OpenAI patcht Codex, nachdem es echte Nutzerdateien löschte

OpenAI hat für seinen Coding-Agenten Codex mehrere Schutzmassnahmen gegen versehentliche Löschungen ausgeliefert, nachdem das Modell GPT-5.6 Sol eigenständig echte Nutzerdateien entfernt hatte. Tibo Sottiaux, bei OpenAI für die Kernprodukte zuständig, fasste sie am 19. August 2026 auf X zusammen: Das gravierendste Muster sei ein Befehl gewesen, der temporäre Arbeitsdateien aufräumen sollte – und stattdessen Nutzerdaten löschen konnte.

Ein Aufräum-Befehl mit falschem Ziel

Der Mechanismus ist unspektakulär und genau deshalb heikel. Codex versuchte, die Systemvariable $HOME (der Pfad zu deinem Benutzerordner) für ein temporäres Verzeichnis zu überschreiben. Ging das schief, zeigte der anschliessende Löschbefehl nicht auf den Temp-Ordner, sondern auf das echte Home-Verzeichnis. Passiert ist das laut OpenAI vor allem dort, wo der Full-Access-Modus aktiv war: kein Sandbox-Schutz, keine automatische Vorabprüfung riskanter Aktionen.

OpenAI hatte es selbst gemessen

Überraschend kam das nicht. Im Sicherheitsbericht zu GPT-5.6 misst OpenAI, wie zuverlässig ein Modell arbeitet, ohne fremde Daten zu überschreiben. GPT-5.6 Sol erreicht dort 0,83 – der Vorgänger GPT-5.5 lag mit 0,88 höher. Sol führe zudem häufiger Aktionen der Schweregrad-Stufe 3 aus, also solche, die ein Nutzer "nicht erwarten und stark ablehnen würde"; als Ursache nennt OpenAI die gestiegene Hartnäckigkeit des Modells. Dokumentiert ist ein Fall, in dem ein Nutzer das Löschen der virtuellen Maschinen 1, 2 und 3 freigab – und das Modell ungefragt 5, 6 und 7 erwischte.

Was Codex jetzt anders macht

Die Nachbesserungen setzen auf zwei Ebenen an. Das Modell soll Löschziele vor der Ausführung prüfen, frische temporäre Ordner anlegen, System-Umgebungsvariablen nicht mehr zweckentfremden und stoppen, wenn der Umfang unklar ist. Zusätzlich erkennt die Ausführungsschicht Hochrisiko-Löschbefehle und schickt sie in die Prüfung; Full Access lässt sich nicht mehr versehentlich einschalten. Passend dazu lässt Codex 0.148.0 vom 18. August die Sandbox bei gesperrten Pfaden "fail closed" laufen – im Zweifel blockieren statt durchwinken.

Vier Handgriffe, die dich absichern

Der Schutz liegt nicht im Modell, sondern in der Umgebung. Das gilt für Codex, Claude Code und Cursor gleichermassen.

• Sandbox statt Full Access. OpenAI empfiehlt ausdrücklich einen Sandbox-Modus als Normalbetrieb. Vollzugriff ist ein bewusster Einzelfall, kein Default.
• Arbeitsordner eingrenzen. Der Agent braucht Schreibrechte im Projekt – nicht im Home-Verzeichnis und nicht auf gemounteten Laufwerken.
• Commit vor dem Lauf. Was nicht committet ist, holt kein Git zurück. Für alles ausserhalb des Repos: separates Backup.
• Updates einspielen. Die Schutzmassnahmen wirken nur in aktuellen Versionen.

Ob das reicht, ist offen. Im Codex-Repo argumentiert ein viel beachtetes Issue, Sicherheit dürfe nicht davon abhängen, dass ein Modell eine einzelne Shell-Zeile korrekt bildet – gefordert wird eine harte Bestätigung für Massenlöschungen, unabhängig vom Modus.