macOS高频网络拦截假死若由内核级防病毒驱动引发，本质是其深度挂钩网络栈与系统调度冲突；应先通过控制台日志和Activity Monitor确认，再禁用相关模块或替换为用户态方案。macOS 高频网络拦截假死，若由系统内核级防病毒驱动（如某些第三方安全软件的 kext 或 System Extension）引发，本质是其深度挂钩网络栈导致连接阻塞、线程挂起或资源争用，表现为 Safari/Chrome 卡在“正在等待响应”、iCloud 同步停滞、App Store 无法更新，甚至鼠标短暂无响应——但无 Kernel Panic，也无明显崩溃日志。核心不是“杀毒不准”，而是**内核层拦截逻辑与 macOS 网络调度机制冲突**，尤其在 Sonoma/Ventura 及更新系统中更易触发。
确认是否为内核防病毒驱动所致
先排除其他干扰：进入“控制台” → 左侧选“报告” → 搜索 socketfilterfw、networkd、nehelper 或防病毒厂商名（如 intego、bitdefender、mcafee、sophos）。重点看是否有以下线索：
- 日志中反复出现 “blocked by extension” 或 “intercepted by com.xxx.security.kext”
- 终端执行 sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder 后短暂恢复，几分钟又复现
- 使用 Activity Monitor 查看“网络”标签页，发现某个防病毒进程持续占用高网络 I/O 但无实际流量
立即缓解：禁用内核拦截模块（非卸载）
很多防病毒软件提供“轻量模式”或“仅扫描不拦截”开关，优先尝试此路径，避免重装：
- 打开该软件主界面，查找 “实时防护”、“网络防护”、“Web Shield” 或 “Firewall Engine” 类选项，全部关闭
- 在“系统设置 > 隐私与安全性 > 完全磁盘访问”中，取消勾选该软件的后台守护进程（如 IntegoNetUpdateAgent、SophosUI）
- 终端运行：sudo kextunload /Library/Extensions/xxx.kext（需替换为实际路径；若提示权限拒绝，说明已转为 System Extension）
彻底解决：替换或降级为用户态方案
macOS 自 10.15 起逐步淘汰传统 kext，而部分老牌杀软仍强依赖内核钩子。与其调试兼容性，不如转向更原生的替代方式：
- 用 Apple 原生防护 替代：确保“系统设置 > 隐私与安全性 > 恶意软件检查”已开启；配合 Gatekeeper 和 XProtect，对绝大多数威胁已足够
- 改用 用户态防火墙工具：如 Little Snitch（可精细放行/拦截，不介入内核）或开源的 KnockKnock（监控启动项而非实时拦截）
- 若必须保留该防病毒软件，前往官网下载 macOS Sonoma/Ventura 专用版本 —— 很多厂商已在新版中将网络扫描迁移至 Network Extension 框架，大幅降低假死概率
清理残留与验证稳定性
旧版驱动卸载后常留后台服务，可能继续拖慢网络初始化：
- 检查 /Library/LaunchDaemons 中含厂商名的 plist 文件（如 com.sophos.networkextension.plist），移入废纸篓
- 终端执行：launchctl list | grep -i sophos（替换为实际厂商名），若有输出，运行 sudo launchctl bootout system/com.sophos.xxx
- 重启后，在“活动监视器”中观察 15 分钟，确认 CPU、网络、响应性三项指标平稳；再打开 Safari 多标签+视频流+云同步同时压测
