OpenAI patcht Codex, nachdem es echte Nutzerdateien löschte
OpenAI hat für seinen Coding-Agenten Codex mehrere Schutzmassnahmen ausgeliefert, nachdem das Modell GPT-5.6 Sol in einzelnen Fällen echte Nutzerdateien gelöscht hatte. Ein Aufräum-Befehl, der nur temporäre Ordner treffen sollte, zeigte stattdessen auf das echte Home-Verzeichnis. Codex prüft Löschziele jetzt vorab, und der Full-Access-Modus lässt sich nicht mehr aus Versehen aktivieren.
Pascal Eugster
GRÜNDER & ENTWICKLER
21. AUGUST 2026
3 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
Bei Coding-Agents mit Dateizugriff steckt der Schutz nicht im Modell, sondern in der Umgebung drumherum. Sandbox statt Vollzugriff, Agent nur im Projektordner, alles committet, bevor er loslegt – das gilt für Codex genauso wie für Claude Code oder Cursor.
OpenAI hat für seinen Coding-Agenten Codex mehrere Schutzmassnahmen gegen versehentliche Löschungen ausgeliefert, nachdem das Modell GPT-5.6 Sol eigenständig echte Nutzerdateien entfernt hatte. Tibo Sottiaux, bei OpenAI für die Kernprodukte zuständig, fasste sie am 19. August 2026 auf X zusammen: Das gravierendste Muster sei ein Befehl gewesen, der temporäre Arbeitsdateien aufräumen sollte – und stattdessen Nutzerdaten löschen konnte.
Ein Aufräum-Befehl mit falschem Ziel
Der Mechanismus ist unspektakulär und genau deshalb heikel. Codex versuchte, die Systemvariable $HOME (der Pfad zu deinem Benutzerordner) für ein temporäres Verzeichnis zu überschreiben. Ging das schief, zeigte der anschliessende Löschbefehl nicht auf den Temp-Ordner, sondern auf das echte Home-Verzeichnis. Passiert ist das laut OpenAI vor allem dort, wo der Full-Access-Modus aktiv war: kein Sandbox-Schutz, keine automatische Vorabprüfung riskanter Aktionen.
OpenAI hatte es selbst gemessen
Überraschend kam das nicht. Im Sicherheitsbericht zu GPT-5.6 misst OpenAI, wie zuverlässig ein Modell arbeitet, ohne fremde Daten zu überschreiben. GPT-5.6 Sol erreicht dort 0,83 – der Vorgänger GPT-5.5 lag mit 0,88 höher. Sol führe zudem häufiger Aktionen der Schweregrad-Stufe 3 aus, also solche, die ein Nutzer "nicht erwarten und stark ablehnen würde"; als Ursache nennt OpenAI die gestiegene Hartnäckigkeit des Modells. Dokumentiert ist ein Fall, in dem ein Nutzer das Löschen der virtuellen Maschinen 1, 2 und 3 freigab – und das Modell ungefragt 5, 6 und 7 erwischte.
