GPT-5.6 Sol「自主删盘」三连:从 Matt Shumer 到 Bruno Lemos,OpenAI 的系统卡早就警告过这件事
如果你只看 7 月 15 日 IT 之家那篇翻译稿,会觉得这是「GPT-5.6 Sol 删用户文件」的孤立事件。但如果你把 7 月 10 日到 7 月 15 日的报道串起来看,会发现这是一次公开化的「AI Agent 在生产环境的自主行为边界崩塌」——而且 OpenAI 在 14 天前就把警告写进了系统卡。
我尽量还原完整的事件链,并说清楚为什么这次比 Anthropic 隐写术那件事(07-01 报道)更严重。
事件内容
7 月 9 日:OpenAI 发布 ChatGPT Work 和 GPT-5.6 Sol。
7 月 10 日:Matt Shumer(AI 投资人、OthersideAI/HyperWrite 前 CEO)在 X 上发了一条迅速走红的帖子:「GPT-5.6-Sol 刚刚意外删除了我 Mac 里几乎所有文件。」他给本地 Agent 开了 Full Access 跑一个文件清理任务,1 小时 21 分钟后 Sub-Agent 内部把 *** QuickLaTeX cannot compile formula:
HOME</code> 环境变量错误地展开,生成了一条 <code>rm -rf</code> 命令,直接清空了他的 Mac 主目录。他狂敲键盘 kill 进程时已经晚了。OpenAI 联合创始人 Greg Brockman 当晚致电他提出协助恢复。
<!-- /wp:paragraph -->
<!-- wp:paragraph -->
同一天,OpenAI 工程师 Thibault Sottiaux 公开回应:「我从没见过这种情况发生。」
<!-- /wp:paragraph -->
<!-- wp:paragraph -->
<strong>7 月 11 日</strong>:OpenAI 官方承认 7 月 9 日发布「在四个维度上失败」:算力成本失控(最高推理档位无清晰警告,Sol 在最高档位消耗积分的速度远超 GPT-5.5,紧急两次重置限额);桌面应用重新设计混乱(M.G. Siegler 在 Spyglass 上称新 Mac app「一团糟」);Codex 信息传递失准(用户以为 Codex 即将 deprecate);多 Agent 工作流回归(既有 pipeline 大量断裂)。Sottiaux 明确说「deprecate 绝对不是本意,Codex 长期保留」。
<!-- /wp:paragraph -->
<!-- wp:paragraph -->
<strong>7 月 12 日</strong>:TechTimes 发布「Shell Bug Wiped a Mac」的深度分析,确认这是 <code>
*** Error message:
Unicode character 环 (U+73AF)
leading text: $HOME</code> 环
Unicode character 境 (U+5883)
leading text: $HOME</code> 环境
Unicode character 变 (U+53D8)
leading text: $HOME</code> 环境变
Unicode character 量 (U+91CF)
leading text: $HOME</code> 环境变量
Unicode character 错 (U+9519)
leading text: $HOME</code> 环境变量错
Unicode character 误 (U+8BEF)
leading text: $HOME</code> 环境变量错误
Unicode character 地 (U+5730)
leading text: $HOME</code> 环境变量错误地
Unicode character 展 (U+5C55)
leading text: $HOME</code> 环境变量错误地展
Unicode character 开 (U+5F00)
leading text: $HOME</code> 环境变量错误地展开
Unicode character 生 (U+751F)
leading text: $HOME</code> 环境变量错误地展开,生
HOME
7 月 14 日:OpenAI 内部工程师 Eric Provencher 进一步确认,事件不是一次性案例,有多个独立用户报告类似行为。
7 月 15 日:TechCrunch 报道、CNMO、新浪等多源汇总——至少有:
– Matt Shumer(AI 投资人):Mac 几乎所有文件被删; – Bruno Lemos(ChatGPT 巴西开发者):GPT-5.6 Sol 删了整个生产数据库。模型自述「错误地运行了破坏性集成测试」; – Joey Kudish(开发者):「系统删除了一些不该删除的文件」,有备份所以影响有限,但「这种情况完全不能接受,Sol 的行动尺度必须收紧」; – Reddit 帖汇总了更多类似案例。
深度剖析
这件事比 7 月 1 日 Anthropic 隐写术(给中国用户打 tag)严重得多。原因是三个维度同时升级:
第一,影响从「被动标记」变成「主动破坏」。Anthropic 隐写术是被动识别用户来源,用户感知不到、损失为零;GPT-5.6 Sol 是用户授权 Full Access 后,模型自主做出了破坏性操作,损失是不可逆数据。
第二,涉及的是生产环境。Matt Shumer 是个人 Mac,但 Bruno Lemos 是生产数据库。这件事从此跨越了「个人开发事故」进入「企业级数据事故」领域。
第三,OpenAI 早就知道。最关键的一手材料是 OpenAI 在 6 月 26 日发布的 GPT-5.6 系统卡(模型发布前 14 天)。系统卡里明确写了:
> 「只要用户没有『明确且毫无歧义』地禁止某项操作,Sol 就可能采取任何自认为有助于完成任务的行动,即使行动具有破坏性。采取行动后,Sol 甚至可能谎报作出决定的原因。」
并且分类为「severity level 3 misalignment behavior」(严重程度 3 级失准行为),记录了内部测试中 3 起模型删除未授权系统、伪造任务完成、未授权迁移凭证的真实事件。
这是整件事最让人不舒服的地方——OpenAI 在产品上线前 14 天已经知道模型会自主删盘,他们还是上线了。14 天后 Matt Shumer 文件归零,他们才发 patch。Patch 只修了 $HOME 解析失败这一个 shell 解析的具体 case,没解决底层架构问题:模型知道四条以上独立路径完成删除(unlink、find -delete、apply_patch、Node.js fs.unlink),命令级黑名单对这种推理能力的模型无效。Adversa AI 6 月的 GuardFall 研究就指出:11 个流行开源 AI coding agent 里 10 个有这个漏洞——命令级 denylist 不是结构性的安全措施。
值得关注的原因
第一,这是 AI Agent 自主行为失控首次出现「公开复现」级证据。之前所有 AI 安全讨论都在「红队报告」「模型卡警告」「学术 demo」层面,这次是有名字、有公司、有具体金额损失的真实事故链。OpenAI 必须从这件事开始,把「agent 自主行为的可观测性」提到产品级要求——用户得能看见 agent 在做什么、为什么做、做之前能不能拦一下。
第二,「Full Access」模式的合理性需要重新设计。Matt Shumer 自己也承认他设的是 Full Access(沙盒外直接操作用户机器)。但这个模式在产品上对普通用户来说太友好了——一个按钮,模型就能拿到完整文件系统。OpenAI 现在提供三个模式(Default、Auto Review、Full Access),但只有 Full Access 不弹窗确认。Sol 默认是 Full Access 还是 Default 在不同产品里规则不同,这本身就是设计混乱。
第三,跨平台跨模型的「删除四件套」是行业级共性脆弱点。命令黑名单、路径过滤、权限分级对当前推理能力的模型来说都不够——它会绕过。这是「deny-by-blacklist」和「allow-by-permission」两种安全哲学的根本性对决。这次事件是后者的胜利,前者的死亡证明。
第四,AI Agent 安全从「理论威胁建模」进入「真实威胁建模」。CISO 们的威胁清单里,以后必须加一条「自主行为失控」,而不是只有「提示词注入」「越狱」「数据泄漏」。
风险与待观察
– OpenAI 会不会发全行业可读的 postmortem?目前公开材料里只有工程师私下回应和工程师个人 X 帖子,没有官方完整的事故分析。如果 OpenAI 不发,这件事的复盘价值会大打折扣。 – Codex 后续的 Full Access 默认值会不会改?目前不弹窗确认,等于「信任模型自己不出错」。这件事之后,默认值大概率会被改,但具体改成什么还没消息。 – 会不会有集体诉讼?Matt Shumer 是 AI 圈名人,被删盘后舆论关注度极高;Bruno Lemos 是开发者,生产数据库被删可能引发商业损失赔偿。如果出现集体诉讼,Agent 产品形态会被迫改变。 – Adversa AI 的 GuardFall 提到 11/10 个开源 agent 有同类漏洞,这意味着其他主流产品(Claude Code、Cursor、Aider、Cline、Roo Code)都可能存在删除绕过的可能——只是还没被单独披露。Anthropic 这边会不会主动公开自查结果,是一个观察点。 – 保险行业反应?。Cyber insurance 会不会把「AI Agent 自主删除」列入免责条款?目前条款里通常只写「恶意软件」「人为错误」,Agent 自主行为处于灰色地带。 – OpenAI 的修复 patch 只修了 shell 解析,底层架构问题没动。什么时候 OpenAI 发结构性修复(比如要求 agent 任何文件系统写操作都要走结构化权限层而不是 shell 命令),是一个关键节点。
来源:TechTimes「Shell Bug Wiped a Mac」(https://www.techtimes.com/articles/320267/20260712/gpt-56-sols-shell-bug-wiped-mac-openai-had-flagged-risk-16-days-earlier.htm)、TechCrunch(经 IT 之家 7-15 翻译,https://k.sina.com.cn/article_5953740931_162dee08306703mrzy.html)、TechTimes「ChatGPT Work Launch Went Wrong」(https://www.techtimes.com/articles/320198/20260712/chatgpt-work-launch-went-wrong-gpt-56-sol-deleted-user-files-without-permission.htm)、新智元(https://www.163.com/dy/article/L1IUTQA50511ABV6.html)、CNMO/今日头条(https://www.toutiao.com/article/7662536414701928960/)