# Cos'è XProtect su Mac e perché usa la CPU

> XProtect è l'antivirus integrato di Apple. Quando gira, dove si trova, come controllarne la versione, cosa fare se resta impegnato e perché conviene lasciarlo attivo.

Published: 2026-11-06 | Updated: 2026-11-09

XProtect è l'antivirus integrato in macOS. Apple lo descrive come rilevamento e rimozione di malware basato su firme, e gira su ogni Mac recente senza un'icona né una finestra propria. Vedere `XProtect`, `xprotectd` o un processo con `XProtectRemediator` nel nome in Monitoraggio Attività è normale, e una breve ondata di CPU di solito significa che sta controllando un'app o eseguendo un'analisi pianificata. Lascialo in esecuzione.

## Cosa fa e quando

La [guida alla protezione dal malware](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web) di Apple descrive tre parti:

| Parte | Cosa fa |
| --- | --- |
| Rilevamento tramite firme | Controlla le app con firme YARA che Apple aggiorna |
| Motore di rimozione | Rimuove le infezioni che conosce, usando gli aggiornamenti di Apple, e continua a controllare periodicamente |
| Motore comportamentale | Rileva malware sconosciuto da ciò che fa, e quei dati migliorano le firme |

Apple dice che XProtect cerca contenuti dannosi noti quando un'app viene aperta la prima volta, quando un'app cambia nel file system e quando le sue firme si aggiornano. Per impostazione predefinita, macOS cerca quegli aggiornamenti ogni giorno, separatamente dagli aggiornamenti di sistema. Quindi puoi aspettarti attività dopo aver installato o aggiornato un'app, dopo un aggiornamento delle firme e ogni tanto senza nessuna app coinvolta.

Quando trova un malware, Apple dice che XProtect lo blocca, lo sposta nel Cestino e ti avvisa nel Finder. Non ha una finestra da cui avviare un'analisi, perché non è stato progettato così.

## Dove si trova

La guida di Apple non indica percorsi. Sul Mac su cui è stata verificata questa pagina, le parti si trovano qui:

```text
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
```

`XProtect.app` contiene un programma `XProtectRemediator…` per ogni famiglia di malware che rimuove, con nomi come `XProtectRemediatorAdload`, ed è per questo che Monitoraggio Attività può mostrare un nome che non hai mai visto. `/Library/Apple` ha il flag `restricted`, quindi la Protezione integrità del sistema ne impedisce la modifica, anche con `sudo`.

Per controllare la versione installata e la cronologia degli aggiornamenti:

```bash
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
```

Se il comando `xprotect` non viene trovato sul tuo macOS, usa la seconda riga, che esiste da molto più tempo.

## Quando usa la CPU

Un'ondata dopo aver installato o aperto una nuova app è il caso previsto. Dagli qualche minuto con il Mac alimentato.

Se resta alto:

1. Apri Monitoraggio Attività, scegli **Vista › Tutti i processi** e ordina per **% CPU**. Annota il nome esatto e se l'uso è costante o a picchi.
2. Controlla che il file sia davvero di Apple. Seleziona il processo e fai clic sul pulsante **i**, poi su **File e porte aperti**. Il programma dovrebbe trovarsi in uno dei percorsi indicati sopra.
3. Finisci quello che stavi facendo, riavvia e osserva di nuovo per dieci minuti. Un riavvio interrompe un'analisi bloccata, e macOS pianifica la successiva da solo.
4. Installa gli aggiornamenti di macOS in attesa, in **Impostazioni di Sistema › Generali › Aggiornamento Software**.
5. Se continua a girare per ore quasi ogni giorno, invia un feedback ad Apple con ciò che hai visto. Annota quale app hai installato più o meno quando è iniziato, perché un'app i cui file cambiano continuamente dà a XProtect più cose da controllare.

La lentezza che resta quando XProtect è tranquillo ha un'altra causa, quindi vedi [l'uso elevato della CPU su Mac](https://mole.fit/it/blog/mac-processes-explained) per capire come leggere l'elenco.

## Basta da solo

È una protezione reale contro il malware noto, e affianca Gatekeeper e la notarizzazione. Tieni attivo **Installa interventi di sicurezza e file di sistema**, in **Impostazioni di Sistema › Generali › Aggiornamento Software › Aggiornamenti automatici**, perché è così che arrivano gli aggiornamenti delle firme. Non è però un prodotto di sicurezza completo: non c'è una cronologia delle analisi da leggere, né filtro web, né un pulsante per analizzare su richiesta. Aggiungere o meno un prodotto di terze parti dipende da ciò che fai e da ciò che richiede il tuo datore di lavoro. Se ne stai rimuovendo uno, [come disinstallare un antivirus su Mac](https://mole.fit/it/blog/how-to-uninstall-antivirus-mac) elenca cosa lascia dietro ciascuno.

## Cosa non fare

- Non provare a eliminarlo o a disattivarlo. Le cartelle sono protette, e le guide che aggirano il problema ti chiedono di disattivare la Protezione integrità del sistema, che costa molto più di un picco di CPU.
- Non forzare l'uscita ancora e ancora. Gira quando macOS ne ha bisogno, quindi il lavoro viene solo rimandato.
- Non fidarti di un messaggio che dice che XProtect ha trovato un virus e offre un numero di telefono o un download. XProtect avvisa nel Finder e non chiede nulla.
- Non tenere un'app bloccata rimettendola a posto dal Cestino perché ne riconosci il nome. Scaricala di nuovo dallo sviluppatore.

## Dove entra Mole

[Mole](https://mole.fit/it/) non è un antivirus: non cerca malware e non ha una riga per XProtect in **Pulizia**. **Stato** mostra questi processi quando rientrano tra le sue righe più impegnate, con tutto ciò che gira dalla cartella di un'app raccolto in una sola riga, e **Perché è in esecuzione?** su una riga ne mostra l'eseguibile, così puoi controllare il percorso senza il Terminale. Se stai inseguendo un processo in background sconosciuto che non è XProtect, il segmento **Avvio** di **App** elenca gli elementi di avvio di terze parti, che è dove l'adware persistente tende a installarsi.

## Domande frequenti

### XProtect è un virus?

No. È l'antivirus di Apple, parte di macOS. I suoi programmi stanno in posizioni di sistema protette, quindi un processo con quel nome in esecuzione da qualsiasi altro posto, come la cartella Download, merita sospetto.

### Posso disattivare XProtect?

Non da Impostazioni di Sistema. Lascialo attivo: gli unici modi per aggirarlo indeboliscono la Protezione integrità del sistema, che protegge molto più di XProtect.

### Perché XProtectRemediator è in esecuzione?

È la parte che cerca e rimuove malware noti specifici, secondo una pianificazione. Vedere uno di quei processi non significa che il tuo Mac sia infetto, perché girano di routine e la maggior parte finisce in fretta.

### Come controllo la versione di XProtect?

Esegui `xprotect version` nel Terminale, oppure `system_profiler SPInstallHistoryDataType | grep -A 4 XProtect` per la cronologia degli aggiornamenti.

### XProtect significa che non mi serve un antivirus?

Per molte persone copre bene il malware noto, insieme a Gatekeeper e alla notarizzazione. Non offre rapporti di analisi né analisi su richiesta, quindi una regola sul posto di lavoro o il bisogno di queste funzioni è un motivo per aggiungere un altro prodotto.

---

Canonical HTML page: https://mole.fit/it/blog/what-is-xprotect-mac
Blog index for agents: https://mole.fit/it/blog/llms.txt
Site index for agents: https://mole.fit/llms.txt