“什么该联网”有自己的主张。正因如此，一个能显示每个进程的每一个连接的防火墙才如此重要，哪怕你从未安装过一个有风险的应用。

FireAI 是 HisnLabs 自己的产品：一款直接在 Mac 上运行的 AI 防火墙。它用通俗易懂的语言显示你的应用建立的每一个连接，并让你决定哪些数据可以离开你的 Mac——它的 AI 在本地运行，因此你的流量永远不会发送给我们或任何其他人。HisnLabs 的安全研究团队负责让这些判断保持准确：归类哪些域名只是普通的遥测、哪些属于真正的服务，追踪连接背后的国家和网络，并用真实的流量模式训练设备端模型（FireAI Pilot 功能）——这一切都不会离开你的 Mac。

你可以阅读它背后的技术决策，或试用 FireAI 17 天：[HisnLabs 出品的 FireAI](https://hisnlabs.com/fireai/zh/download)。

## Sources

- [Jeffrey Paul: Your Computer Isn’t Yours](https://sneak.berlin/20201112/your-computer-isnt-yours/)
- [Apple Platform Security: Protecting against malware](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web)