你让一位助手整理桌面，原意是清空临时纸箱，却把装着全部资料的文件柜当成纸箱扔了。Codex 的文件误删事故大致如此：模型想指定一个临时目录，却错误处理了代表用户主目录的 $HOME，随后让删除操作落到了不该碰的位置。它之所以能造成真实破坏，还因为当时可能同时缺少权限限制和执行前检查。
Codex 是 OpenAI 的编程 Agent——一种可以读取项目、修改文件并运行命令的 AI 助手。据 OpenAI/Codex 相关人员 Thibault Sottiaux 的说明，OpenAI 已调查“少量”GPT-5.6 意外删除文件的报告。这些关键信息目前都来自 OpenAI 一方，尚无用户案例、运行日志、复现步骤或完整事后报告交叉印证。
它为什么会删到用户文件？
OpenAI 目前披露了一条已经发现的事故路径。
模型原本试图覆盖 $HOME 环境变量，用它指定临时目录。环境变量可以理解为操作系统交给程序的一组配置值；其中 $HOME 通常指当前用户的主目录，也就是大量个人文件和配置所在的位置。问题出在下一步：模型操作失误，把 $HOME 当成了需要清理的目标，最终删除了主目录。
这不是一句“AI 判断错了”就能解释完的事。真正需要注意的是完整的执行链：先改动一个含义非常重要的系统配置，再运行具有破坏性的删除操作。如果删除目标在变量替换或路径处理时出了错，命令仍可能被系统照常执行。
Sottiaux 将其称为模型犯下的“honest mistake”。这种说法容易让人联想到人类手滑，但模型并没有人的意图。更准确的描述是：环境变量覆盖与删除命令组合后指向了错误位置，而系统允许这条操作链真正落地。
高权限让错误穿过了最后一道门
据 Sottiaux 的调查说明，这类误删最常见于几个条件同时出现：用户启用了 Full access mode，也就是全权限模式；Codex 没有沙箱保护；auto review 也没有开启。
沙箱（sandbox）是一层隔离环境，用来限制程序能够访问哪些文件、网络和系统资源。它不能保证 Agent 永远判断正确，但可以把错误限制在预设范围内。全权限模式则相反：Agent 可以直接执行广泛的文件和系统操作，自动化程度更高，误操作触及真实环境的机会也更直接。
auto review 是另一道关卡。它会在高风险操作真正执行前再做检查。按照 Sottiaux 的说法，这类危险删除命令会被 auto review 识别并拒绝。换句话说，这起问题不只涉及模型生成了错误操作，也涉及错误操作在缺少隔离和复核时获得了执行条件。
不过，“最常见于”不等于“只会发生于”。现有材料不能证明 Full access mode 是唯一原因，也不能证明所有误删都经过同一条 $HOME 路径。它描述的是 OpenAI 当前调查到的常见条件，而不是完整根因结论。
为什么这件事值得开发者警惕？
编程 Agent 与普通聊天机器人最大的差别，是它不只给建议，还能直接动手。回答错一句话，影响通常停留在屏幕上；执行错一条删除命令，影响可能立即进入真实文件系统。权限越高，这两者之间的差距就越小。
我们此前报道过 Grok Build 可能在未明确调用工具时上传整套代码，关注的是云端编程 Agent 的数据边界。这次事件指向另一面：当 Agent 获得系统权限后，风险不只是“文件去了哪里”，还包括“本地文件是否仍然存在”。两类问题共同说明，编程 Agent 的安全不能只看模型会不会答对，还要看它能做什么、操作被限制在哪里，以及危险动作是否有人或系统复核。
OpenAI 表示，正在更新 developer message——即系统交给模型的开发者级行为指令；引导更多用户采用安全性更高的权限模式；并为运行 Agent 的 harness 增加保护。这里的 harness 可以理解为承接模型输出、调用工具并执行命令的外围运行框架。三项措施分别作用于模型指令、用户权限选择和执行层防护。
局限与未知
- OpenAI 称误删发生得“extremely rarely”，但没有提供分母、统计周期或具体数量，因此不能据此换算发生率。“少量报告”同样不是可量化数据。
- 目前没有公开日志、复现步骤和受影响范围，无法判断不同报告是否共享同一根因，也无法评估新增保护能降低多少风险。
- OpenAI 当时承诺将在未来几天发布详细 post-mortem（事后复盘报告）。在报告公开前，现有说明应视为初步调查结果，而不是已经完成的事故复盘。