„App is damaged and can't be opened” — Gatekeeper na macOS

macOS nie pozwala mi otworzyć LM Studio, Jana ani pliku llama.cpp

Autor Jakub Rusinowski

Błąd

"LM Studio" is damaged and can't be opened. You should move it to the Bin.

"llama-cli" cannot be opened because the developer cannot be verified.

Apple could not verify "Jan" is free of malware that may harm your Mac or compromise your privacy.

1. 1

   Zweryfikuj pobrany plik, zanim cokolwiek obejdziesz

   Rób to najpierw, za każdym razem. Pobieraj wyłącznie z oficjalnej domeny projektu albo z jego strony wydań na GitHubie. Porównaj sumę SHA-256 z opublikowaną sumą kontrolną tam, gdzie projekt taką udostępnia. Sprawdź podpis poleceniem codesign — powie ci, czy plik jest w ogóle podpisany i przez kogo, a spctl poda własną ocenę Gatekeepera. Niepodpisane wydanie ze strony wydań samego projektu to normalny stan rzeczy; niepodpisane wydanie z linku, który ktoś wkleił, już nie.

   Uwaga: Wszystko poniżej usuwa albo obchodzi zabezpieczenie macOS. Jest to rozsądne przy pliku, który zweryfikowałeś, i lekkomyślne przy takim, którego nie zweryfikowałeś. Jeśli nie potrafisz ustalić pochodzenia pliku, właściwym działaniem jest go usunąć.

   zshKopiuj

   # zsh
   shasum -a 256 ~/Downloads/LMStudio.dmg
   
   # Is it signed, and by whom?
   codesign -dv --verbose=4 /Applications/LM\ Studio.app 2>&1 | head -12
   
   # What does Gatekeeper itself say?
   spctl --assess --type execute --verbose /Applications/LM\ Studio.app

   Czy zadziałało?Skrót zgadza się z opublikowaną sumą kontrolną, a codesign nazywa rozpoznawalnego sygnatariusza — albo projekt jest jawnie niepodpisany, a plik pobrałeś z jego własnej strony wydań.
2. 2

   Kliknij prawym przyciskiem → Otwórz — najwęższe działające rozwiązanie

   Dla aplikacji, która jest jedynie niezweryfikowana, a nie „uszkodzona”, kliknij ją w Finderze prawym przyciskiem (albo z Control) i wybierz Otwórz, a potem potwierdź w oknie dialogowym. Tworzy to jednorazowy wyjątek dla tej konkretnej aplikacji i nie zmienia żadnego ustawienia systemu. Podwójne kliknięcie tego wyjątku nie zaproponuje; robi to menu kontekstowe. Na tej różnicy polega cała sztuczka i nie sposób jej odkryć samemu.

   Czy zadziałało?Aplikacja się uruchamia, a kolejne uruchomienia działają już normalnie po podwójnym kliknięciu.

   zshKopiuj

   spctl --assess --type execute --verbose /Applications/LM\ Studio.app

3. 3

   Użyj „Otwórz mimo to” w Ustawieniach systemowych

   Jeśli droga przez prawy przycisk nie proponuje opcji Otwórz, spróbuj uruchomić aplikację raz, żeby macOS odnotował blokadę, a potem wejdź w Ustawienia systemowe → Prywatność i ochrona, przewiń do sekcji Ochrona i kliknij Otwórz mimo to obok komunikatu z nazwą twojej aplikacji. Przycisk pojawia się dopiero po zablokowanej próbie — dlatego ci, którzy szukają go najpierw, go nie znajdują.

   Czy zadziałało?Aplikacja się otwiera, a wpis znika z Prywatności i ochrony jako załatwiony.
4. 4

   Usuń atrybut kwarantanny — wyłącznie dla zweryfikowanego pliku

   Kiedy dwa pierwsze sposoby nie działają — najczęściej przy plikach CLI i .dylib, a nie przy pakietach .app — usuń atrybut wprost. Zawęź to najbardziej, jak potrafisz: tam, gdzie się da, wskaż pojedynczy plik, a poza tym konkretny katalog aplikacji albo pakietu. Najpierw sprawdź poleceniem xattr -l, czy kwarantanna faktycznie jest obecnym atrybutem, żeby wiedzieć, że sięgasz po właściwe narzędzie.

   Uwaga: xattr -dr com.apple.quarantine zdejmuje systemowe zabezpieczenie ze wszystkiego pod podaną ścieżką. Nigdy nie uruchamiaj tego na folderze Pobrane, na katalogu domowym ani na całym /Applications — wyłącznie na jednej zweryfikowanej aplikacji lub jednym pliku.

   zshKopiuj

   # zsh — what attributes does the file actually carry?
   xattr -l /Applications/Jan.app
   
   # Remove quarantine from ONE verified app
   xattr -dr com.apple.quarantine /Applications/Jan.app
   
   # A single CLI binary from a release archive
   xattr -d com.apple.quarantine ./llama-cli

   Czy zadziałało?xattr -l nie wypisuje już com.apple.quarantine dla tej ścieżki, a plik binarny się uruchamia.

   zshKopiuj

   xattr -l /Applications/Jan.app; ./llama-cli --version

5. 5

   Wybieraj cask-i Homebrew, które omijają większość tegoNajczęstsze rozwiązanie

   Instalacja przez brew install --cask oszczędza większość tych monitów, bo Homebrew pobiera plik samodzielnie, a nie przeglądarką, i obsługuje kwarantannę w ramach instalacji. Daje też utrzymywaną ścieżkę aktualizacji, co ma znaczenie przy szybko zmieniających się projektach, gdzie inaczej pobierałbyś i obchodził blokadę co kilka tygodni. To lepszy domyślny wybór dla wszystkiego, co Homebrew pakuje.

   zshKopiuj

   # zsh
   brew install --cask lm-studio
   brew install ollama
   
   # Keep them current without repeating the whole dance
   brew upgrade --cask

   Czy zadziałało?Aplikacja uruchamia się prosto z /Applications, bez żadnego monitu Gatekeepera.

   zshKopiuj

   brew list --cask | grep -i studio

   Sprawdź, co pasuje do Twojego sprzętuwybierz model dopasowany do twojego Maca, gdy aplikacja już się otworzyOtwórz kalkulator VRAM →
6. 6

   Zajmij się przypadkiem Pythona i plików dylib

   Pakiet Pythona potrafi zainstalować się czysto, a potem wywrócić przy imporcie, bo dołączony w wheelu plik .dylib jest w kwarantannie — komunikat błędu wspomina bibliotekę, a nie cokolwiek związanego z bezpieczeństwem, więc związek nie jest oczywisty. Znajdź pliki w kwarantannie w katalogu pakietu i wyczyść właśnie te. Jeśli któryś pakiet wymaga tego regularnie, wybierz wheel zbudowany dla twojej architektury z własnego indeksu projektu — takie zwykle tego nie wymagają.

   zshKopiuj

   # zsh — find quarantined libraries inside a virtualenv
   find .venv -name "*.dylib" -exec xattr -l {} ; -print 2>/dev/null | grep -B1 quarantine
   
   # Clear them for that package only
   xattr -dr com.apple.quarantine .venv/lib/python3.12/site-packages/<package>

   Czy zadziałało?Import przechodzi, a xattr -l na bibliotece nie zgłasza atrybutu kwarantanny.

   zshKopiuj

   python3 -c "import <package>; print('ok')"