¿opensnoop realmente lista todos los archivos que se leen?

Tengo dos usuarios en mi sistema, 501 y 505. 501 puede sudo, 505 no puede. Me registré en la GUI como 505 y quería ver qué archivos se leían cuando inicié un determinado programa para ejecutar opensnoop. Abro una terminal su: d al 501 y luego ejecuté sudo opensnoop 2>/dev/null .

Por extraño que parezca (?), lanzar, en la GUI, un programa como 505 no generó ninguna salida de opensnoop (acabo de ver la salida relacionada con 501, lo cual es sorprendente en sí mismo considerando que 501 tiene 35 GUI aplicaciones abiertas, así como varios programas CLI en ejecución).

¿opensnoop solo enumera los procesos que pertenecen al usuario que ejecuta el comando (pero, ¿qué hay de sudo ???)? O ¿por qué no reporta ningún archivo de i / o al iniciar Safari?