如何判断 Mac 上的陌生进程是否安全

「活动监视器」会列出应用、辅助程序、代理、守护进程和系统服务。进程名只能作为线索：不同软件可能使用相似名称，恶意软件也可以伪装。判断时要结合所属用户、路径、父进程、代码签名、资源趋势和触发操作。

选择「显示 > 所有进程」，再加入用户、CPU 时间、线程和种类等列。双击进程可查看父进程、打开的文件与端口。Apple 的活动监视器说明还介绍了分层与系统进程视图。进程疑似卡住时，先用「取样进程」记录一小段线程活动，不必立即结束。

常见的高占用进程

• kernel_task： macOS 内核。高 CPU 常与系统限制过热芯片有关，见 kernel_task 高 CPU
• WindowServer： 负责合成屏幕，负载会随显示器、窗口和动画增加，见 WindowServer 高 CPU
• mds、mds_stores、mdworker： 负责 Spotlight 索引，见 mds 与 mdworker 高 CPU
• Google Chrome Helper： 承载 Chrome 标签页、扩展和浏览器服务，见 Chrome Helper 高 CPU

常见的后台守护进程

• launchd： macOS 的第一个进程，也是系统服务的父进程。始终运行是正常行为
• trustd： 在应用启动或建立安全连接时检查证书与签名，短暂升高很常见
• nsurlsessiond： 处理 iCloud、应用下载和更新等后台网络传输
• cloudd、bird： 负责 iCloud 同步。刚登录或加入大量文件后会较忙
• coreaudiod： 系统音频引擎。持续高 CPU 可能与音频应用或插件有关
• photoanalysisd： 分析照片中的人物和物体，调度会受供电、温度和资料库变化影响
• backupd： Time Machine 备份进程，备份期间活跃很正常
• syspolicyd： 执行应用评估等系统安全策略，安装或首次启动应用时可能短暂升高

看变化模式，不看固定时长

进程在打开应用、接入磁盘或开始同步后升高，工作有进展并最终下降，通常不必处理。CPU 长期不退、内存快速增长、反复崩溃，或每次同一操作都触发异常峰值，才需要深入检查。

强制退出前，查看进程取样、打开文件和日志。许多系统服务会自动重启，因为请求它的应用或启动策略还在。

第三方进程的路径和签名可以用来核对厂商身份。Apple 服务出现异常时，工作量通常来自某个应用、文件、设备或网络操作，直接修改系统启动配置很少能解决源头。

为什么后台进程会不断变化

launchd 是 PID 1，负责注册和按需启动大多数服务。安全连接需要 trustd、文件需要元数据导入、应用发来 XPC 消息时，对应服务才会启动，工作结束后再回到空闲。

因此，进程列表会随操作变化。强制退出某个服务后，下一次触发条件出现，launchd 仍会把它重新启动。某个名字是否存在并不重要，长期行为才是异常信号。

「活动监视器」提供权威的进程数据，Mole 的「状态」页可以补充通俗说明和趋势。但按名称给出的解释只是起点，路径、用户、签名和行为才能确认当前进程的身份。

遇到异常时，记录名称、用户、路径、父进程、签名、CPU 与内存趋势、打开文件和触发条件。问题发生时取样，再先停止发起请求的应用或输入源。这样更容易分清正常后台工作、卡住的厂商辅助程序和冒用名称的进程。