GPT-5.6 被曝误删用户重要文件：Codex 全权限，到底还能不能开？-北京尧图网络

有人说生产库被清空了。也有人说 Mac 上的大量文件被删了。看完这些消息紧张很正常。第三方公开讨论中关于 GPT-5.6 Sol 误删本地文件和数据的截图但先别急着把它理解成“GPT-5.6 一定会乱删文件”。真正该先弄清楚的是这些风险到底在什么条件下发生普通用户又该怎么避开Full Access 不该再当成默认选项。OpenAI 怎么解释这件事OpenAI 已对部分报告做了调查并公开说明了风险主要集中在哪些条件下。OpenAI 官方人员 Tibo 关于 GPT-5.6 文件误删风险的公开回复截图图OpenAI 官方人员 Tibo 的公开回复。图中提到风险常发生在 Codex 以 Full Access 运行、没有沙箱保护、且未启用自动审查的组合下部分报告还涉及模型错误处理 $HOME 临时目录进而误删文件。这段回应把问题说得更具体了风险不是“模型一开就会删文件”而是 Full Access 无沙箱无自动审查同时出现时错误命令的影响面会被放大。翻译成人话就是它不是突然“发疯”。而是在工具很多、权限很大、任务又很长的时候可能把“帮你把活干完”理解得太用力了。这就像你请人整理房间。你本来只想让他把桌面收一下他看到角落里几个纸箱也顺手当垃圾清走了。问题不在于他有没有勤快。问题在于他手里拿着你家所有房间的钥匙。真正要防的不只是 rm -rf很多人的第一反应是把 rm -rf 禁掉。有用但不是完整方案。因为破坏性操作不只有删除命令。递归移动、批量覆盖、错误的同步参数、脚本里的文件 API、把测试打到生产库甚至一个被错误展开的路径变量都可能造成同样的结果。真正的风险不是某条命令而是“模糊目标大权限无人确认”。这三个条件只要同时出现任何 Agent 都不应该被放着自己跑。我现在更在意的是它这次到底能碰哪里碰错了谁能把它拦下来新手先把这四道兜底配上第一层把危险动作写进 AGENTS.mdAGENTS.md 不是安全沙箱。它不能从系统层面阻止一个拿到 Full Access 的进程。但它非常适合做第一道“行为护栏”让 Agent 在动手前把目标、范围和后果说清楚。我现在给自己的 AGENTS.md 加了一段文件系统规则核心不是堆一长串禁止词而是要求每次危险操作先经过同一套流程文件系统安全工作区内的正常修改及用户明确点名的少量文件删除可直接执行递归、批量、目录、未跟踪文件或未明确涉及的删除必须确认。跨工作区修改仅限用户明确指定的目标删除、递归移动或覆盖前必须展示真实绝对路径、影响数量和相关git status并获得单独确认。禁止递归删除/、$HOME本身、~/.codex及系统目录不得通过环境变量、符号链接或挂载点绕过工作区边界。rm -rf、git clean、git reset --hard、find -delete、xargs rm及通配符删除仅在用户明确要求并确认具体目标后执行。不得为通过构建或测试而擅自删除文件也不得削弱沙箱、审批或权限配置。看着有点啰嗦。但它把“删一下”“清一下”“重新生成一下”这些模糊词翻译成了可检查的动作。以前 Agent 看到“清理旧文件”可能直接开干。现在它得先把旧文件是哪几个、在哪里、删完能不能恢复摆到你面前。好工具不是替你少问一句而是在该问的时候绝不擅自替你回答。第二层刚开始用 Codex别常开 Full AccessFull Access 确实省事。不用审批少弹窗Agent 想跑什么就跑什么。但如果你刚开始用 Codex我建议按这个顺序开权限只是看代码、做分析、写方案时用只读权限日常改项目、跑本地测试时用工作区写入权限只有任务确实要访问工作区外文件才临时提升权限任务结束后切回去。Full Access 下测试目录被直接删除的终端截图图源AI技术宅原文的本地测试截图。它说明无审批全权限下错误删除的影响面会被放大发布前请确认图片转载授权。这不是“把 AI 绑住手脚”。这是给它一张只能刷当前订单的卡而不是把银行卡、密码和保险柜钥匙全塞给它。官方对本地使用的低风险组合也很明确工作区内写入越界时再请求批准。你平时省下的那一次点击真不值得拿主目录、照片库和生产数据去换。第三层把最不该碰的地方单独隔开有些目录不应该只靠一句“请小心”。比如主目录、密钥目录、备份目录、下载目录还有生产数据库的配置文件。我的习惯是把 Agent 的工作放在一个干净的 Git 仓库或 worktree 里。需要试错就建一个临时项目。需要做迁移就先连测试库。需要处理真实数据就先导出一份副本。这件事真正升级的不是权限设置而是工作边界。不是让 Agent 记住“哪些东西很重要”而是让它默认碰不到这些东西。AGENTS.md 负责告诉它不要越线。沙箱和权限负责让它越不了线。两件事得一起做。最后一层出事之后你能不能回来再严的规则也不能承诺零风险。所以最后一层不是“永不出错”而是“出了错还能回来”。Git 是第一层回退。远端仓库是第二层。系统备份是第三层。如果你用 MacTime Machine 这类系统级备份别只配不看如果你维护的是项目重要改动前推一次远端如果你要让 Agent 做大范围改动先开新分支或新 worktree。很多人把 Git 当成代码协作工具。我现在越来越觉得它也是 AI 时代最便宜的一份“后悔药”。当然Git 救不了没有提交过的照片也救不了被清空的生产数据库。所以备份和最小权限还是得在前面。平时怎么注意给你一份 1 分钟清单

GPT-5.6 被曝误删用户重要文件：Codex 全权限，到底还能不能开？

相关推荐

面试官问：单例模式的7种写法与JVM层面分析？一张图+CEO招聘比喻，彻底拿下这道必考题（附图解+比喻+避坑指南）

深入解析TI DSP EMIFA接口：SDRAM刷新与异步时序配置实战

什么是 PUF 防伪？一颗“不存密钥“的芯片怎么验明正身

更多资讯

Spring Boot启动流程与自动配置原理源码级拆解

WolfCut开源视频编辑器：Rust+Tauri打造本地化专业剪辑工具

Spring AI框架：企业级Java应用集成AI的最佳实践

Django学生选课系统：ORM设计、事务与Admin后台实践

嵌入式开发强度真相：C语言、单片机与RTOS的物理级工程实践

RAG技术演进：四大优化方向解析与实践

今日更新

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？