XProtect (File Quarantine) работает только с файлами, которые имеют атрибут com.apple.quarantine (добавляется в вашем браузере и в некоторых торрент-клиентах при скачивании) и просто проверяет основной список подписей.