Apple 后台安全改进（BSI）：macOS 静默安全更新完整指南

2026 年 3 月 17 日，Apple 向全球 macOS Tahoe 用户发布了史上首个「后台安全改进」（BSI）更新。这不只是一次普通的安全补丁，而是 Apple 自 WWDC 2025 以来精心构建的全新安全交付系统的首次亮相——该系统旨在彻底解决自 macOS Ventura 引入「快速安全响应」（RSR）以来所暴露出的种种问题：应用崩溃、版本号混乱以及强制重启带来的摩擦。此次更新针对 WebKit 同源策略绕过漏洞，悄无声息地完成安装，耗时仅数秒，无需重启。对于数百万 Mac 用户而言，一切表面看来没有任何变化，而幕后，一切已焕然一新。

核心要点

• Apple 于 2026 年 3 月 17 日发布首个 BSI 更新，修补了 macOS Tahoe 26.3.1 中的一个 WebKit 漏洞，该漏洞允许恶意构造的网页内容绕过同源策略。
• BSI 取代了快速安全响应（RSR）——这一于 macOS Ventura 推出的应急补丁系统曾因应用损坏、版本号混乱及强制重启等问题饱受诟病。
• BSI 更新通过「隐私与安全性」设置安装，而非通过「软件更新」——这是与标准 macOS 更新在架构层面的刻意分离。
• 绝大多数 BSI 补丁无需重启，且更新包体积远小于 RSR 的有效载荷。
• 企业管理员需要更新其 MDM 策略和工作流程，以适应这一新的更新通道，尤其是通过 Addigy、Jamf 或 Kandji 管理设备群的团队。

什么是后台安全改进？

后台安全改进是 Apple 在主要 macOS 版本发布间隔期交付关键安全补丁的第二代系统。BSI 于 WWDC 2025 上作为 macOS Tahoe 安全框架 的一部分发布，代表着 Apple 对如何将紧急安全修复快速推送至最终用户这一问题的全面重新思考。

核心理念简单明了：当 Apple 发现 Safari、WebKit 或其他关键系统组件中存在被积极利用的漏洞时，无需推送完整的操作系统更新即可修复。BSI 允许 Apple 在后台精准修补特定组件，不打断用户工作流程，也无需系统重启。

技术定义

BSI 是一种模块化、组件级别的安全更新机制，独立于标准「软件更新」通道运行。与其替换整个系统框架或要求必须重启的内核级更改不同，BSI 针对单个组件——最主要的是 WebKit、Safari 及相关安全库——进行二进制补丁，补丁立即生效或在简短的后台进程完成后生效。

Apple 官方文档将 BSI 更新描述为「在软件更新之间提供重要的安全改进」。但这低估了其工程意义。BSI 从根本上将 macOS 更新架构从单体模型（安全修复与操作系统版本发布捆绑在一起）转变为模块化模型（各组件可独立更新）。

BSI 与常规 macOS 更新的区别

标准 macOS 更新——您在「系统设置」→「软件更新」中看到的那些——是综合性软件包。当 Apple 发布 macOS Tahoe 26.3 或 26.4 时，这些更新涵盖了错误修复、新功能、驱动程序更新以及安全补丁，统一打包在一起。它们体积从数百兆字节到数吉字节不等，需要大量下载时间，且几乎都需要重启。

BSI 运行在完全不同的轨道上。这些更新体积小（通常不超过 50 MB），专注于安全关键组件，并且设计为在不影响用户使用体验的情况下安装完毕。您不会看到进度条，也不会看到黑屏上旋转的地球图标。Mac 应用修复后便继续运行。

这一区别至关重要，因为安全漏洞不会等待方便的更新窗口期。周一发现的零日漏洞需要在下一个计划更新周期（可能是数周后）之前完成修补。BSI 使 Apple 能够在数小时内而非数天内做出响应。

BSI 与快速安全响应的区别

这是最关键的比较，理解它需要先了解 RSR 出了什么问题。BSI 和 RSR 的目标相同——在主要版本发布之间快速提供安全补丁——但在执行层面存在实质差异：

交付机制： RSR 更新与常规 macOS 更新一同出现在「软件更新」中。BSI 更新则通过「隐私与安全性」设置交付和管理，在安全补丁与功能更新之间建立了清晰的分离。

安装影响： RSR 经常需要重启，有时需要数分钟。BSI 更新在后台安装，绝大多数补丁无需重启。

变更范围： RSR 可修改更广泛的系统组件，有时导致意外的副作用。BSI 有意将范围限制在安全关键组件，减少了兼容性问题的潜在面。

版本号： RSR 使用令人困惑的字母后缀系统（macOS 13.3.1 (a)、macOS 13.3.1 (b)），让用户和 IT 管理员都感到困惑。BSI 更新完全不改变可见的 macOS 版本号。

回滚： RSR 更新可以通过「设置」移除，但过程繁琐且有时不完整。BSI 包含改进的回滚机制，Apple 可在检测到问题时在服务器端触发回滚。

历史背景：Apple 为何取代快速安全响应

要理解 BSI 为何诞生，需要先了解快速安全响应为何未能达到 Apple 自身的标准。

RSR 的初衷

Apple 于 WWDC 2022 发布了快速安全响应，并于 2022 年底随 macOS Ventura 一同推出。其理念引人注目：无需等待完整的 macOS 版本更新来修补关键漏洞，Apple 可以推送小型、有针对性的安全修复，用户可以快速安装。理论上，这将大幅缩短零日漏洞的暴露窗口期。

最初几个月，RSR 看似运转正常。Apple 推送了数次应急补丁，安全社区对更快的响应速度给予好评。

RSR 的问题所在

问题始于 2023 年初，并在随后数月持续发酵。

2023 年 7 月的 RSR 事件。 Apple 于 2023 年 7 月 10 日发布了 RSR 更新 macOS 13.4.1 (a)。数小时内，大量报告涌入，反映该更新导致许多用户的 Safari 出现问题。网站无法正常加载，某些 Web 应用停止运行，部分用户遭遇内核崩溃。Apple 撤回了该更新，数日后发布了修订版，并发布了支持文档说明如何移除有问题的补丁。对于一个旨在建立快速安全修补信任的系统而言，这是严重的信誉损失。

版本号混乱。 字母后缀系统让用户和 IT 管理员都感到困惑。看到「macOS 13.3.1 (a)」时，人们很难立刻明白这意味着什么——是测试版，还是预发布版？需要追踪操作系统版本以满足合规要求的企业环境不得不调整其工具链来处理这些异常的版本字符串。部分 MDM 平台无法正确解析带后缀的版本，导致设备群报告不准确。

重启要求削弱了价值主张。 RSR 本应快速而无干扰，但许多 RSR 更新仍需重启。对于正在处理工作的用户——尤其是运行长时间渲染任务、数据库操作或虚拟机的专业人员——意外的重启提示令人不满。部分用户开始完全禁用 RSR，这违背了安全更新的初衷。

应用兼容性问题。 除 Safari 事件外，多次 RSR 更新导致第三方应用出现问题。VPN 客户端、安全软件以及某些浏览器扩展在 RSR 安装后表现异常。由于 Apple 出于漏洞保密的必要性，无法在安全补丁发布前提供预览，开发者几乎没有机会针对 RSR 更新进行测试。

采用犹豫。 随着 RSR 问题报告不断累积，许多 IT 管理员开始建议其组织禁用 RSR，等待经过更充分测试的标准版本更新。这与 Apple 的初衷背道而驰——原本为加速安全采用而设计的系统，反而在最注重安全的组织中造成了延迟。

Apple 的内部应对

根据 Eclectic Light Company 的报道及 WWDC 2025 会议材料的印证，Apple 安全工程团队早在 2024 年中期便开始研发 BSI。团队对 RSR 不足之处的分析催生了新替代系统的几项设计原则：

1. 最小化安装影响——消除绝大多数补丁的重启要求。
2. 减少变更范围——只修补必要的内容，绝不多改。
3. 与「软件更新」分离——不将安全补丁与功能更新混淆。
4. 隐形版本号——不改变用户可见的 macOS 版本字符串。
5. 改进测试基础设施——在部署前为补丁建立更好的自动化验证流程。

这些原则直接影响了 BSI 设计的方方面面，从技术交付机制到面向用户的设置位置。

BSI 更新的技术原理

理解 BSI 的技术架构有助于解释为何它比 RSR 更可靠，以及为何它代表了操作系统安全性的真正进步。

交付流程

BSI 更新通过独立于标准「软件更新」服务器的专用内容交付基础设施流转。当 Apple 安全团队发现值得推送 BSI 补丁的漏洞时，将触发以下流程：

1. 补丁开发。 Apple 工程师针对特定漏洞开发精准修复方案。与完整操作系统更新不同，该补丁仅修改受影响组件（如 WebKit 渲染引擎、特定安全库或 Safari 网络栈）。

2. 自动化测试。 补丁针对 Mac 硬件配置矩阵、第三方应用及网络环境进行自动化兼容性测试。Apple 在 RSR 事件后大幅扩展了这一测试基础设施。

3. 分阶段推出。 BSI 更新采用分阶段部署模式。Apple 最初将更新推送给一小部分符合条件的 Mac，通过崩溃报告和遥测数据监控问题，然后逐步扩大推出范围。这与 RSR 通常同时向所有符合条件的设备推送的方式形成对比。

4. 后台下载。 一旦您的 Mac 被选中接收更新，BSI 有效载荷将在网络活动较低的时段在后台下载。考虑到 BSI 有效载荷体积较小（通常不超过 50 MB），即使在慢速连接上也能迅速完成下载。

5. 静默安装。 安装在 Mac 检测到适当条件时自动进行——通常是系统处于空闲但已唤醒状态。受影响组件就地完成修补，新代码在组件下次加载时立即或自动生效。

为何无需重启

无需重启是 BSI 相对于 RSR 最直观的改进，理解其原因十分值得。

传统 macOS 更新通常需要重启，因为它们修改的是在启动时加载到内存中的组件——内核扩展、核心系统框架以及系统运行时无法安全替换的安全策略。RSR 有时也因同样的原因需要重启：它所交付的补丁可能触及这些深层嵌入的组件。

BSI 刻意将范围限制在可在运行时安全更新的组件上。例如，WebKit 作为每个 Safari 标签页和 Web 视图的独立进程运行。当 BSI 修补 WebKit 时，它更新磁盘上的二进制文件；新的 WebKit 进程自动使用修补后的版本，而现有进程则继续运行旧版本，直至被自然回收（例如，关闭标签页或退出 Safari）。

这种进程级隔离是 Apple 多年来在 Apple Silicon Mac 上持续构建的安全架构演进的直接受益，其中每个组件都以最小权限在自己的沙盒中运行。

与「隐私与安全性」设置的集成

BSI 更新通过**「系统设置」>「隐私与安全性」**管理，而非通过「软件更新」。这一架构选择服务于多重目的：

• 向用户表明 BSI 是安全功能，而非软件功能。
• 防止 BSI 更新因用户推迟标准软件更新而意外被延迟。
• 允许 Apple 为安全补丁维护独立的启用/禁用机制。
• 通过将安全补丁保留在其独立领域内，降低「软件更新」界面的复杂性。

在「隐私与安全性」中，BSI 拥有标注为「后台安全改进」的独立开关。启用（默认状态）时，Mac 将自动检查、下载并安装 BSI 更新。禁用时，Mac 将不会收到 BSI 更新，直至相应修复被纳入下一个标准 macOS 版本更新。

首个 BSI 更新：WebKit 同源策略补丁（2026 年 3 月 17 日）

首个 BSI 更新于 2026 年 3 月 17 日发布，针对 WebKit 同源策略实现中的特定漏洞——现代 Web 的基础安全机制之一。

什么是同源策略？

同源策略（SOP）是 Web 浏览器中至关重要的安全概念。它防止在一个网站上运行的代码访问另一个网站的数据。例如，当您在一个标签页中打开网上银行，在另一个标签页中打开某新闻网站时，SOP 确保该新闻网站的 JavaScript 无法读取您的银行账户信息。

SOP 基于三个标准限制跨域请求：协议（HTTP 与 HTTPS）、域名以及端口号。如果两个页面中的任何一项不同，它们将被视为不同来源并相互隔离。

漏洞详情

首个 BSI 更新所修补的漏洞，允许恶意构造的网页内容绕过 WebKit 的同源策略。实际上，这意味着攻击者可以创建一个网页，当 Mac 用户访问该网页时，可能：

• 读取用户在 Safari 中打开的其他网站的数据。
• 获取其他来源的身份验证令牌和会话 Cookie。
• 从其他标签页中运行的 Web 应用程序中窃取敏感信息。

Apple 的安全公告将此漏洞评级为高危。尽管 Apple 在 BSI 发布时未确认存在积极利用行为，但该漏洞的性质——广泛使用的渲染引擎中的 SOP 绕过——使得快速修补至关重要。WebKit SOP 绕过漏洞在漏洞赏金项目中始终是最具价值的漏洞之一，因为它们破坏了浏览器安全的基本边界。

补丁技术细节

根据 Eclectic Light Company 发布的分析，此次 BSI 更新修改了与跨域请求处理相关的多个 WebKit 框架文件。补丁收紧了 WebKit 网络层中的验证检查，确保跨域请求即使在涉及重定向链和某些 MIME 类型处理场景的边缘情况下也能正确执行 SOP 规则。

首个 BSI 更新的有效载荷总大小约为 32 MB——远小于 Apple 此前发布的最小 RSR 更新。该更新适用于所有运行 macOS Tahoe 26.3.1 的 Mac，无论硬件配置如何。

macOS 26.3.2 的区别

值得注意的是，同一天（2026 年 3 月 17 日），Apple 还作为单独的标准软件更新发布了 macOS Tahoe 26.3.2，专门针对 MacBook Neo。这不是 BSI 更新——而是通过「软件更新」交付的传统版本更新，专门解决 MacBook Neo 配置特有的硬件问题。

这一同步发布实际上清晰地展示了 BSI 的价值主张：WebKit 安全修复需要立即惠及所有 Mac 用户（通过 BSI），而 MacBook Neo 特有的修复则通过标准更新通道交付，因为这些修复涉及无法不重启即完成修补的硬件驱动程序和系统组件。

社区反应

Mac 安全社区对首个 BSI 更新的反应压倒性地正面。MacRumors 于 3 月 17 日报道称，该更新对用户来说安装顺利，没有出现困扰多次 RSR 部署的应用崩溃或系统不稳定报告。Appleosophy 指出，许多用户甚至没有意识到更新已完成安装，直到他们查看「隐私与安全性」设置——对于静默安全补丁而言，这正是预期的效果。

Eclectic Light Company 的 Howard Oakley 发布了技术分析，确认了补丁的精准范围和干净实现，称其为「一个需要重新赢得 RSR 所失去的信任的系统的一个有希望的开端」。

如何检查和安装 BSI 更新

虽然 BSI 更新设计为自动安装，但您可能希望验证 Mac 是否已配置为接收这些更新，并确认最新补丁已完成安装。

第一步：打开「系统设置」

单击屏幕左上角的 Apple 菜单（），然后选择**「系统设置」**。

第二步：导航至「隐私与安全性」

在「系统设置」侧边栏中，单击**「隐私与安全性」**。您可能需要向下滚动侧边栏才能找到它。

第三步：找到「后台安全改进」部分

在「隐私与安全性」面板中向下滚动，找到**「安全性」部分。查找「后台安全改进」**。

第四步：验证开关已启用

**「后台安全改进」**开关默认应处于启用状态（绿色）。如果已禁用，请单击开关将其打开。系统可能会提示您使用密码或 Touch ID 进行身份验证。

第五步：检查待处理的更新

如果您想手动检查是否有可用的 BSI 更新，可以将开关关闭后重新打开，这将触发一次检查。但在正常操作中，Mac 会自动检查 BSI 更新并在无需干预的情况下安装。

第六步：验证安装情况

目前，macOS 不在「系统设置」中提供已应用 BSI 更新的详细日志。要验证 BSI 更新是否已安装，您可以：

• 检查系统日志： 打开「终端」并使用 log show --predicate 'subsystem == "com.apple.backgroundsecurityd"' --last 24h 查看近期 BSI 活动。
• 验证 WebKit 版本： 在 Safari 中，前往「Safari」>「关于 Safari」查看 WebKit 版本号是否已更新。
• 使用 system_profiler： 在「终端」中运行 system_profiler SPInstallHistoryDataType 查看近期安装历史。

重要注意事项

• BSI 更新需要有效的互联网连接才能下载。
• Mac 必须处于唤醒状态（但不一定需要正在使用）才能完成安装。
• FileVault 加密不会干扰 BSI 更新，因为补丁在应用程序/框架层面应用，而非在启动卷层面。
• 如果您已禁用 BSI，其本应交付的安全修复将包含在下一个标准 macOS 更新中，但在该更新到达之前，您的设备将处于不受保护状态。

BSI 与 RSR 与常规软件更新：完整对比

了解 BSI 在 Apple 更新生态系统中的定位，需要对这三种更新类型进行直接比较。这对于管理自己的 Mac 安全性或构建综合安全策略的任何人来说都是必要的背景知识。

功能特性	BSI	快速安全响应（RSR）	标准 macOS 更新
是否仍在使用？	是（当前）	已弃用	是
引入版本	macOS Tahoe（WWDC 2025）	macOS Ventura（2022）	始终
交付通道	「隐私与安全性」设置	「软件更新」	「软件更新」
典型大小	不超过 50 MB	100-500 MB	500 MB - 5+ GB
是否需要重启	否（大多数情况）	通常需要	几乎总是需要
安装时间	数秒（后台）	5-15 分钟	15-60 分钟
用户中断	无	中至高	高
范围	安全关键组件	应急安全补丁	所有内容
版本字符串变化	否	是（字母后缀）	是（版本更新）
回滚能力	改进（服务器端）	通过设置手动操作	完整操作系统回滚
默认状态	已启用	已启用	已启用
MDM 可控	是	是	是
部署前测试窗口	分阶段推出	同时推送	Beta 测试计划

各更新类型的适用场景

BSI 处理最紧迫的安全补丁——正在被积极利用的漏洞，或影响同源策略、证书验证、沙盒逃逸等基本安全边界的漏洞。

标准 macOS 更新继续处理其他所有内容：功能添加、错误修复、驱动程序更新、性能改进，以及不够紧迫、不值得 BSI 部署的安全补丁。

RSR 实际上已被弃用。自 macOS Tahoe 发布以来，Apple 未发布任何 RSR 更新，BSI 已承担 RSR 在安全更新层级中的角色。运行 macOS Ventura 或 Sonoma 的 Mac 可能仍会收到 RSR 更新以获得旧版支持，但所有新的安全补丁开发都聚焦于 Tahoe 及更高版本的 BSI。

对企业和 IT 管理员的影响

从 RSR 到 BSI 的转变对管理 Mac 设备群的组织具有重大影响。如果您是 IT 管理员、安全工程师或管理 macOS 设备的 MSP，以下是您需要了解的内容。

MDM 策略更新

包括 Jamf Pro、Kandji、Mosyle 和 Addigy 在内的大多数主流 MDM 平台已发布或正在发布支持 BSI 管理的更新。关键策略考量包括：

BSI 开关控制。 MDM 管理员可以在受管设备上强制设置 BSI 开关状态。对于大多数组织而言，保持 BSI 启用是推荐的安全态势，因为这些补丁针对的是关键安全漏洞。

报告与合规。 Addigy 于 2026 年 3 月发布了关于在受管设备群中监控 BSI 部署的详细指南。关键挑战在于 BSI 更新不改变 macOS 版本字符串，因此传统的基于版本的合规检查无法检测 BSI 补丁是否已应用。管理员需要监控系统日志或使用供应商特定的 API 来验证 BSI 状态。

测试工作流程。 维护 RSR 更新测试工作流程（在允许设备群全面部署前先在测试机上安装）的企业组织需要为 BSI 调整其流程。由于 BSI 采用分阶段推出，组织可以配置一部分设备优先接收更新，然后在更广泛推出到整个设备群之前监控数小时至数天。

网络注意事项

BSI 更新从 Apple 的内容交付基础设施下载。有严格网络控制的组织应确保 BSI 更新服务器已列入白名单。Apple 在其支持文档中发布了所需域名，这些域名与现有「软件更新」白名单有大量重叠。

BSI 有效载荷体积小（不超过 50 MB），这意味着即使对于大型设备群，带宽影响也微乎其微。但是，网络极其受限的组织（如使用卫星连接的外地办公室）应该为额外流量做好规划。

合规影响

对于受安全合规框架（SOC 2、ISO 27001、HIPAA、FedRAMP）约束的组织，BSI 引入了一种新的安全更新类别，必须在补丁管理策略中加以说明。需要解决的关键问题：

• 补丁时间线 SLA。 如果您的合规框架要求在特定时间范围内（如关键漏洞 14 天内）应用安全补丁，则 BSI 补丁应针对这些 SLA 进行跟踪。
• 文档记录。 由于 BSI 更新不会像标准 macOS 更新那样生成相同类型的审计跟踪，组织可能需要实施额外的日志记录来证明合规性。
• 风险接受。 选择禁用 BSI 以进行测试的组织必须将此记录为风险接受决定，因为这会使设备在已知漏洞面前处于无保护状态。

对 IT 团队的建议

1. 立即在整个设备群中启用 BSI。 安全收益远超兼容性问题的最小风险，尤其是考虑到与 RSR 相比改进的测试基础设施。
2. 将 MDM 平台更新至支持 BSI 监控和管理的最新版本。
3. 修改合规报告，将 BSI 补丁作为单独的更新类别加以说明。
4. 向帮助台简要介绍 BSI，以便他们能够解答用户关于新「隐私与安全性」开关的问题。
5. 检查网络白名单，确保 BSI 更新流量不被阻断。

安全影响与零日漏洞响应时间线

BSI 最重要的影响在于 Apple 响应零日漏洞的能力——即在补丁可用之前正在被积极利用的安全缺陷。

旧时间线（BSI 之前）

在 BSI 之前，Apple 对 WebKit 或 Safari 中零日漏洞的响应通常遵循以下时间线：

1. 第 0 天： 漏洞被发现或报告。
2. 第 1-3 天： Apple 安全团队进行分类并开始开发修复方案。
3. 第 3-7 天： 修复方案开发并测试完毕。
4. 第 7-14 天： 修复方案打包成 RSR 或版本更新，接受质量保证测试。
5. 第 14-21 天： 更新推送给用户。
6. 第 21-30 天： 大多数用户安装更新（部分用户有明显延迟）。

这意味着即使在最好的情况下，从漏洞发现到大规模补丁采用之间也有两到三周的窗口期。在最坏的情况下——当 RSR 更新因错误被撤回时——窗口期可能延长至一个月甚至更长。

新时间线（使用 BSI）

BSI 大幅压缩了这一时间线：

1. 第 0 天： 漏洞被发现或报告。
2. 第 1-2 天： Apple 安全团队进行分类并开始开发修复方案。
3. 第 2-4 天： 修复方案开发完毕并针对自动化兼容性矩阵进行测试。
4. 第 4-5 天： BSI 更新分阶段推送至初始推出组。
5. 第 5-6 天： 推出范围扩大至所有符合条件的设备。
6. 第 6-7 天： 绝大多数 Mac 完成补丁安装（因为 BSI 自动安装且无需重启）。

关键改进不仅在于 Apple 能够更快地开发和发布补丁——更在于采用几乎是即时的。当更新无需任何用户操作且无需重启时，「补丁可用」与「补丁已安装」之间的差距缩短至数小时而非数周。

现实影响

以首个 BSI 更新的 WebKit SOP 绕过漏洞为例。在旧系统下，这本需要一次 RSR 更新（含重启），或者被搁置到下一个版本更新中。禁用 RSR 或推迟更新的用户将在数周内保持易受攻击状态。

借助 BSI，补丁在发布后 24 小时内到达了绝大多数 macOS Tahoe 用户。这是对整个 Mac 生态系统安全态势的变革性改进。

这种速度在Mac 用户面临的不断演进的威胁环境中尤为关键。随着 Mac 在消费者和企业环境中市场份额的扩大，它们对利用零日漏洞的复杂威胁行为者的吸引力日益增加。

BSI 如何融入 macOS Tahoe 更广泛的安全架构

BSI 并非孤立存在。它是 Apple 随 macOS Tahoe 引入的全面安全改革的一个组成部分，建立在从 T2 芯片到 Apple Silicon 的安全演进之上。

与其他 Tahoe 安全功能的集成

锁定模式增强。 macOS Tahoe 的增强锁定模式与 BSI 协同工作。当锁定模式处于活动状态时，BSI 更新将被优先处理，可能以更积极的方式安装，以反映启用此功能的用户的更高安全态势。

改进的 Gatekeeper。 Tahoe 的 Gatekeeper 改进包括更好地检测可能利用 BSI 补丁所针对漏洞类型的恶意代码。这种分层方法意味着即使在 BSI 补丁到达之前，Gatekeeper 也能对利用尝试提供一定程度的保护。

增强的 XProtect。 Apple 内置的恶意软件检测已与 BSI 一同更新，以共享威胁情报。当 BSI 补丁针对 XProtect 已检测到利用尝试的漏洞时，两个系统协调配合，提供全面保护。

有关这些功能协同工作的完整概述，请参阅我们的 macOS Tahoe 26.3 后台安全指南。

更宏观的视角

BSI 代表了 Apple 的承认：传统软件更新模型对于现代安全威胁来说太慢了。攻击者可以在漏洞发现后数小时内将其武器化。如果防御者需要数周来部署补丁——用户还需要额外数周才能安装——这种不对称性对攻击者有利。

通过让安全补丁自动化、静默化、即时化且无干扰，Apple 消除了几乎所有阻止用户保持安全状态的摩擦点。这与 iOS 自动更新背后的哲学相同，但适应了 macOS 环境，在这一环境中用户期望对系统拥有更大控制权。

常见问题解答

我可以选择退出 BSI 更新吗？

可以。您可以通过导航至**「系统设置」>「隐私与安全性」**并关闭 BSI 选项来禁用「后台安全改进」。但是，Apple 强烈建议保持启用状态。如果您禁用 BSI，它所交付的安全修复最终将包含在标准 macOS 版本更新中，但在您安装该版本更新之前，您的 Mac 将在已知漏洞面前处于无保护状态。除非您有特定的技术原因禁用 BSI（例如与关键软件存在已记录的兼容性问题），否则请保持开启。

BSI 会让我的 Mac 变慢吗？

不会。BSI 更新专门设计为对性能影响最小。下载在网络活动较低的时段进行，安装在系统空闲时进行。修补的组件（WebKit、Safari、安全库）在安装过程中不会重新优化或重新编译——Apple 交付预编译的二进制文件来替换现有文件。BSI 更新前后，您不应注意到任何性能差异。

BSI 更新与 macOS 26.3.2 更新有何不同？

macOS 26.3.2 是 2026 年 3 月 17 日发布的标准软件更新，专门针对 MacBook Neo。它解决硬件特有问题，遵循传统的「软件更新」交付路径，需要通过「软件更新」下载并重启系统。同日发布的 BSI 更新是针对 WebKit 的独立安全补丁，适用于所有运行 macOS Tahoe 26.3.1 的 Mac，通过「隐私与安全性」设置安装，无需重启。它们是服务于不同目的的完全独立的更新。

BSI 更新适用于运行 macOS Ventura 或 Sonoma 的旧款 Mac 吗？

不适用。BSI 专属于 macOS Tahoe 及更高版本。运行 macOS Ventura 或 Sonoma 的 Mac 将继续接收快速安全响应（RSR）更新和标准版本安全补丁。Apple 没有宣布将 BSI 向旧版 macOS 移植的计划，这与其仅在当前操作系统版本中引入新安全基础设施的一贯做法相符。

IT 管理员可以延迟或分阶段部署 BSI 更新吗？

可以，但有一些注意事项。支持 BSI 管理的 MDM 平台（包括 Jamf Pro、Kandji 和 Addigy 的最新版本）可以在设备群级别配置 BSI 策略。管理员可以在受管设备上禁用 BSI，尽管这通常不推荐。Apple 内置的分阶段推出意味着并非所有设备同时收到 BSI 更新，这提供了自然的测试窗口。对于需要在部署前进行正式测试的组织，推荐的方法是维护一小组先接收 BSI 更新的测试设备，然后监控 24-48 小时，再允许更新到达更广泛的设备群。

我如何知道 BSI 更新是否已安装？

目前，macOS 不会在应用 BSI 更新时显示显眼的通知。您可以通过「终端」查看系统日志（log show --predicate 'subsystem == "com.apple.backgroundsecurityd"' --last 24h）或检查 Safari/WebKit 版本是否有变化来验证 BSI 活动。Apple 可能会在未来的 macOS 版本中引入更好的 BSI 更新历史可见性。有关 Mac 安全状态的综合视图，请查看我们的 Mac 最佳防病毒解决方案指南，其中涵盖了监控工具。

如果 BSI 更新导致问题怎么办？

与 RSR 相比，Apple 在 BSI 中构建了改进的回滚功能。如果 Apple 通过崩溃报告和遥测数据检测到 BSI 更新的广泛问题，他们可以启动服务器端回滚，自动撤销补丁。遇到问题的个人用户可以通过「隐私与安全性」设置禁用 BSI，这将阻止未来的 BSI 更新，但不会回滚已应用的补丁。在这种情况下，下一个标准 macOS 更新将包含安全修复的修正版本。

结论

2026 年 3 月 17 日发布的首个「后台安全改进」更新不仅仅是一个安全补丁——它是对操作系统安全根本性更好方法的概念验证。Apple 汲取了 RSR 不足之处的教训——损坏的应用、混乱的版本号、不受欢迎的重启——并构建了一个解决所有这些痛点的系统。

BSI 更新比其 RSR 前身更小、更快、更少干扰且更可靠。首个 BSI 更新修补了一个关键的 WebKit 同源策略漏洞，而无需任何用户点击按钮或重启 Mac，这一事实充分展示了该系统的潜力。

对于日常 Mac 用户而言，BSI 意味着以更少的努力获得更好的安全保护。您的 Mac 现在可以在后台自动静默地针对关键威胁进行自我修补。这才是安全应有的方式。

对于 IT 管理员和安全专业人员而言，BSI 意味着更快的威胁响应、更轻松的设备群管理，以及更少因强制重启而来自用户的帮助台工单。26.3 BSI 实施指南详细介绍了具体的部署注意事项。

对于 Apple 而言，BSI 代表其安全更新哲学的成熟。这家曾经将安全修复捆绑在庞大操作系统更新中、后来又以喜忧参半的结果尝试 RSR 实验的公司，如今找到了一种真正同时优先考虑安全性和用户体验的方法。

首个 BSI 更新成功了。安静地、无形地、恰如其分。现在的问题是，随着威胁格局持续演进，对快速安全响应的需求变得愈发关键，Apple 将如何在这一基础上继续构建。

---

来源：MacRumors（2026 年 3 月 17 日）、Eclectic Light Company、Appleosophy、Addigy、Apple WWDC 2025 会议材料、Apple 安全更新文档。