可通过活动监视器“网络”标签页按实时收发字节数排序快速定位后台偷跑流量进程，结合签名校验、路径核查、lsof连接分析及防火墙阻断实现精准管控。
当你发现Mac网速变慢、Wi-Fi图标右下角出现小箭头、电池续航异常缩短，或者明明没在下载文件却看到上传速率持续高于500 KB/s，就需要立即排查哪些App正在后台偷偷收发数据。系统原生工具就能完成，无需安装第三方软件。
用活动监视器“网络”标签页快速排序定位
这是最直接、最权威的入口，数据来自内核级统计，刷新延迟低于300毫秒，比任何第三方工具都更贴近真实链路状态。
按下Command + 空格呼出Spotlight，输入“活动监视器”并回车启动。
点击顶部标签栏中的“网络”选项卡；若未显示该标签，请先点菜单栏“显示”→“网络”启用。
确保底部图形上方弹出菜单中已选择【数据】而非“包”，否则显示的是协议头+载荷总和，会高估有效吞吐量，导致误判。
点击“发送字节”列标题两次，按每秒新增量从高到低排序；再点击“接收字节”列标题两次，做同样操作。数值跳动最剧烈、且长期稳定高于500 KB/s（尤其是上传）的进程需优先检查。
重点关注：没有前台窗口、用户列为你的用户名、类型标为“后台进程”、名称含ad/miner/crypto/helper等关键词，或路径指向~/Library/Application Support/等非系统目录的条目。
启用Dock图标实时监控网络使用率
这一步能让监控变成“一眼可见”的视觉反馈，适合边工作边留意异常。
右键点击Dock中的“活动监视器”图标 → 选择“Dock图标”→“显示网络使用率”。
图标右侧立刻出现从右向左滚动的彩色条形图：绿色段长且滚动快，说明该进程正大量下载；红色段活跃则代表上传激增。
注意：此图标反映的是当前选中进程的网络活动——必须先在活动监视器窗口中点击选中某个进程，Dock图标才会聚焦显示它的实时吞吐。不选中时，它只显示整机汇总速率。
交叉验证可疑进程的真实行为
排序只是第一步，确认是否真为异常程序必须查证来源与连接目标。
第一步：双击可疑进程，或点击右下角ⓘ图标，查看“签名校验”状态。“未确认”需高度警惕，“已确认”通常安全但不绝对。
第二步：右键该进程 → “在访达中显示”，确认其实际位置。若路径指向用户目录下的随机命名文件夹，或可执行文件名与图标不符（比如叫“UpdateHelper”却打开一个空白窗口），基本可判定为伪装程序。
第三步：打开终端，运行 sudo lsof -i -P -n | grep [PID]（将[PID]替换为活动监视器中该进程的PID编号），查看它连了哪些IP和端口。若大量连接境外非常用端口（如5555、7777、8888），或域名含tracking/adtech等关键词，风险极高。
第四步：运行 launchctl list | grep [PID]，确认是否由launchd自动拉起。重点检查 ~/Library/LaunchAgents/ 下的plist文件——这类配置一旦启用，进程会在登录后自动复活，单纯退出无效。
临时阻断并观察流量回落效果
别一上来就强制退出。先用可逆方式验证影响，避免误杀系统关键服务。
方法一：在活动监视器中选中进程 → 左上角“X”按钮 → 弹窗中选择【退出进程】（不是“强制退出”）。观察窗口底部“收到的数据/秒”和“发出的数据/秒”是否明显回落。若从1.2 MB/s骤降至50 KB/s以下，基本锁定真凶。
方法二：对确认可疑的第三方程序，在“系统设置 > 网络 > 防火墙 > 防火墙选项”中添加其可执行文件，选择“阻止连接”。此操作不会卸载软件，仅切断网络通路，随时可撤销。
方法三：若进程由LaunchAgent自动拉起，进入访达，前往 ~/Library/LaunchAgents/，找到对应plist文件，将其拖入废纸篓（不要用launchctl unload，SIP已禁止该操作）。重启后该进程不再自启。
