Що сталося
19 серпня 2026 року OpenAI повідомила, що закрила баг у Codex, через який агент видаляв справжні файли користувача замість тимчасових. Команда очищення робочих каталогів за неправильного розгортання змінної $HOME била не по тимчасовій папці, а по домашній директорії. Працювало це лише в режимі повного доступу — тобто коли Codex запускали без пісочниці.
Деталі
Що саме змінили, за заявою компанії: агент тепер перевіряє ціль видалення перед виконанням, тимчасові папки створюються ізольовано, підстановку системних змінних у небезпечні команди заборонено, а ризиковані команди видалення проходять суворішу валідацію. Окремо закрито можливість увімкнути режим повного доступу випадково.
У відкритому трекері видно й другу доріжку до тієї самої біди. Заявка #36937 від 4 серпня (версія CLI 0.146.0, модель GPT-5.6 Sol) описує інший сценарій: Codex передав як аргумент програми службовий файл журналу сесії у форматі JSONL, Git Bash розібрав його вміст як команди оболонки — і виконав приклад видалення каталогу HOME, який лежав усередині інструкцій з безпеки. Станом на 20 серпня заявка все ще відкрита.
У нотатках до релізу Codex CLI 0.148.0 від 18 серпня є рядок, який закриває клас проблеми цілком: обмеження пісочниці тепер «падають у заборону» для шляхів, до яких немає доступу або які не читаються, — на Linux і на Windows. Там же в списку правок понад два десятки змін у шарі Guardian: автоматична перевірка обов’язкова для дій із високим рівнем ризику, а команди класифікуються за ризиком перед виконанням.
Що це означає
Стосується це всіх, хто запускає Codex, Claude Code чи будь-якого іншого агента з правами на файлову систему — а це вже не тільки розробники. Ціна помилки вимірюється не грошима, а домашнім каталогом: в одному з описаних випадків сесія видаляла файли понад годину, перш ніж власник помітив.
Практичний висновок з історії простий і не залежить від вендора: повний доступ — це не «режим зручніший», а зняття останнього бар’єра. Обидві гілки бага спрацьовували саме там, де пісочниці не було. Робоче налаштування — тримати агента в контейнері, віртуалці чи dev-container і давати доступ лише до папки проєкту, а не до всього домашнього каталогу. Як влаштовані режими схвалення й пісочниця Codex і що саме кожен із них закриває — у нашому розборі; окремо ми писали й про те, чого пісочниця не закриває навіть в увімкненому вигляді.
Горизонт: виправлення вже в поточних збірках, оновитися варто одразу. Відкрита заявка #36937 показує, що суміжні сценарії ще не закриті.
Контекст
Уперше про те, що GPT-5.6 Sol у Codex видаляє файли користувачів, заговорили в липні 2026 року — тоді історія потрапила в стрічки після публічного тесту, у якому агент стер майже весь вміст домашнього каталогу. Той епізод ми розбирали в новині про проблеми запуску ChatGPT Work.
