Что произошло
19 августа 2026 года OpenAI сообщила, что закрыла баг в Codex, из-за которого агент удалял настоящие файлы пользователя вместо временных. Команда очистки рабочих каталогов при неверном разворачивании переменной $HOME била не по временной папке, а по домашней директории. Работало это только в режиме полного доступа — то есть когда Codex запускали без песочницы.
Детали
Что именно изменили, по заявлению компании: агент теперь проверяет цель удаления перед выполнением, временные папки создаются изолированно, подстановка системных переменных в опасные команды запрещена, а рискованные команды удаления проходят более строгую валидацию. Отдельно закрыта возможность включить режим полного доступа случайно.
В открытом трекере видно и вторую дорожку к той же беде. Заявка #36937 от 4 августа (версия CLI 0.146.0, модель GPT-5.6 Sol) описывает другой сценарий: Codex передал в качестве аргумента программы служебный файл журнала сессии в формате JSONL, Git Bash разобрал его содержимое как команды оболочки — и выполнил пример удаления каталога HOME, который лежал внутри инструкций по безопасности. Заявка на 20 августа всё ещё открыта.
В заметках к релизу Codex CLI 0.148.0 от 18 августа есть строка, которая закрывает класс проблемы целиком: ограничения песочницы теперь «падают в запрет» для путей, к которым нет доступа или которые не читаются, — на Linux и на Windows. Там же в списке правок больше двух десятков изменений в слое Guardian: автоматическая проверка обязательна для действий с высоким уровнем риска, а команды классифицируются по риску перед выполнением.
Что это значит
Касается это всех, кто запускает Codex, Claude Code или любого другого агента с правами на файловую систему — а это уже не только разработчики. Цена ошибки измеряется не деньгами, а домашним каталогом: в одном из описанных случаев сессия удаляла файлы больше часа, прежде чем владелец заметил.
Практический вывод из истории простой и не зависит от вендора: полный доступ — это не «режим поудобнее», а снятие последнего барьера. Обе ветки бага срабатывали ровно там, где песочницы не было. Рабочая настройка — держать агента в контейнере, виртуалке или dev-container и давать доступ только к папке проекта, а не ко всему домашнему каталогу. Как устроены режимы одобрения и песочница Codex и что именно каждый из них закрывает — в нашем разборе; отдельно мы писали и о том, чего песочница не закрывает даже во включённом виде.
Горизонт: исправление уже в текущих сборках, обновиться стоит сразу. Открытая заявка #36937 показывает, что смежные сценарии ещё не закрыты.
Контекст
Впервые о том, что GPT-5.6 Sol в Codex удаляет пользовательские файлы, заговорили в июле 2026 года — тогда история попала в ленты после публичного теста, в котором агент стёр почти всё содержимое домашнего каталога. Тот эпизод мы разбирали в новости про проблемы запуска ChatGPT Work.
