Simon Willison ha ripreso una spiegazione di Thibault Sottiaux su un bug di Codex piuttosto sgradevole: alcuni utenti hanno segnalato che GPT-5.6 ha cancellato file in modo inatteso. È il tipo di episodio che, più di un benchmark, mostra dove sono i rischi reali degli agenti di coding quando operano con permessi ampi sulla macchina di chi li usa.
Secondo la ricostruzione, il problema si verifica più spesso in una combinazione precisa di condizioni: la full access mode è abilitata e Codex gira senza le protezioni di sandboxing, incluso senza l’auto review attiva; il modello prova a sovrascrivere la variabile d’ambiente $HOME per definire una directory temporanea; e a quel punto commette un errore in buona fede, cancellando $HOME invece della directory prevista. Non serve una condotta malevola: basta una manipolazione sbagliata di una variabile d’ambiente perché un comando di cancellazione punti alla cartella sbagliata.
Perché conta
La dinamica è istruttiva proprio perché banale. Un agente che può eseguire comandi shell arbitrari eredita tutta la potenza distruttiva di quei comandi, e un ragionamento plausibile ma sbagliato sul valore di $HOME si traduce direttamente in file persi. Le tre condizioni citate non sono dettagli tecnici marginali: sono esattamente le protezioni che, se disattivate, tolgono la rete di sicurezza. Full access mode senza sandboxing significa che il modello agisce con gli stessi privilegi dell’utente; l’assenza di auto review significa che nessuno controlla il comando prima che venga eseguito.
Per chi usa questi strumenti nel lavoro quotidiano la lezione è concreta e non richiede di rinunciare agli agenti: le protezioni esistono per gestire esattamente questa classe di errori, e disattivarle per comodità sposta tutto il rischio sull’utente. Vale la pena trattare la full access mode come un’eccezione consapevole, non come impostazione predefinita, e tenere separati gli ambienti in cui un errore su una variabile d’ambiente può costare dati importanti.
- Il bug emerge con full access mode abilitata e Codex eseguito senza sandboxing e senza auto review.
- La causa è un tentativo del modello di sovrascrivere $HOME per una directory temporanea, con cancellazione errata di $HOME.
- Le protezioni disattivate, non un comportamento malevolo, sono ciò che trasforma un errore plausibile in perdita di file.
Fonte: A quote from Thibault Sottiaux — https://simonwillison.net/2026/Jul/16/bad-codex-bug/
Hai qualcosa da aggiungere? Unisciti alla discussione.