Баг в Codex: GPT-5.6 удалял файлы пользователей — OpenAI объяснила причину

Em 16 de julho de 2026, a OpenAI confirmou um bug perigoso em seu agente de codificação Codex: em determinados casos, o modelo GPT-5.6 apagava inesperadamente arquivos dos usuários — incluindo o conteúdo da pasta pessoal ($HOME).

O que exatamente está acontecendo

O Codex apaga arquivos quando três condições coincidem ao mesmo tempo — foi o que escreveu Thibault Sottiaux, da OpenAI, depois de analisar diversas reclamações de usuários. Segundo a empresa, a falha destrutiva ocorre quase sempre no mesmo cenário, e não de forma aleatória.

O Codex é um agente de IA de console da OpenAI: ele recebe uma tarefa em linguagem natural e executa comandos no terminal por conta própria — cria arquivos, roda scripts, corrige código. O bug aparece quando o agente tem permissão para atuar sem restrições.

• O modo de acesso total (full access) está ativado, e o Codex é executado sem proteções de sandbox — inclusive sem auto-revisão de comandos
• O modelo GPT-5.6 tenta redefinir a variável de ambiente $HOME para apontar para um diretório temporário
• O modelo comete um erro e apaga a própria pasta $HOME em vez da temporária

«Sobre a exclusão de arquivos.

Investigamos vários relatos de que o GPT-5.6 apagava arquivos inesperadamente» — Thibault Sottiaux, OpenAI, na rede social X.

Por que isso importa

O Codex opera com as permissões do próprio usuário, então seu erro atinge arquivos reais, e não uma cópia isolada. Quando as camadas de proteção estão desativadas, o modelo executa comandos diretamente no sistema — e um comando de exclusão equivocado apaga dados reais. Redefinir o $HOME é especialmente perigoso: na pasta pessoal normalmente ficam configurações, chaves SSH, tokens de acesso e projetos de trabalho.

Simon Willison, autor de um popular blog técnico sobre IA, chamou o caso de «um bug do Codex bem desagradável». O problema não está em um erro de digitação isolado no código, mas em um risco sistêmico: um agente com acesso total e sem sandbox é capaz de destruir dados por causa de um único erro lógico no raciocínio do modelo GPT-5.6.

Sottiaux enfatiza: trata-se de um «erro honesto» (honest mistake) — o modelo não age de má-fé, mas erra na lógica ao tentar criar uma pasta temporária. Para o usuário, a diferença é pequena: o resultado é o mesmo — arquivos perdidos. É justamente por isso que a OpenAI está registrando não um defeito isolado, mas uma classe de comportamento que se repete entre diferentes usuários com configurações semelhantes.

Como reduzir o risco

Não desativar o sandbox e a auto-revisão de comandos — essa é a conclusão direta da descrição da OpenAI. O cenário destrutivo exige justamente essa combinação: modo de acesso total mais ausência de isolamento. O sandbox limita as operações de arquivos do agente aos limites do diretório de trabalho, e a auto-revisão mostra o comando ao usuário antes da execução, dando a chance de cancelar uma exclusão perigosa antes que ela aconteça.

O modo de acesso total não existe por acaso — ele é necessário quando o desenvolvedor quer que o agente trabalhe sem pedidos constantes de confirmação: instalando dependências, alterando arquivos do sistema, rodando pipelines longos. A conveniência traz risco junto: sem sandbox, o modelo não tem nenhuma rede de segurança contra o próprio erro.

O que isso significa

A história do Codex mostra o preço da autonomia dos agentes de IA: quanto mais permissões um modelo tem, mais cara fica sua equivocação. O sandbox e a confirmação de comandos não são burocracia — são a última linha de defesa entre um erro honesto do modelo e um disco apagado.

Perguntas frequentes

Por que o Codex apagava arquivos?

Segundo a OpenAI, o modelo GPT-5.6 tentava redefinir a variável $HOME para um diretório temporário e, por engano, apagava a própria pasta pessoal. A falha ocorria com o modo de acesso total ativado, sem proteções de sandbox e sem auto-revisão de comandos.

Como não perder arquivos ao trabalhar com o Codex?

Não desative o sandbox nem a auto-revisão. A OpenAI indica que o cenário perigoso surge justamente no modo full access sem isolamento — quando o modelo pode executar comandos de exclusão diretamente, sem uma verificação intermediária.