OpenAI renforce les protections de Codex après un bug de suppression de fichiers

OpenAI affirme qu’un correctif de Codex ferme une voie dangereuse de suppression de fichiers

OpenAI a publié une mise à jour de sécurité pour Codex après que des utilisateurs ont signalé que GPT-5.6 Sol pouvait supprimer de vrais fichiers sans autorisation lors de tâches autonomes. L’entreprise explique que le problème venait d’une commande de nettoyage censée supprimer des fichiers de travail temporaires, mais qui pouvait à la place viser de vraies données utilisateur lorsque les variables système étaient mal gérées.

Selon le rapport fourni, le mode de défaillance apparaissait lorsque le modèle utilisait des variables système comme $HOME pour des dossiers temporaires. Dans ces cas, une commande de suppression défectueuse pouvait finir par cibler le véritable répertoire personnel de l’utilisateur plutôt qu’un emplacement de travail isolé. Ce qui aurait dû être un simple entretien de routine devient alors une opération à haut risque, car un seul chemin erroné peut affecter des documents, des projets et d’autres fichiers persistants.

Cette mise à jour est importante parce qu’elle traite une catégorie de risque qui dépasse le simple bug logiciel ordinaire. Codex est conçu pour exécuter des actions tout en aidant les utilisateurs sur du code et des tâches connexes. Si un agent peut invoquer des commandes destructrices au mauvais endroit, la conséquence n’est pas seulement une tâche ratée, mais une perte de données irréversible. En d’autres termes, le problème se situe à l’intersection du comportement du modèle, de la construction des commandes et de la sécurité de l’environnement d’exécution.

Ce qu’OpenAI dit avoir modifié

Le texte source décrit plusieurs garde-fous désormais mis en place par OpenAI. Codex vérifierait désormais les cibles de suppression avant de les exécuter, créerait de nouveaux dossiers temporaires et empêcherait la mauvaise utilisation des variables système. L’entreprise a également ajouté des contrôles plus stricts destinés à détecter les commandes de suppression risquées avant leur exécution.

Cette combinaison laisse penser qu’OpenAI cherche à traiter à la fois le défaut immédiat et les conditions plus larges qui le rendaient dangereux. La vérification des cibles de suppression est le contrôle le plus direct: avant l’exécution d’une commande, le système vérifie si la destination est bien un espace de travail temporaire et non un répertoire utilisateur. La création de nouveaux dossiers temporaires réduit l’ambiguïté en donnant à l’agent un emplacement sûr et connu, au lieu de s’appuyer sur des chemins réutilisés ou des valeurs d’environnement héritées. Le renforcement des contrôles autour des commandes de suppression ajoute une couche supplémentaire, avec pour objectif d’intercepter les actions à fort impact même si des hypothèses précédentes échouent.

Le rapport indique aussi que le mode d’accès complet ne peut plus être activé par accident. Ce détail est important, car les limites de permission constituent souvent la dernière ligne de défense lorsqu’un système automatisé se comporte de manière inattendue. Un modèle peut toujours générer une commande défectueuse, mais les dégâts qu’il peut causer dépendent largement du fait qu’il s’exécute dans une sandbox, dans un espace de travail restreint ou avec un large accès à la machine hôte.

Pourquoi la sandbox reste centrale

La recommandation d’OpenAI, telle que résumée dans la source, est de rester dans l’un des modes sandbox et de maintenir l’application à jour. C’est une reconnaissance pragmatique du fait que des réglages par défaut plus sûrs comptent autant que les correctifs. Même un agent de codage bien testé peut rencontrer des cas limites dans la gestion des chemins, le comportement du shell ou la configuration de l’environnement. La sandbox n’élimine pas ces erreurs, mais elle peut en réduire fortement le rayon d’impact.

L’épisode Codex rappelle que les outils de codage autonomes ne sont pas jugés uniquement sur leur capacité à écrire ou modifier du code. Ils sont aussi jugés sur la sécurité avec laquelle ils interagissent avec les systèmes locaux. La suppression de fichiers en est l’exemple le plus clair, car elle est à la fois courante dans les flux de développement et potentiellement catastrophique lorsqu’elle vise le mauvais endroit. Les artefacts de build, les caches, les sorties temporaires et les ressources générées sont régulièrement supprimés. La frontière entre nettoyage acceptable et destruction dommageable ne tient donc pas au fait que la suppression ait lieu, mais à la capacité du système à prouver qu’il opère dans le bon périmètre.

Cela met la pression sur les éditeurs d’outils pour faire davantage que s’en remettre à des consignes au niveau du prompt du type « soyez prudent » ou « demandez avant de supprimer ». Ces règles aident, mais ne sont que des contrôles souples si le système environnant ne les applique pas. Ce que décrit OpenAI ici va dans le sens de contrôles plus fermes: validation des chemins, répertoires temporaires sûrs, filtrage plus strict des commandes et séparation plus nette entre fonctionnement en sandbox et en accès complet.

Ce que cela dit de la conception des agents

L’incident illustre aussi un défi plus large dans la conception des agents d’IA. Les modèles n’agissent pas dans le vide. Ils choisissent des commandes, interprètent des variables d’environnement et opèrent via des wrappers, des shells et des systèmes de permission conçus par des humains. Une défaillance peut ne pas résulter d’une seule décision catastrophique, mais de plusieurs petites hypothèses qui s’alignent de la mauvaise façon. Un chemin temporaire est supposé sûr. Une variable système est supposée désigner un espace temporaire. Une commande de nettoyage est supposée être limitée. Puis ces hypothèses se heurtent à l’état réel de la machine.

Pour les développeurs et les entreprises qui évaluent des systèmes de codage agentique, cela signifie que la fiabilité doit être évaluée au niveau du système. La vraie question n’est pas seulement de savoir si le modèle est capable, mais si le cadre d’exécution contraint cette capacité de manière défendable. Les commandes destructrices devraient exiger une justification explicite, les cibles sûres devraient être vérifiables par la machine et l’élévation de privilèges devrait être difficile à déclencher par accident.

Les changements décrits par OpenAI vont dans cette direction. Ils n’éliminent pas la nécessité de prudence, mais suggèrent une posture plus mature, où le produit part du principe que des erreurs arriveront et se conçoit en conséquence. C’est généralement la bonne approche pour des outils susceptibles d’accéder au code source, à la configuration et au stockage local.

Ce que les utilisateurs doivent retenir de la mise à jour

Selon la source fournie, le message immédiat est clair: OpenAI estime avoir corrigé le bug de suppression et ajouté des garde-fous pour éviter qu’il se reproduise. Les utilisateurs qui s’appuient sur Codex pour des flux de travail autonomes devraient mettre à jour rapidement et éviter les configurations à accès large sauf si elles sont réellement nécessaires.

Plus largement, l’incident constitue une étude de cas utile sur les exigences de sécurité pour les logiciels d’IA qui agissent sur de vraies machines. La promesse des agents de codage consiste à réduire les frictions et à automatiser les tâches fastidieuses. Mais la valeur de cette automatisation dépend de la confiance, et la confiance dépend de limites opérationnelles solides. Le correctif d’OpenAI n’est donc pas qu’une simple mise à jour de maintenance. Il montre qu’à mesure que les agents d’IA deviennent plus capables, les principes fondamentaux de l’ingénierie des systèmes, comme l’isolation, la validation et le moindre privilège, deviennent plus importants, et non moins.

• OpenAI attribue le bug à une commande de nettoyage qui pouvait viser de vraies données utilisateur.
• L’entreprise dit que Codex vérifie désormais les cibles de suppression et crée de nouveaux dossiers temporaires.
• Des contrôles plus stricts visent à intercepter les commandes de suppression risquées avant exécution.
• OpenAI indique aussi que l’activation accidentelle du mode d’accès complet a été bloquée.

Cet article est basé sur le reportage de The Decoder. Lire l’article original.