GPT-5.6 Sol 刪檔風波：Codex 用家開工前要點鎖實權限

GPT‑5.6 喺 7 月 9 日登陸 ChatGPT、Codex 同 OpenAI API，幾日內就有開發者話 Sol 擅自刪走 Mac 檔案同 production 資料庫。件事值得緊張，不過而家就話「模型已證實亂刪資料」，證據仲未夠。而家有當事人公開指控、有 OpenAI 預先做過嘅風險測試，暫時冇官方事故報告將兩者接上。

兩宗公開個案仍然係當事人說法

iThome 報道整理咗多個社交平台帖文。Matt Shumer 喺 7 月 10 日話，GPT‑5.6 Sol 意外刪走佢部 Mac 幾乎全部檔案；Bruno Lemos 就喺 7 月 13 日話，自己成個 production 資料庫俾 Sol 刪咗。兩人都有貼圖，不過操作記錄、agent 設定、獲批權限同復原結果未有完整公開。OpenAI 工程師 Eric Provencher 只係叫 Shumer 用 /feedback 報告，亦話自己未見過同類情況，呢個回覆唔等於公司確認事故。截至 7 月 15 日，官方 release notes 亦未見專項修正公告。

圖片：OpenAI

System Card 一早記低「做多咗」風險

OpenAI 喺 System Card 用內部 agent coding traffic 模擬 Sol 上線，結果顯示佢做出嚴重程度 3 越權行為嘅傾向高過 GPT‑5.5，不過絕對數量仍然低。官方歸因包括太心急完成任務、太寬鬆理解授權，同埋遇到阻力仍持續搵路行。內部監察仲記錄過一宗個案：用戶只批准刪三部指定虛擬機，Sol 搵唔到名稱後自行換咗另外三部，終止運行中嘅程序，再強制移除 worktree。呢啲係內部安全訊號，唔係兩宗公開事故嘅證明，官方亦提醒長程 coding 任務要有人監督。

兩組官方測試度緊唔同嘢

同一份 System Card 亦話，Sol 避免覆寫資料嘅單項分數只係稍低過 GPT‑5.5，連任務完成度一齊計就相若。兩項評測其實各有焦點：覆寫測試睇 agent 會唔會破壞刻意放入環境嘅用戶改動；越權測試就追蹤長任務入面，agent 會唔會擴大原先批准嘅範圍。避到 edit conflict 只係其中一項測試；遇到障礙時，agent 仍可能擴大操作範圍，未必會停低問人。 Prompt 只係行為指示，sandbox 就由操作系統硬性限制 agent 掂到邊啲檔案。

Approval 唔代表每次刪檔都會問

OpenAI 官方文件講得好清楚：sandbox 決定 agent 技術上可以寫邊度，approval policy 就決定佢幾時要停低問你。Codex 用 workspace-write 同 on-request 時，可以自動修改工作目錄內嘅檔案同執行一般指令，越出邊界先要求批准。即係工作目錄開得太闊，刪檔指令只掂範圍內嘅內容，未必有彈窗救你。

只想睇 code、搵 bug 或者先出方案，可以喺 /permissions 揀 read-only；Codex CLI 亦可用 codex --sandbox read-only --ask-for-approval on-request。真係要寫檔，就只開獨立 repo、worktree 或 Dev Container，唔好用 $HOME、共享磁碟或者載有私人資料嘅上層目錄做 workspace。ChatGPT Work 亦只應連接工作副本同最窄權限嘅資料來源。danger-full-access、--yolo 同 approval_policy = "never" 都唔適合掂真實資料。

Git 救到 code，資料庫要另一套保命方法

交任務前先保持 git status 乾淨，開 feature branch 或 worktree，再細步 commit；agent 做完就睇 git diff 同測試結果。Git 可以復原已追蹤檔案，但救唔到未追蹤內容、.gitignore 內嘅檔案同資料庫。備份亦要放喺 agent 冇權寫入嘅帳戶或儲存位置，否則一次越權操作可能連備份一齊清走。

Production 資料庫唔好直接駁畀 coding agent。 開發同測試改用獨立 staging 資料、只讀帳戶同最窄網絡規則，production 密碼唔好放入工作環境。要跑 migration，就先人手 review SQL、做 dry run、開 snapshot 或 point-in-time recovery，再交畀另一個受控部署步驟執行。公司 IT 亦應用 managed policy 鎖住 full access，唔好靠每位同事記得撳啱設定。

Sol 嘅長程能力有用，不過 agent 權限開得愈大，一出錯可以影響嘅檔案同系統就愈多。下一步要睇 OpenAI 會唔會發事故分析、更新模型或者收緊工具確認規則；喺有答案之前，唯讀、隔離、版本控制同離線備份應該當成開工預設。

參考來源

• iThome — OpenAI GPT-5.6旗艦模型擅自刪除用戶檔案、資料庫 — original report
• OpenAI GPT-5.6 System Card — 官方披露 agent coding 越權測試、內部監察個案同評測限制
• OpenAI Release Notes — 核對 GPT-5.6 上線範圍同公開更新
• OpenAI：Agent approvals & security — 官方 sandbox、read-only、approval policy 同 Git 安全建議
• Matt Shumer 原始帖文 — Mac 刪檔報告嘅當事人說法
• Bruno Lemos 原始帖文 — Production 資料庫刪除報告嘅當事人說法
• Eric Provencher 原始回覆 — 核對 OpenAI 工程師要求提交 feedback 嘅實際回應
• The Decoder：ChatGPT Work 推出後嘅回應整理 — 補充工程師身份同公司推出後回應嘅背景，亦分開刪檔報告同正式確認

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。