活动监视器本身不能封堵网络流量，仅能快速定位异常进程；需结合lsof、nettop验证后，再通过强制退出、launchctl禁用或防火墙规则分层阻断。
活动监视器本身不能直接封堵网络流量，但它是识别后台偷跑流量进程最快速、最直观的入口。关键不是“一招封死”，而是“看清再动手”——先定位真实来源，再分层阻断，避免误杀系统服务。
在“网络”标签页中揪出异常流量主力
打开活动监视器（Command + 空格搜“活动监视器”），切换到顶部的网络标签页。若没看到该标签，请点击菜单栏“显示”→“网络”。重点关注以下三点：
- 点击“收到的数据/秒”或“发出的数据/秒”列标题，按降序排列，排在前几位且数值长期高于 500 KB/s 的进程需优先检查
- 观察实时曲线：若某进程的收发曲线持续高位抖动（比如稳定在 1–3 MB/s），而你并未运行下载、备份、视频上传等操作，大概率异常
- 核对“用户”列：归属 root、_windowserver 或你的用户名但路径指向
~/Library/Application Support/、~/Library/LaunchAgents/等非标准位置的，要特别警惕
交叉验证进程真实身份与联网行为
单击可疑进程，点右下角 ⓘ 查看详情；再配合终端命令确认其实际动作：
- 复制该进程的 PID（在信息窗口或主列表“PID”列可见），运行：
sudo lsof -i -P -n | grep ^[PID]—— 查它连了哪些 IP 和端口 - 运行：
nettop -L 1 -P—— 比活动监视器更灵敏地刷新各进程实时吞吐量，可捕捉短时爆发流量 - 检查是否由 launchd 自动拉起：
launchctl list | grep [PID]，再查对应 plist 路径，重点筛查~/Library/LaunchAgents/和/Library/LaunchDaemons/
分场景终结：从临时中断到永久禁用
确认为异常后，不要直接强制退出 root 级守护进程。按风险等级选择处置方式：
- 普通用户级 App（如伪装成更新器的第三方工具）：在活动监视器中选中 → 点左上角 X → 选“强制退出”
- 重启即恢复的后台进程（说明有 launchd 配置）：
先用sudo kill -9 [PID]中断当前实例，再执行sudo launchctl unload -w [plist路径]彻底禁用自启 - 需系统级拦截的顽固外连：前往“系统设置 > 网络 > 防火墙 > 防火墙选项”，勾选“阻止所有传入连接”，再点“+”添加该进程的完整可执行路径（如
/Applications/BadApp.app/Contents/MacOS/badproc），设为“阻止连接”
日常预防：减少后台自动联网源头
很多“偷跑”源于默认开启却无人监管的服务：
- 进入“系统设置 > Apple ID > iCloud”，关闭不用的同步项（尤其“照片”“备忘录”“查找”在低版本系统中易触发隐蔽上传）
- 在“系统设置 > 通用 > 登录项”中，禁用非必要开机自启应用
- 定期检查
~/Library/LaunchAgents/目录，删除陌生 .plist 文件（操作前建议先备份）
