活动监视器需启用“网络”标签页才能监控进程带宽，通过Rcvd/Sent列识别异常进程，再结合签名、端口、launchd配置等溯源验证，最后用unload禁用自启项并备份清理。
活动监视器本身不直接显示网络带宽使用量，但可以通过间接方式定位高网络活动的未知进程。关键在于启用“网络”标签页并结合进程行为判断。
打开并切换到网络视图
在“活动监视器”中，点击顶部标签栏的“网络”（不是“CPU”或“内存”）。默认可能未显示该标签——若看不到，请先前往菜单栏：显示 > 折叠所有 > 网络，确保网络视图已启用。该页面会实时列出各进程的每秒接收（Rcvd）和发送（Sent）字节数，单位为 KB/s 或 MB/s。
识别异常网络活动的进程
观察“Rcvd”和“Sent”两列数值持续偏高的条目，尤其注意以下特征：
macOS UI 自动化技能包 —— 用 Python 控制你的 Mac
下载
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
- 进程名含随机字符串、无意义缩写（如 kqz9x、svc_updater_2026）或路径指向 ~/Library/Application Support/ 等用户目录下陌生子文件夹
- 没有对应前台 App 正在运行，却长期维持 >500 KB/s 的上传或下载流量
- 进程类型标注为“后台进程”或“守护进程”，且所属用户为“root”或你的用户名但非你主动启动
进一步验证与溯源
选中可疑进程后，执行以下操作确认其真实身份和启动来源：
- 双击该进程，或点击窗口右下角的信息按钮（ⓘ），查看完整路径、签名校验状态（是否“已确认”）、打开的文件与端口
- 在终端中运行：lsof -i -P -n | grep
（将 替换为该进程的编号），检查它连接了哪些远程 IP 和端口 - 检查其是否由 launchd 加载：运行 launchctl list | grep
；再查对应 plist 文件位置，重点筛查 ~/Library/LaunchAgents/ 和 /Library/LaunchDaemons/
临时阻断并清理
确认为可疑后，不要直接强制退出系统级进程。稳妥做法是：
- 在活动监视器中选中进程，点击左上角“X”按钮 > “退出进程”（非“强制退出”）
- 若进程立即重启，说明有 launchd 配置自动拉起，需用 sudo launchctl unload -w [plist路径] 禁用
- 移走对应 plist 文件前，先备份到桌面，并用 cat [plist路径] 检查 ProgramArguments 和 RunAtLoad 是否可疑
