Mac и Windows ведут на вас дневник: что записывают knowledgeC, Biome, UserAssist и Recall, как это прочитать и как выключить

Компьютер ведёт на вас дневник, и это не история браузера. macOS записывает, какое приложение было перед вами и сколько, с точностью до секунды, когда включался и гас экран, какие сайты открывал Safari и какие уведомления приходили; в macOS 26 это делается в двух местах - в базе knowledgeC и в 118 потоках «Biome», которые охватывают буфер обмена, Wi-Fi, геолокацию и запросы к Siri. Windows фиксирует каждую программу, запущенную из меню «Пуск», со счётчиком и временем, последние восемь запусков каждого исполняемого файла, месяц сетевого трафика по приложениям, а на Copilot+ PC - скриншоты экрана каждые несколько секунд. По умолчанию ничего из этого не покидает машину, и это одновременно успокаивает и настораживает: кто получает машину, тот получает и дневник. Ниже - что именно хранится, скрипт для каждой системы, чтобы прочитать свою копию, и что можно выключить.

Что помнит Mac и как это прочитать

Криминалисты, работающие с техникой Apple, описывают knowledgeC.db с 2018 года, когда исследовательница Сара Эдвардс назвала её лучшим источником «картины жизни» на Mac. Это хранилище, на котором стоят Экранное время и предложения Siri. Каждая строка таблицы ZOBJECT - событие с именем потока, началом и концом: /app/usage - какое приложение было в фокусе и сколько, /display/isBacklit - экран включился или погас, /app/webUsage и /safari/history - сёрфинг, /notification/usage - что вам пришло. На нашем тестовом Mac с macOS 26.6 база держала 757 событий: четыре недели по использованию приложений и пять месяцев по некоторым потокам. Она показала 113 часов в Chrome, 5,7 в Terminal, 2,4 в Telegram и полную хронологию включённого экрана вплоть до трёхминутной сессии в 21:25 в пятницу. Начиная с macOS Catalina Apple переносит большую часть этого в Biome - фреймворк, который Говард Окли в 2022 году описал как механику подсказок: в ~/Library/Biome/streams по папке на каждый поток, и сами названия потоков - список того, за чем следят: App.InFocus, App.WebUsage, Pasteboard.Change, Device.Wireless.WiFi, Location.MicroLocationVisit, Notification.Usage, Media.NowPlaying, Siri.Query, ProactiveHarvesting.Safari.PageView, ProactiveHarvesting.Mail, ProactiveHarvesting.Messages, ProactiveHarvesting.Notes, ScreenTime.AppUsage, TextUnderstanding.Deletions.Document. Файлы Biome - двоичный формат SEGB; криминалистические программы его разбирают, обычный пользователь нет, но наличие и размер потоков проверить легко.

Скрипт ниже копирует базу во временную папку (живой файл macOS блокирует) и печатает сводку. Сначала дайте Terminal полный доступ к диску (Системные настройки, Конфиденциальность и безопасность, Полный доступ к диску), а потом заберите, если он не нужен: именно это разрешение позволяет любому приложению читать дневник.

#!/bin/bash
# What this Mac remembers about you. Read-only.
T=$(mktemp -d)
cp ~/Library/Application\ Support/Knowledge/knowledgeC.db* "$T"/ 2>/dev/null || { echo "No access: give Terminal Full Disk Access first"; exit 1; }
DB="$T/knowledgeC.db"
echo "== Time in focus per app, last 7 days (hours)"
sqlite3 -column "$DB" "SELECT ROUND(SUM(ZENDDATE-ZSTARTDATE)/3600.0,1) AS hours, ZVALUESTRING AS app FROM ZOBJECT WHERE ZSTREAMNAME='/app/usage' AND ZSTARTDATE > strftime('%s','now','-7 days')-978307200 GROUP BY app ORDER BY hours DESC LIMIT 15;"
echo "== Screen on/off, last 15 events (local time)"
sqlite3 -column "$DB" "SELECT datetime(ZSTARTDATE+978307200,'unixepoch','localtime') AS at, CASE ZVALUEINTEGER WHEN 1 THEN 'on' ELSE 'off' END AS screen, ROUND((ZENDDATE-ZSTARTDATE)/60.0) AS minutes FROM ZOBJECT WHERE ZSTREAMNAME='/display/isBacklit' ORDER BY ZSTARTDATE DESC LIMIT 15;"
echo "== Every stream in the database: records and oldest entry"
sqlite3 -column "$DB" "SELECT ZSTREAMNAME AS stream, COUNT(*) AS records, datetime(MIN(ZSTARTDATE)+978307200,'unixepoch') AS oldest FROM ZOBJECT GROUP BY 1 ORDER BY 2 DESC;"
echo "== Biome streams that hold data"
for d in ~/Library/Biome/streams/restricted/*/local; do n=$(ls "$d" 2>/dev/null | grep -c '^[0-9]'); [ "$n" -gt 0 ] && echo "$(basename "$(dirname "$d")"): $n file(s), $(du -sh "$d" | cut -f1)"; done
rm -rf "$T"

Как убавить на Mac

Переключателя с надписью «перестать записывать» у Apple нет. Есть функции, которые питаются этими журналами, и каждую можно выключить. Самая очевидная - Экранное время: Системные настройки, Экранное время, выключить, если вы им не пользуетесь, и оно перестанет строить собственную базу использования. Более крупный источник - предложения Siri: Системные настройки, Apple Intelligence и Siri, «Предложения Siri и конфиденциальность», и там для каждого приложения снять «Учиться на этом приложении» и «Показывать предложения Siri в приложении»; это та самая настройка, которую Apple описывает словами «разрешить Siri учиться на том, как вы используете это приложение». Хранилища knowledgeC и Biome продолжают существовать для нужд самой системы, поэтому второй шаг - удалять их, когда нужен чистый старт: в Terminal выполнить rm ~/Library/Application\ Support/Knowledge/knowledgeC.db* и rm -r ~/Library/Biome/streams/*, затем перезагрузиться; macOS создаст пустые хранилища заново. Третий шаг важнее первых двух. Откройте Системные настройки, Конфиденциальность и безопасность, Полный доступ к диску и прочитайте список: каждое приложение в нём может читать дневник и всё остальное в вашей домашней папке. Держите FileVault включённым, пусть экран блокируется через несколько минут, а гостям заведите отдельную учётную запись; журналы ведутся по пользователям, и заблокированный зашифрованный Mac не отдаёт их никому.

Что помнит Windows и как это прочитать

Windows раскладывает дневник по нескольким местам, и каждое описано криминалистами именно потому, что переживает то, что пользователь считает удалением. UserAssist, ключ реестра HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, записывает каждую программу, запущенную через «Пуск» или Проводник, со счётчиком запусков, счётчиком фокуса и временем последнего старта; имена хранятся в ROT13 - сдвиге букв, который ничего не скрывает от того, кто о нём знает. Prefetch в C:\Windows\Prefetch держит по файлу на исполняемый модуль с восемью последними запусками, до 1024 программ. SRUM, монитор использования ресурсов в C:\Windows\System32\sru\SRUDB.dat, - это журнал за вкладкой «Журнал приложений» диспетчера задач: около месяца отправленных и принятых байтов и потраченной энергии по каждому приложению, смотрели вы туда или нет. «Журнал действий» в ActivitiesCache.db в локальном профиле хранит открытые приложения, файлы и сайты; Microsoft убрала возможность отправлять его в облако в январе 2024 года, но локальная копия осталась. А на Copilot+ PC Recall делает «снимок активного экрана каждые несколько секунд и при смене содержимого активного окна», индексирует текст и картинки и хранит их локально за Windows Hello. Он включается только по согласию и на управляемых устройствах удалён по умолчанию, его можно фильтровать по приложениям и сайтам; и всё же это фильм со всем, на что вы смотрели, с поиском по нему.

# What this PC remembers about you. Read-only. Run PowerShell as administrator for Prefetch and Recall.
function Rot13([string]$s){ -join ($s.ToCharArray() | ForEach-Object { $c=[int]$_; if($c -ge 65 -and $c -le 90){[char]((($c-65+13)%26)+65)} elseif($c -ge 97 -and $c -le 122){[char]((($c-97+13)%26)+97)} else {[char]$c} }) }
Write-Host "== UserAssist: programs started from Start or Explorer (runs, last run)"
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist' | ForEach-Object {
  $count = Join-Path $_.PSPath 'Count'
  if (Test-Path $count) {
    (Get-ItemProperty $count).PSObject.Properties | Where-Object { $_.Name -notlike 'PS*' -and $_.Value -is [byte[]] -and $_.Value.Length -ge 68 } | ForEach-Object {
      $b = $_.Value; $runs = [BitConverter]::ToInt32($b, 4); $ft = [BitConverter]::ToInt64($b, 60)
      if ($runs -gt 0 -and $ft -gt 0) { [pscustomobject]@{ Runs=$runs; LastRun=[DateTime]::FromFileTime($ft); Program=(Rot13 $_.Name) } }
    }
  }
} | Sort-Object LastRun -Descending | Select-Object -First 25 | Format-Table -AutoSize
Write-Host "== Prefetch: last 20 programs Windows saw start"
Get-ChildItem C:\Windows\Prefetch -Filter *.pf -ErrorAction SilentlyContinue | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime | Format-Table -AutoSize
Write-Host "== Activity history and SRUM databases"
Get-ChildItem "$env:LOCALAPPDATA\ConnectedDevicesPlatform" -Recurse -Filter ActivitiesCache.db -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Get-Item C:\Windows\System32\sru\SRUDB.dat -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Write-Host "== Recall (Copilot+ PCs only)"
Get-WindowsOptionalFeature -Online -FeatureName Recall -ErrorAction SilentlyContinue | Select-Object FeatureName, State

Как убавить в Windows, и часть, которая не про технику

Четыре настройки закрывают большую часть. Параметры, Конфиденциальность и безопасность, Общие: выключить «Разрешить Windows улучшать результаты в меню «Пуск» и поиске, отслеживая запуски приложений»; новые записи UserAssist прекратятся, а старые останутся, пока вы не удалите ключи Count внутри UserAssist в редакторе реестра. Параметры, Конфиденциальность и безопасность, Журнал действий: выключить «Сохранять журнал действий на этом устройстве» и нажать «Очистить журнал». На Copilot+ PC: Параметры, Конфиденциальность и безопасность, Recall и снимки: отключить сохранение снимков и удалить их либо убрать функцию целиком через «Включение или отключение компонентов Windows», после чего, по словам Microsoft, все сохранённые снимки удаляются. У Prefetch и SRUM выключателя нет: Prefetch можно отключить в реестре ценой более медленных запусков, а SRUM служба политики диагностики создаёт заново, как только файл удалён. Как и на Mac, защита, которая держит, - это BitLocker или шифрование устройства с сильным входом и блокировкой экрана плюс отдельная обычная учётная запись для всех, кто ещё пользуется машиной.

Из всего этого следуют две вещи для тех, кому важна приватность. Первая: «только локально» - обещание про облако, а не про вас. Apple и Microsoft правы, что эти хранилища не покидают устройство, и при этом они остаются самой полной записью вашего дня из всех существующих. Вторая: то же разрешение, что позволяет читать их вам, позволяет читать их любому инструменту, и поэтому выдать ИИ-ассистенту полный доступ к диску или права администратора, чтобы он «проанализировал ваши привычки», как советуют вирусные промпты, значит отправить четыре недели своей жизни той модели, которая ответит. Читайте дневник сами; скриптов выше достаточно.