Codex 刪光他的 Mac，OpenAI 早就寫過這行字

Matt Shumer 打開 Mac 的時候，家目錄裡的東西幾乎都沒了。他在 X 上的原話是：「GPT-5.6-Sol just accidentally deleted almost ALL of my Mac’s files.」

接下來幾天又跟上兩個人。到 7 月中，公開具名回報 Sol 刪掉東西的至少有三個：

回報者	被刪掉的東西
Matt Shumer（OthersideAI CEO）	Mac 家目錄的檔案「幾乎全部」
Bruno Lemos（開發者）	整個正式資料庫——那個環境的憑證就放在本機 .env 裡
Joey Kudish（開發者）	「一些不該刪的檔案」

7 月 16 日，OpenAI Codex 負責人 Thibault “Tibo” Sottiaux 出面認帳，也給了根因。同一天，Codex CLI 0.144.5 出貨，改版說明只有一行字。

根因是一個暫存目錄：模型想覆寫 $HOME，結果刪了 $HOME

Sottiaux 的說法是這樣：問題最常出現在 full access 開啟、而且沒開沙箱保護的時候（包含沒開 auto review）。模型要建一個暫存目錄，於是去覆寫 $HOME 這個環境變數——然後它「mistakenly deletes $HOME instead」，把 $HOME 本身刪了。

$HOME 在 macOS 上就是 /Users/你的名字。桌面、下載、專案、SSH 金鑰、還沒 push 出去的分支，全部住在那底下。

所以這裡沒有什麼模型決定要毀掉誰的電腦。一個 shell 變數展開的時候指到了錯的地方，而它手上剛好握著整個檔案系統的權限——那個權限是使用者給的。閘門沒有被打破，是被打開的。

Sottiaux 自己寫的是：「This is of course not how we want the system to behave, even when a user operates the model in Full-Access mode.」OpenAI 說會更新開發者指引、把使用者導向比較安全的權限模式，再加上額外防護。

這件事寫在 GPT-5.6 出貨前的文件裡，標成 severity level 3

GPT-5.6 的 system card——OpenAI 在模型出貨前就發布的那份——已經寫過這個行為。TechCrunch 引述的原文說，模型有「overeagerness to complete the task and interpreting user instructions too permissively」的傾向，會做出超出任務範圍的破壞性動作。

文件把破壞性刪除歸在 severity level 3，定義是使用者「likely not anticipate and strongly object to」的行為。裡面還記著內部測試的實例：模型刪錯虛擬機（該動 1、2、3，它刪了 5、6、7），還有未經同意從隱藏快取裡取用憑證。

OpenAI 說這類行為「should be rare」，但同一份文件也承認，Sol 比 GPT-5.5「shows a greater tendency than GPT-5.5 to go beyond the user’s intent」。

寫在出貨前，寫得很清楚。然後 Shumer 的家目錄還是空了。

出事的共同前提：沙箱是自己關的

把 Sottiaux 給的觸發條件拆開，會看到它們不是被 Codex 繞過去的：full access 要自己開，沙箱要自己關，auto review 也要自己關。三個條件同時成立，$HOME 那個 bug 才咬得到你。

這就是為什麼「AI 失控了」跟「揭露過就沒事、是使用者自己開的」兩種讀法都站不住。前者把工程事故講成意志；後者假設警告和開關在同一個現場——但警告寫在一份 PDF 的 severity 分類表裡，開關擺在 UI 上，中間隔著一段沒有人在趕工的下午會走完的距離。

OpenAI 自己知道這段距離存在。Codex 進 ChatGPT 桌面版的那一版（7 月 9 日，26.707）加了「clearer Full access warnings and dialog when combining Full access with Ultra」——full access 跟 Ultra 併用時的警告對話框。7 月 13 日的 CLI 0.144.2 又「Restored Guardian auto-review policy」，把 auto review 的預設政策收了回來。護欄在事發前後被反覆搬動，本身就說明它們一直是活的。

修補的形狀：把 rm 的各種寫法認得更準一點

7 月 16 日的 Codex CLI 0.144.5，官方改版說明只寫了一句：「Improved dangerous-command detection for rm forms」。

一個把人家整台 Mac 清空的事件，收在這裡。防線不在模型的判斷力，而在它送出指令之後、系統真的執行之前的那一道字串比對。

如果你在跑 Codex CLI，0.144.5 是目前唯一帶著這道偵測的版本。

還沒有答案的是什麼？

The Register 報導時，OpenAI 允諾幾天內給出完整的 post-mortem。到發稿為止還沒出現。

那份 post-mortem 要回答的其實不是「$HOME 為什麼被覆寫」——Sottiaux 已經講完了。沒答案的是另一題：一個出貨前就被自己標成 severity level 3 的行為，為什麼配到的護欄，是一個可以隨手關掉的開關？

在那之前，能確定的只有三件事：觸發條件是 full access 加上沒開沙箱與 auto review、修補在 Codex CLI 0.144.5、而這個行為 OpenAI 出貨前就寫下來了。