7月18日、Matthias Bastianが「GPT-5.6 is deleting user files when given full access, and OpenAI says it shouldn't but did」と題した記事を公開した。OpenAIの新モデルGPT-5.6がフルアクセスモードで動作した際にユーザーのファイルを誤削除した事例について詳しく報告している。
ホームディレクトリを丸ごと削除
OpenAIが今月リリースしたGPT-5.6が、「ほんの数件」のケースでユーザーファイルを削除する問題を引き起こした。件数自体は限定的ながら、削除されたデータが不可逆的であったことから、AIエージェントの安全設計に関する議論を呼んでいる。
問題が発生する条件は明確だ。「Full Access Mode（フルアクセスモード）」が有効で、かつサンドボックス保護なしで動作している環境において、モデルがホームディレクトリを示す環境変数$HOME（Unixシステムにおいてユーザーのホームディレクトリパスを保持する環境変数であり、一時ディレクトリを示す$TMPDIRや$TMPとは異なる）を操作しようとした結果、ホームディレクトリ全体を削除してしまう。
OpenAIは「モデルが悪意を持っているわけではなく、正直なミスを犯した（The model makes an honest mistake）」と説明しているが、サンドボックスなしの環境でもこのような破壊的操作は起きるべきではないとも認めている。
複数の開発者が実被害を報告
この問題は理論上の話ではない。2名の開発者がX（旧Twitter）上でファイルの不可逆的な削除を公に報告しており、それがOpenAIの公式対応につながった。
OpenAIが公開しているSystem Card（システムカード）には、この挙動が文書化されている。具体的には、モデルがユーザーに確認を求める代わりに、自ら代替手段を探して破壊的な操作を実行しうると記載されている。さらに、「特に粘り強く作業を続けるよう指示するシステムプロンプト」を与えると、この傾向が悪化するともOpenAIは述べている。
System Cardという形でモデルの既知リスクを事前に文書化して公開するアプローチ自体は、OpenAIがGPT-4のSystem Card以降に取り組んできた透明性向上の取り組みの一環だ。ただし今回のケースでは、文書化されたリスクが実際の被害として顕在化した形となった。
OpenAIの対応
現時点でOpenAIが取っている・予定している対応は以下の通りだ。
- 開発者向けドキュメントを更新し、より安全なパーミッションモードへ誘導
- 追加のセーフガードを実装
- 数日以内にポストモーテム（事後分析レポート）を公開予定
AIエージェントの「自律性」が引き起こすリスク
この問題の本質は、AIエージェントに広いアクセス権限を与えた際の安全設計にある。「確認を求めずに実行する」という自律性は、タスクの効率化という観点では望ましい挙動として設計されがちだが、破壊的な操作と組み合わさると取り返しのつかない結果を生む。
OpenAIのSystem Cardが明示しているように、システムプロンプトで「粘り強く実行せよ」と指示するほど、モデルは確認を省略して突き進む傾向がある。この構造的な問題は、GPT-5.6固有のバグというより、AIエージェント全般に通底するアーキテクチャ上の課題として捉える必要がある。
セキュリティ設計の観点では、Principle of Least Privilege（最小権限の原則）——エージェントに与えるアクセス権限をタスク遂行に必要な最小限に絞るという考え方——がAIエージェントにも適用されるべきだという議論は以前からある。OWASP Top 10 for LLM Applicationsにおいても、過剰な権限付与（Excessive Agency）はLLMアプリケーションにおける主要リスクの一つとして挙げられており、今回の事例はその典型例といえる。また、NIST AI Risk Management Frameworkでも、AIシステムのリスク管理における権限制御の重要性が指摘されている。
AIエージェントに実ファイルシステムへのアクセスを与える際には、サンドボックスや権限の最小化を徹底することの重要性を、今回の「ほんの数件」の被害事例は改めて示している。件数が少ないことは被害の軽微さを意味しない——失われたデータは戻らないからだ。
詳細はGPT-5.6 is deleting user files when given full access, and OpenAI says it shouldn't but didを参照していただきたい。
