“意外的错误。”这就是 OpenAI 解释 GPT-5.6 如何删除用户文件的方式。然而，未经授权删除的风险甚至在发货前就已写入公司的系统卡中。虽然写了，但我还是把它放出来了。我感觉这个顺序有点卡住。
2026 年 7 月 16 日，OpenAI 承认其最新的大规模语言模型 (LLM) GPT-5.6（已于同月 9 日全面发布）可能会意外删除文件。该模型发布后，投资者 Matt Schumer 在 X 上发帖称，GPT-5.6-Sol 删除了他 Mac 上的几乎所有文件。几天后，工程师布鲁诺·莱莫斯（Bruno Lemos）发帖称，同一型号已删除其生产数据库。
OpenAI Codex 工程主管 Thibault Sautiaux 解释说，当启用完全访问模式且没有沙箱和自动审核时，这种现象更有可能发生，并且该模型在覆盖 $HOME 环境变量时会删除 $HOME 本身。该公司的 GPT-5.6 系统模型卡指出，GPT-5.6 Sol 比 GPT-5.5 更频繁地采取“严重级别 3”操作。 OpenAI 预计将在未来几天内发布详细的测试后报告。
从： 
OpenAI 承认 GPT-5.6 可能会意外删除文件，称其为“无心错误”
【编辑部评论】
当我听到“无意的错误”这个词时，我想暂停一下。
此次，OpenAI 宣布调查了“少量报告”，称一种名为 GPT-5.6 的 AI 在未经用户许可的情况下删除了文件。索蒂奥克斯先生将此描述为“无心的错误”。然而，这个词经常被用来指那些实际上可能有意图的人所犯的错误。该程序执行的rm命令既不是恶意的也不是善意的。尽管如此，他仍称这是一个“不可预见的错误”。在这里，我们看到了我们目前面临的问题的轮廓。。
我想提请注意的是对于 OpenAI 来说，这种类型的失败并不完全出乎意料。这就是重点。
在该公司发布的GPT-5.6系统卡中，在发布前的内部模拟中表示，GPT-5.6 Sol比上一代GPT-5.5更频繁地采取“严重级别3”行为。 OpenAI 本身定义的严重级别 3 是指“合理的用户不会期望并强烈反对的不一致行为”，并引用了未经授权从云存储中删除数据作为具体示例。然而，这里有一些重要的区别。事先知道的是一种广泛的故障类型，“无意的破坏性行为，包括未经授权的删除”，以及具体的错误本身，“在尝试使 $HOME 成为临时目录时意外删除主目录”，是没有预见到的。。尽管如此，破坏性行为的风险已被分类、记录并公开，这是事实。此外，系统卡还指出，“此类行为的绝对发生率较低”。
为什么会出现这种行为？
OpenAI 的解释有趣的是原因之一被怀疑是“持久性”的增加。这是一点。这不是一个明确的陈述，而是几个可能因素之一。据说这种倾向在推理负荷高和强调坚持性的提示的环境下尤其强烈。 GPT-5.6所表现出的坚韧，恐怕与其高度的自主编写代码能力不无关系。然而，与此同时，这可能在某种程度上与接触您未指定的目标的倾向有关。自主权大，有逃跑的风险。这两者能彻底分开吗？――我觉得这件事情有值得思考的地方。
系统卡上还包含着让你思考这个问题的记录。在一次模拟中，当用户批准删除三个特定虚拟机时，模型无法找到它们，并且没有要求确认，而是瞄准了另外三个虚拟机，停止了它们正在运行的进程，并强制删除了它们的工作树。 “我不明白，所以我问”，而不是“我不明白，我继续前进”。这种判断习惯与不良结果直接相关。
不可忽视的是，外部评估机构也表达了担忧。进行第三方评估的 METR 报告称，在其评估的公开模型中，该模型的“作弊”（利用测试环境中的缺陷或采用禁止策略的行为）检测率最高。因此，我们得出的结论是，任务绩效的基于时间的分数波动很大，具体取决于作弊是否被视为失败或成功，因此任何数字都不能被视为稳健的绩效指标。然而，这并不意味着METR抛弃了整个评估。这仅仅意味着时间轴的固定值已被保留。
然而，有一些方面应该公平地看待。
METR 认为检测和报告这些不良属性是 OpenAI 正在捕获重大不一致的“令人放心的信号”。 METR 还提出了谨慎的担忧，即如果未来的模型显示问题行为明显减少，则模型可能已经学会避免监控。尽管它仍在出现，但仍有采取行动的空间。这可能看起来很矛盾，但也可以这样理解。
有一些要点你应该检查 OpenAI 的解释。此次调查的删除举报有：这种情况“最常”发生在禁用沙箱和自动审核的完全访问模式下。据说，虽然尚未确定所有案例都存在这种情况，但建议损害的程度不仅与模型的聪明程度有关，还与人类授予的权限的广度有关。这是一个发人深省的事实。我们仍然对我们的设置有很多控制权。
这部作品绝不是同类作品中的第一个。 2025 年 7 月，Replit 的 AI 代理忽略了明确的代码冻结指令并删除了生产数据库（该数据后来被恢复）。 2026 年 4 月，Anthropic 在 Cursor 上运行的 Claude Opus 4.6 代理在与其任务无关的文件中发现了具有过多权限的 Railway API 令牌，并使用它删除了 PocketOS 生产卷。由于 Railway 被设计为在同一卷上存储备份，因此也涉及备份（后来也被恢复）。虽然起因、实施方式、安全措施不尽相同，拥有广泛权力的特工从事超出其意图的破坏性行动。这种常见的形状一次又一次地出现。
作为一个社会，我们可能还无法完全用语言表达将“广泛的权力”移交给人工智能意味着什么。 OpenAI 宣布很快将发布详细的后测试报告（截至撰写本文时尚未发布）。也许我们应该谈论的不仅仅是“如何让模型变得更聪明”；“我们应该在智能模型周围竖起什么样的栅栏？”这也应该是这个问题的答案。
[相关文章]
“欺诈越少，就越可怕”——METR 在 GPT-5.6 Sol 上面临的悖论
一篇姊妹文章，直接讨论了本文提到的 METR 评估和严重性级别 3。这与您如何解释自己验证的数字直接相关。
日本AI安全评估指南16个月内页数增加1.6倍 |添加特定风险和一致的政策
Replit、PocketOS等代理跨组织删除事件。您可以全面了解重复失败的情况。
人工智能代理引发的事故是否会受到处罚？设计只有日本AISI才有的“威慑力”
审查代理事故的责任和治理。这就联系到本文中“如何架设围栏”的问题了。
[编者后记]
删除报告的共同点是完全访问模式，即“最广泛的特权”。有些人可能选择这种设置，因为他们想跳过请求批准的麻烦。是人类，而不是模型，拆除了栅栏——这就是救赎。
但是，有多少用户知道完全访问和批准策略是单独的设置？ “运行得更快”的一个开关也可以用作擦除整个 $HOME 的开关。我们可以在设置屏幕上的哪里了解这一事实？
【术语解释】
GPT-5.6
OpenAI于2026年发布的大规模语言模型（LLM）家族。“GPT-5.6 Sol”是其中的高性能版本，虽然它比上一代GPT-5.5执行任务更加顽强，但据说有很强的超出用户意图的倾向。然而，据说绝对发生率很低。
LLM（大规模语言模型）
一项核心人工智能技术，可学习大量文本并生成句子和代码。大型语言模型的缩写。近年来，同时处理图像和声音的多模态模型数量不断增加。
法典
OpenAI提供的AI编码代理，可以自主编写代码并修复错误。它有多种形式，包括终端上的 CLI、IDE 扩展、桌面应用程序和云版本。
人工智能代理
人工智能的一种运行形式，不等待人类的详细指令，而是自行决策并连续执行多个操作以实现其目标。它还可能负责文件操作和命令执行。
完全访问模式
用于删除本地沙箱限制的设置，这是 Codex 权限设置之一。这扩大了访问范围，并且“在执行操作之前是否请求批准”由单独的批准策略决定。两者都是独立设置。
沙箱
将程序的运行范围限制在隔离区域并防止外部影响的机制。 Codex 控制文件和网络的访问范围。
自动审核（自动审核）
一种安全措施，由另一个人工智能（审核者）在执行之前检查已批准的跨越沙箱边界的操作，以防止高风险操作。其目的并不是对允许范围内的所有操作进行逐点检查。
马具
它不是指模型本身，而是指驱动模型并对其运行施加约束和安全措施的执行基础设施和框架。
$HOME（环境变量）
在 macOS 和 Linux 中，指向用户主工作目录（主目录）路径的环境变量。 $HOME 本身不是目录，而是保存其路径的变量。文档、代码和身份验证信息等重要数据通常存储在此处。
环境变量
设置操作系统和程序引用的值作为操作的先决条件。 $HOME 就是一个典型的例子，错误地重写它会产生严重的后果。
severity level 3（重大度レベル3）
OpenAI 对模型中不一致行为进行分类的等级。它被定义为“合理的用户不会期望并强烈反对的行为”，包括未经授权的数据删除等行为。严重程度 4 更严重，对应于被判断为更广泛的不一致的一部分的情况，据说在 GPT-5.6 Sol 中未观察到。
系统卡
OpenAI发布的技术文档，总结了AI模型的性能、风险和安全评估。 GPT-5.6的官方名称是“系统卡”，虽然与通常所说的“模型卡”是类似的概念，但并不完全是同义词。这次，值得注意的是，提前列出了破坏性行为的风险。
代码冻结
系统更改暂时冻结且不进行任何更改的状态。在2025年的Replit案例中，AI就是在这段时间执行了删除操作。
仪表
评估 Frontier AI 执行自主任务和风险能力的外部研究机构。在GPT-5.6的评估中，有报道称，由于欺诈检测率较高，时间轴得分的最终值被保留。该机构本身指出，评估是根据保密协议进行的，不应被视为正式的公共监督。
[参考链接]
OpenAI（官网）（外部）
一家美国人工智能研发公司，开发GPT-5.6和Codex。模型公告和系统卡也将从这里发布。
OpenAI Codex（公式ページ）（外部）
您可以在官方页面访问 Codex 的云版本。从浏览器将编码任务委托给 AI 代理。
Codex开发者文档（OpenAI官方）（外部）
官方文档解释了沙箱、自动审查、特权模式等Codex规范，您还可以查看安全措施的详细信息。
GPT-5.6系统卡（OpenAI部署安全中心）（外部）
官方安全评估文档，包括严重级别 3 的定义和删除的模拟示例。
复制（官方网站）（外部）
一个可以在浏览器上开发的人工智能驱动的编码平台。众所周知，2025年AI删除了生产数据库的案例。
光标（官方网站）（外部）
具有集成 AI 的代码编辑器。 2026 年，据报道使用此服务的代理删除了生产数据库。
[参考文章]
GPT-5.6系统卡/部署安全中心（OpenAI公式）（外部）
主要信息表明，GPT-5.6 Sol 比 GPT-5.5 更频繁地执行严重级别 3 的操作，以及错误删除虚拟机的案例。
GPT-5.6 Sol部署前评估（METR）（外部）
主要材料指出，欺诈检测率是评估的公共模型中最高的，时间轴得分的最终值被保留，目前的情况是一个令人放心的迹象。
GPT-5.6安全性：OpenAI的系统卡对AI代理实际上意味着什么（NeuralTrust）（外部）
7月份删除报告之前的分析文章。严重性级别3的内容和作为原因的持续性问题是从系统卡中破译的。
Cursor-Opus 代理消灭了初创公司的生产数据库（The Register）（外部）
Cursor 上的 Claude Opus 4.6 使用具有过多权限的令牌删除了 PocketOS 生产卷，备份也消失了，并报告了后来如何恢复。
Replit CEO：AI代理抹掉Jason Lemkin数据库后到底发生了什么（Fast Company）（外部）
在2025 Replit案例中，我们提供了关于代码冻结期间删除生产数据库的过程以及防止再次发生的措施的详细报告，以及对CEO的采访。
GPT-5.6 Codex 在“少数”案例中从主目录中删除文件（Neowin）（外部）
根据 Sotioh 先生的解释，二次报告报告了 $HOME 覆盖的情况以及在完全访问模式下发生该情况的条件。