那个为盲人而造的开关，成了 AI 的万能钥匙。

如果你最近装过几款时髦的 AI 工具，会发现一个奇怪的巧合：它们要做的事南辕北辙，弹出的第一个系统授权框却一模一样。

语音输入。Typeless 让你按住 Fn 键说话，文字就落进当前任何一个输入框里。要把听写结果插进 Google Docs、Notion、Gmail、Slack，它需要「辅助功能」权限——因为只有它能把文字写进别人的应用。

屏幕助手。Cluely 是一层桌面浮窗：用 OCR 读你的屏幕、用语音转写抓系统声音，喂给大模型，再把答案飘在最上层。它要的是屏幕录制 + 辅助功能。

桌面智能体。Claude 的 computer use 更直接——它要替你点鼠标、敲键盘、滚页面。Anthropic 的文档写得明明白白：第一次使用时，系统会要你授予两项权限：辅助功能（点击、输入、滚动）和屏幕录制（看到屏幕）。

听写、偷看、代劳——三件事的产品形态、商业模式、目标用户完全不同。但操作系统只给了它们一条进门的路。这不是巧合，而是结构：在 macOS 上，「无障碍访问」是所有「没有 API 的应用」之间唯一的通用接口。AI 应用想理解你的屏幕、想跨应用行动，除了这道门，几乎无路可走。

大多数人按下「允许」时，以为自己授权的是「让这个 App 帮我打字」。实际授权的范围要大得多。

macOS 的无障碍框架核心是一个叫 AXUIElement 的东西。它把每一个正在运行的程序的界面，暴露成一棵结构化的树：每个按钮、文本框、菜单、标签、滑块、表格,都带着自己的角色、标签、当前值、坐标和尺寸（Apple 开发者文档）。

关键在于：这棵树是跨应用的。一旦某个 App 拿到辅助功能权限，它能查询的就不只是自己的界面，而是系统里任何一个运行中程序的任何 UI 元素——包括浏览器里渲染出来的网页内容。换句话说，你以为的「语音输入工具」，技术上可以读取你 Gmail 草稿的正文、你银行页面上的数字、你和别人聊天窗口里的字。

更进一步，辅助功能权限还允许应用拦截和生成输入事件——读取你的键盘输入、模拟点击与按键。Apple 自己的支持文档里那句警告很克制但很重：拥有辅助功能权限的应用「不仅能控制你的电脑，还能读取你输入设备上的一切」（Apple 支持）。技术上，这与一个键盘记录器的能力边界没有区别。

而这一切，是一个二进制开关。系统层面没有「只允许读取这一个 App」「只允许写入不允许读取」这样的粒度。你要么把整台机器的界面交出去，要么这个 App 一点也用不了。How-To Geek 早年就总结过这个尴尬：辅助功能权限是 Mac 上少数「全有或全无」的授权之一。

理论上的「能读取一切」，在 Typeless 的案例里变成了具体的、可验证的行为。

2025 年 11 月，一位研究者（@medmuspg）反编译了 Typeless，把它的真实权限边界摊在桌面上。结论由 Voibe 的分析整理如下——这是一款主打「隐私优先 / 本地处理」的语音输入工具，实际上：

• URL  抓取浏览网址——包括 Gmail、Google Docs 内部的页面
• WINDOW  读取窗口标题与当前聚焦的应用名
• CLIPBOARD  读取剪贴板内容——对一个语音转文字工具来说「极不寻常」
• AUDIO  语音被发往 AWS us-east-2（俄亥俄）转写；所谓「on-device」指的只是听写历史存在本地，不是转写发生在本地

研究者的判断是：Typeless 申请的权限面（屏幕录制、摄像头、蓝牙、完整辅助功能）远宽于一个语音输入工具严格需要的范围，由此构成了「一份与『隐私优先』营销不一致的隐私画像」。

这里要说清楚：我们没有证据说 Typeless 在恶意滥用这些数据。重点不在动机，而在能力——一旦那颗按钮被按下，这些能力就客观存在，是否被使用、被传到哪里、保留多久，对用户而言是一个黑盒。无障碍权限的特性，就是把「信任一个公司」偷换成了「信任一份二进制文件此刻和未来的每一次更新」。

这里藏着整件事最深的一层反讽。

无障碍 API 不是为 AI 设计的。它诞生于二十多年前，目的只有一个：让屏幕阅读器（macOS 上的 VoiceOver）能把界面「读」给看不见屏幕的人听。为了做到这点，系统必须把界面拆成机器可理解的语义结构——每个元素是什么、叫什么、现在是什么值。一篇广为流传的工程文章把这层意思讲透了：你花了多年把 UI 做得对屏幕阅读器友好，结果你也在为 AI 智能体铺路——只是当时你不知道。

为什么智能体如此偏爱它？因为它快。Fazm 的实测给出了数字：读取一次无障碍元素树大约 50 毫秒，比「截图 + 视觉模型识别」的方案快 40 到 100 倍，而且拿到的是干净的语义（「这是一个名为『发送』的按钮，在坐标 X,Y」），而非一堆需要再推理的像素。

于是一个为残障者构建的、本应是普惠与善意象征的基础设施，在二十年后被发现是自动化最高效的入口。盲道成了赛道。这不是谁的恶意，而是技术的路径依赖：当你需要一个「能理解任意界面的通用接口」，操作系统里早就躺着一个现成的，且最初的设计目标恰好与你高度重合。

反讽还有第二层：正因为这个接口是为「辅助」而生的，它的权限模型也带着那个时代的假设——授予权限的对象是一个本地的、为你服务的、可信的辅助程序。它从未预设过：申请者背后会连着一个云端大模型，会自动更新，会把读到的东西发往俄亥俄。今天的威胁模型，和这把锁被设计时的世界，差了二十年。

值得注意的是：Claude 的 computer use 拿的是和 Typeless、Cluely 一模一样的两项系统权限——辅助功能 + 屏幕录制。但它在这之上，自己重新发明了操作系统没给的粒度。

操作系统层面是「全有或全无」；Anthropic 在用户态把它切碎了。根据官方文档，它的约束包括：

这套设计的潜台词很清楚：操作系统的权限原语已经不够用了。当一个授权对象不再是「本地可信小工具」而是「会自主行动的智能体」，「全有或全无」就是个危险的二选一。负责任的做法，是在应用层把 OS 缺失的那层粒度补回来——按 App、按动作类型、按会话、可随时熔断。

但这也暴露了今天的脆弱：这层粒度是自愿的。Claude 选择把浏览器设为只读，是 Anthropic 的产品决策，不是系统的强制。换一个没那么自律的 App，拿着同样的两项权限，可以什么都做、什么都不告诉你。Cluely 就是反面教材：它用 GPU 底层钩子（Windows 上 DirectX、macOS 上 Metal）把浮窗渲染成对 Zoom、Meet、Teams 屏幕共享不可见——同样的权限，用途却是刻意的隐蔽。它已被亚马逊、Anthropic 及数十家《财富》500 强公司封禁（tl;dv 评测）。

问题的另一半在用户这边。授权框背后是一套叫 TCC（透明、同意与控制）的机制，它假设按下「允许」的人，能判断这次授权值不值得。

这个假设在 AI 时代正在失效。普通人一天里要面对的权限弹窗已经太多——位置、通知、麦克风、相册、剪贴板……到了「是否允许此 App 控制你的电脑」时，大多数人早已进入同意疲劳的自动点击状态。而恰恰是这一个授权，比前面所有加起来都更危险。它不是「读取你的某一类数据」，而是「读取并操作你屏幕上发生的一切」。

与此同时，新的法律边界也被推到了前台。Cluely 那种「不被发现地捕获会议内容」的能力，在美国 13 个采用双方同意录音法的州（加州、佛州、伊利诺伊、宾州、华盛顿等）里，可能直接构成违法（tl;dv）。会议笔记工具 Granola 则在另一个方向触雷：被指默认把每条笔记设为可分享链接、并默认将用户笔记用于 AI 训练，除非你深挖设置手动关掉（The Meridiem）。

放到组织层面，盲区更大。2026 年上半年的一份行业报告显示，48.9% 的组织完全看不见自家非人类（智能体）流量在做什么，48.3% 无法把合法 AI 智能体与恶意机器人区分开（Security Boulevard）。当员工在自己的 Mac 上随手给某个 AI 工具开了辅助功能权限，IT 部门往往根本不知道企业的哪些屏幕内容已经流出了边界。

最容易得出的结论是「AI 应用变得太贪婪、太危险了」。这个结论不全错，但它指错了方向。

真相是：无障碍权限一直这么强大。在 AI 之前，你机器上的剪贴板管理器、文本扩展工具（TextExpander）、窗口管理器（Rectangle）、快捷启动器（Raycast、Alfred）——它们早就拿着同一把钥匙，能力边界和今天的 AI 工具完全一致。这颗装着实弹的扳机，在 macOS 的设置面板里明晃晃地摆了十五年，只是从没什么人有强烈的动机，去大规模地扣动它。

AI 改变的不是权限本身，而是两样东西：索要它的动机，和闸门后面的价值。当一个语音工具、一个会议浮窗、一个能自主行动的智能体都急切地需要「理解你的整个屏幕」时，请求这项权限第一次成了主流产品的标配；而当背后接的是一个能理解、记忆、并把内容传向云端的大模型时，「读到了什么」的后果，也第一次变得不可估量。

所以真正该升级的，是三层东西。操作系统需要为智能体时代设计新的权限原语——按应用、按动作、可观测、可撤销，而不是一个二十年前的二进制开关。应用方在 OS 补齐之前，有义务像 Claude 那样在用户态自建粒度与刹车，而不是像 Typeless 那样默默申请一个远超所需的权限面。用户则需要重新学会：「是否允许此 App 控制你的电脑」这一个弹窗，是普通人日常会做的最重大的一次安全决策，值得停下三秒，去想想按下「允许」之后，这把钥匙连着的是谁、通向哪里。