OpenAI refuerza las protecciones de Codex tras un fallo de borrado de archivos

OpenAI dice que el parche de Codex cierra una ruta peligrosa de borrado de archivos

OpenAI ha publicado una actualización de seguridad para Codex después de que usuarios informaran que GPT-5.6 Sol podía borrar archivos reales sin permiso mientras realizaba tareas autónomas. La compañía afirma que el problema provenía de un comando de limpieza que debía eliminar archivos temporales de trabajo, pero que podía terminar apuntando a datos reales del usuario cuando las variables del sistema se gestionaban de forma incorrecta.

Según el informe proporcionado, el modo de fallo aparecía cuando el modelo usaba variables del sistema como $HOME para carpetas temporales. En esos casos, un comando de borrado defectuoso podía acabar apuntando al directorio personal real del usuario en lugar de a una ubicación temporal aislada. Eso convierte lo que debería haber sido una tarea rutinaria de mantenimiento en una operación de alto riesgo, porque una sola ruta equivocada puede afectar documentos, proyectos y otros archivos persistentes.

La actualización importa porque aborda una clase de riesgo que va más allá de un error de software ordinario. Codex está diseñado para ejecutar acciones mientras ayuda a los usuarios a trabajar en código y tareas relacionadas. Si un agente puede invocar comandos destructivos en la ubicación equivocada, la consecuencia práctica no es solo una tarea fallida, sino una pérdida de datos irreversible. En otras palabras, el problema se sitúa en la intersección entre el comportamiento del modelo, la construcción de comandos y la seguridad del entorno de ejecución.

Qué dice OpenAI que cambió

El texto fuente describe varias salvaguardas que OpenAI ha incorporado ahora. Se dice que Codex verifica los destinos de borrado antes de ejecutarlos, crea nuevas carpetas temporales y deja de hacer un uso incorrecto de las variables del sistema. La empresa también añadió comprobaciones más estrictas destinadas a detectar comandos de borrado riesgosos antes de que se ejecuten.

Esa combinación sugiere que OpenAI intenta abordar tanto el defecto inmediato como las condiciones más amplias que lo hacían peligroso. Verificar los destinos de borrado es el control más directo: antes de que se ejecute un comando, el sistema comprueba si el destino es realmente un espacio de trabajo temporal y no un directorio de usuario. Crear nuevas carpetas temporales reduce la ambigüedad al dar al agente una ubicación conocida y segura en lugar de depender de rutas reutilizadas o valores de entorno heredados. Reforzar las comprobaciones en torno a los comandos de borrado añade otra capa, con el objetivo de interceptar acciones de alto impacto incluso si fallan las suposiciones anteriores.

El informe también dice que el modo de acceso completo ya no puede activarse por accidente. Ese detalle es importante porque los límites de permisos suelen ser la última línea de defensa cuando un sistema automatizado se comporta de forma inesperada. Un modelo todavía puede generar un comando defectuoso, pero el daño que puede causar depende en gran medida de si se ejecuta dentro de un sandbox, en un espacio de trabajo restringido o con amplio acceso a la máquina anfitriona.

Por qué el sandbox sigue siendo central

La propia recomendación de OpenAI, tal como se resume en la fuente, es que los usuarios permanezcan en uno de los modos sandbox y mantengan la app actualizada. Es un reconocimiento práctico de que los valores predeterminados seguros importan tanto como las correcciones de errores. Incluso un agente de programación bien probado puede encontrarse con casos extremos en el manejo de rutas, el comportamiento de la shell o la configuración del entorno. El sandbox no elimina esos errores, pero sí puede limitar de forma drástica su radio de impacto.

El episodio de Codex recuerda que las herramientas autónomas de programación no se evalúan solo por lo bien que escriben o editan código. También se evalúan por la seguridad con la que interactúan con los sistemas locales. Borrar archivos es uno de los ejemplos más claros, porque es algo común en los flujos de trabajo de desarrollo y, al mismo tiempo, potencialmente catastrófico cuando se apunta al lugar equivocado. Los artefactos de compilación, cachés, salidas temporales y recursos generados se eliminan con frecuencia. Por tanto, la línea entre una limpieza aceptable y una destrucción dañina no depende de si se produce un borrado, sino de si el sistema puede demostrar que opera en el ámbito correcto.

Eso presiona a los fabricantes de herramientas para hacer más que confiar en instrucciones a nivel de prompt como “ten cuidado” o “pregunta antes de borrar”. Esas reglas ayudan, pero son controles blandos a menos que el sistema circundante las aplique. Lo que OpenAI describe aquí es un movimiento hacia controles más firmes: validación de rutas, directorios temporales seguros, filtrado más estricto de comandos y una separación más clara entre el funcionamiento en sandbox y el acceso completo.

Qué dice esto sobre el diseño de agentes

El incidente también ilustra un desafío más amplio en el diseño de agentes de IA. Los modelos no actúan en el vacío. Eligen comandos, interpretan variables de entorno y operan a través de wrappers, shells y sistemas de permisos creados por humanos. Un fallo puede surgir no de una sola decisión catastrófica, sino de que varias suposiciones menores se alineen de la manera equivocada. Se supone que una ruta temporal es segura. Se supone que una variable del sistema apunta al espacio temporal. Se supone que un comando de limpieza es acotado. Luego esas suposiciones chocan con el estado real de la máquina.

Para desarrolladores y empresas que evalúan sistemas de programación agentica, eso significa que la fiabilidad tiene que medirse a nivel de sistema. La pregunta relevante no es solo si el modelo es capaz, sino si el marco de ejecución limita esa capacidad de una forma defendible. Los comandos destructivos deberían requerir una justificación explícita, los destinos seguros deberían poder verificarse por máquina y la escalada de privilegios debería ser difícil de activar por accidente.

Los cambios descritos por OpenAI apuntan en esa dirección. No eliminan la necesidad de cautela, pero sugieren una postura más madura, en la que el producto asume que habrá errores y se diseña en torno a ellos. Suele ser el enfoque correcto para herramientas que pueden tocar código fuente, configuración y almacenamiento local.

Qué deberían sacar los usuarios de esta actualización

Según la fuente proporcionada, el mensaje inmediato es sencillo: OpenAI cree haber corregido el fallo de borrado y haber añadido barreras para evitar una repetición. Los usuarios que dependen de Codex para flujos de trabajo autónomos deberían actualizar cuanto antes y evitar configuraciones de acceso amplio salvo que sean realmente necesarias.

Más en general, el incidente es un caso de estudio útil sobre los requisitos de seguridad del software de IA que actúa sobre máquinas reales. La promesa de los agentes de programación está en reducir fricción y automatizar tareas tediosas. Pero el valor de esa automatización depende de la confianza, y la confianza depende de límites operativos sólidos. El parche de OpenAI, por tanto, no es solo una versión de mantenimiento. Es una prueba de que, a medida que los agentes de IA se vuelven más capaces, disciplinas básicas de ingeniería de sistemas como el aislamiento, la validación y el principio de mínimo privilegio se vuelven más importantes, no menos.

• OpenAI atribuye el fallo a un comando de limpieza que podía apuntar a datos reales del usuario.
• La compañía dice que Codex ahora verifica los destinos de borrado y crea nuevas carpetas temporales.
• Las comprobaciones más estrictas están destinadas a detectar comandos de borrado riesgosos antes de su ejecución.
• OpenAI también dice que ha bloqueado la activación accidental del modo de acceso completo.

Este artículo está basado en la cobertura de The Decoder. Leer el artículo original.