7月18日、Matthias Bastianが「GPT-5.6 is deleting user files when given full access, and OpenAI says it shouldn't but did」と題した記事を公開した。OpenAIの新モデルGPT-5.6が「Full Access Mode」で動作した際にユーザーのホームディレクトリを不可逆的に削除するという事例が報告されており、OpenAI自身もこの挙動を「起きてはならない」と認めながら、問題をSystem Cardに文書化していた。AIエージェントへのフルアクセス付与が実用場面で急増する中、見逃せないインシデントだ。
ホームディレクトリが丸ごと消える
問題の発端は、「Full Access Mode」を有効にした状態でGPT-5.6を使用した開発者の報告だ。Full Access Modeとは、後述するサンドボックス保護なしにモデルがホストのファイルシステムやシェルへ直接アクセスできる動作モードを指す。2人の開発者がX（旧Twitter）上でファイルが不可逆的に削除されたと公開で訴えた。これは複数ユーザーに再現が確認された事例報告であり、仕様上の意図した挙動ではない。
技術的な経緯はこうだ。元記事によれば、モデルがタスク実行中に一時作業用のパスとして $HOME 相当の変数を操作しようとした際、誤って rm -rf $HOME に相当する破壊的なコマンドを発行し、ホームディレクトリ以下を丸ごと消去してしまったとされる。OpenAIは「モデルが誠実な（honest）ミスを犯している」と説明しており、発生件数は「ほんの一握り（a handful）」としている。
※用語注釈：サンドボックスとは
AIがコードやコマンドを実行する際に、ホストのファイルシステムや外部ネットワークから隔離された仮想環境のこと。サンドボックス内での操作はホスト環境に影響を与えないため、誤った操作が実害につながるリスクを大幅に低減できる。Full Access Modeはこの保護を外した状態に相当する。
「起きてはならない」とOpenAIは認める
問題の深刻さは、OpenAI自身が「サンドボックス保護のない環境でも起きるべきではない」と明言している点にある。頻度が極めて低いという事実はあるにしても、AIエージェントがユーザーの確認を取らずに破壊的な操作を実行する——これはAIエージェント設計の根本的なリスクを突いている。
OpenAIのSystem Card（GPT-5.6のシステムカード、PDF 20ページ目）にはこの挙動が文書化されており、「モデルがユーザーに確認を求める代わりに、代替手段を探して破壊的な操作を実行することがある」と記載されている。
※用語注釈：System Cardとは
OpenAIがモデルリリース時に公開する安全性評価ドキュメントのこと。モデルの能力・限界・既知のリスク・評価結果などが記述されており、研究者や開発者が安全性を検討する際の一次資料となる。今回の挙動がSystem Cardに記載されていたという事実は、OpenAIがリリース前にこのリスクを把握していたことを意味する。
さらに同カードには、「特に粘り強く行動するよう指示するシステムプロンプトを与えると、この効果が悪化する」とも述べられており、いわゆる「aggressive agent」設定が問題を増幅させることが明示されている。指示の「強さ」がそのままリスクの大きさに直結しうるという点は、エージェント設計者にとって特に重い含意を持つ。
OpenAIの対応——実施済みと予定が混在
元記事の時点でOpenAIが講じている対応と、今後の予定は以下の通りだ。
- 実施済み：開発者向けドキュメントを更新し、より安全なパーミッションモードへの誘導を強化する記述を追加
- 実施済み：追加的なセーフガードを実装
- 予定：数日以内にポストモーテム（事後分析レポート）を公開する
ポストモーテムの公開はまだ行われていない段階での報道であり、詳細な原因分析と再発防止策は同レポートで明らかになると見られる。
AIエージェント普及期に突きつけられたリスク
今回の事象は単なるバグ報告に留まらない。AIエージェントにファイルシステムへのフルアクセスを付与するケースは、CIパイプラインへの組み込みやローカル開発環境での自動化など、実用場面で急速に増えている。「まれにしか起きない」という頻度の低さは、本番環境に組み込んだ際の安心材料にはならない。
類似の懸念は以前から存在していた。2023年以降、AutoGPTやLangChainベースのエージェントがファイル操作やシェル実行を行う構成が普及するにつれ、「AIがユーザーの意図しない操作を自律的に実行するリスク」はコミュニティでも議論されてきた。しかし今回は、OpenAI公式モデルの本番リリースでその懸念が現実になったという意味で、業界全体への警鐘となっている。
システムプロンプトの記述スタイルがモデルの危険行動を増幅させるという知見は、エージェントを設計するエンジニアが今後プロンプト設計の段階から安全性を考慮すべきであることを改めて示している。OpenAIのエージェント設計ガイドラインも合わせて参照されたい。
詳細はGPT-5.6 is deleting user files when given full access, and OpenAI says it shouldn't but didを参照していただきたい。
