Thibault Sottiaux von OpenAI hat gestern eine Erklärung veröffentlicht, die man zweimal lesen muss:
“Wir haben eine Handvoll Berichte untersucht, in denen GPT-5.6 unerwartet Dateien gelöscht hat.”
Und dann kommt die Ursachenkette. Sie hat drei Glieder:
- Full-Access-Modus ist aktiv und Codex läuft ohne Sandbox-Schutz — inklusive ohne aktiviertes Auto-Review.
- Das Modell versucht, die
$HOME-Umgebungsvariable zu überschreiben, um sich ein temporäres Verzeichnis zu definieren. - Das Modell macht einen ehrlichen Fehler und löscht stattdessen
$HOME.
Das ist es. Kein Angriff, keine Prompt Injection, kein exotischer Edge Case. Ein Agent will sich einen Scratch-Ordner bauen, verhaspelt sich bei einer Umgebungsvariablen — und weil niemand mehr fragt, ist das Home-Verzeichnis weg.
Warum das so unangenehm ist
Was mich daran beschäftigt, ist nicht der Bug. Es ist die Kombination aus den drei Punkten. Jeder einzelne davon ist eine Entscheidung, die man als Nutzer trifft: Full Access einschalten. Sandbox aus. Auto-Review aus. Alles verständliche Entscheidungen, wenn man einen Agenten schnell durcharbeiten lassen will.
Und genau da liegt der Punkt. Ein Modell, das einen Fehler macht, ist nichts Besonderes — Modelle machen Fehler, das ist eingepreist. Die Frage ist, was zwischen dem Fehler und dem Schaden steht. Bei diesen Nutzern stand: nichts.
Es ist das gleiche Muster, das wir in dieser Woche schon bei Claude Code 2.1.212 gesehen haben. Dort war ein Bug, dass der Plan-Modus dateiverändernde Bash-Kommandos wie touch und rm ohne Freigabe-Dialog durchgelassen hat. Anderer Anbieter, andere Ursache, gleiche Stelle: die Schicht, die “Moment mal” sagen soll.
Meine Einordnung
Ich verstehe die Verlockung von Full Access sehr gut. Die Freigabe-Dialoge nerven, gerade wenn du weißt, was der Agent gerade tut. Aber die ehrliche Rechnung sieht so aus: Du tauschst ein paar Sekunden Klicken gegen die Möglichkeit, dass ein rm ins Falsche läuft, weil eine Umgebungsvariable an der falschen Stelle stand.
Zwei praktische Konsequenzen, unabhängig vom Anbieter. Erstens: Wenn du einen Agenten ohne Sandbox laufen lässt, lass ihn nicht dort laufen, wo du wohnst — Container, VM, Worktree, irgendwas. Zweitens: Backups. Nicht, weil KI besonders gefährlich wäre, sondern weil das hier ein sehr moderner Weg ist, einem sehr alten Unfall zu begegnen.
Die Ehrlichkeit der Erklärung finde ich übrigens gut. “The model makes an honest mistake” ist ein bemerkenswert unmarketing-hafter Satz.
Quellen: