直接用活动监视器“网络”标签页可快速定位偷跑流量程序：按“接收字节”或“发送字节”实时增量排序，关注数值跳动快、非预期联网的进程；结合dock动态图标与“数据”模式图表确认吞吐量，终止可疑进程后观察收发速率是否显著回落。
直接用活动监视器就能快速揪出偷偷跑流量的程序，关键是看“网络”标签页里的实时增量数据。
打开并切换到网络视图
按下 Command + 空格 呼出聚焦搜索，输入“活动监视器”回车启动。顶部标签栏点选“网络”，窗口底部会立刻显示收发速率图表和进程列表。
按实时流量排序，识别高活跃进程
在进程列表中，确保“接收字节”和“发送字节”两列可见（若不可见，点菜单栏“显示”→“栏”，勾选对应项）。这两列数值每秒都在跳动，变化越快说明该进程当前网络活动越强。
- 点击列标题可升序/降序排列，连续点击两次可按“发送字节”或“接收字节”的实时增量从高到低排序
- 重点关注那些平时不常联网、却突然出现大幅字节数增长的进程，比如“照片”“iCloud”“备份”类应用，或是陌生名称的后台服务
- 注意区分“累计总量”和“瞬时速率”——排查带宽占用要看的是每秒新增量，不是总收发MB数
结合Dock图标与图形类型确认异常行为
右键Dock中的活动监视器图标，选择“Dock图标”→“显示网络使用率”，图标会变成动态滚动条。再回到活动监视器窗口，点底部图形上方的弹出菜单，切换为“数据”模式（而非“包”），这样图标和窗口图表反映的都是字节级吞吐量，更贴近真实带宽消耗。
- 如果Dock图标持续高速滚动，但窗口里没有明显高流量进程，可能是系统级服务（如mDNSResponder、nehelper）或未显式列出的沙盒进程在工作
- 此时可尝试点选“所有进程”，再按CPU或能耗栏辅助判断——有些高网络负载也会伴随高CPU或高能耗
暂停可疑进程验证影响
选中疑似目标进程，点击左上角“X”按钮终止它（注意：系统进程勿强制退出）。观察底部“收到的数据/秒”和“发出的数据/秒”数值是否明显回落。若回落显著，基本可确认该进程是带宽主力消耗者。
- 对iCloud Drive、Time Machine、软件自动更新等常见后台任务，可临时关闭其偏好设置中的同步选项，再对比网速变化
- 若终止后流量仍高，建议检查“网络”标签页右下角的“接口”信息，确认是否为Wi-Fi或以太网本身异常（如ARP风暴、广播泛滥）
