OpenAI、Codexのパッチで危険なファイル削除経路を封じたと説明
OpenAIは、GPT-5.6 Solが自律タスクの実行中に許可なく実ファイルを削除できるとユーザーが報告したことを受け、Codex向けのセキュリティ更新を公開しました。同社によると、問題は一時的な作業ファイルを削除するはずのクリーンアップコマンドにあり、システム変数が誤って扱われた場合に実際のユーザーデータを指してしまう可能性があったとしています。
提供された報告によれば、この不具合はモデルが $HOME のようなシステム変数を一時フォルダに使ったときに発生しました。その場合、誤った削除コマンドが、分離された一時領域ではなく、ユーザーの実際のホームディレクトリを対象にしてしまう可能性がありました。本来なら単なる保守作業であるはずの処理が、一つの誤ったパスで文書、プロジェクト、その他の永続ファイルに影響を及ぼす高リスク操作に変わってしまいます。
この更新が重要なのは、単なる通常のソフトウェア不具合を超えたリスクに対処しているからです。Codexは、コードや関連タスクを支援しながらアクションを実行するよう設計されています。エージェントが誤った場所で破壊的コマンドを呼び出せるなら、実際の結果は単なるタスク失敗ではなく、取り返しのつかないデータ損失です。言い換えれば、この問題はモデルの挙動、コマンド生成、実行環境の安全性が交差する地点にあります。
OpenAIが変更したとする内容
元の文章では、OpenAIが現在導入したいくつかの安全策が説明されています。Codexは削除を実行する前に対象を検証し、新しい一時フォルダを作成し、システム変数の誤用を防ぐとされています。同社はまた、危険な削除コマンドを実行前に検知するための、より厳格なチェックも追加しました。
この組み合わせは、OpenAIが目先の不具合だけでなく、それを危険にしていたより広い条件にも対処しようとしていることを示しています。削除対象の検証は最も直接的な制御です。コマンドを実行する前に、システムは対象が本当に一時的な作業領域であり、ユーザーディレクトリではないかを確認します。新しい一時フォルダを作成することで、再利用されたパスや継承された環境値に頼らず、既知で安全な場所をエージェントに与えられ、曖昧さを減らせます。削除コマンド周辺のチェックを強化することで、前提が崩れても高影響の操作を遮断する別の層が加わります。
報告では、フルアクセスモードが誤って起動されることもなくなったとされています。この点は重要です。自動化システムが予期せぬ挙動をしたとき、権限の境界は最後の防衛線になることが多いからです。モデルが不完全なコマンドを生成する可能性は残りますが、それがどれだけの損害を与えられるかは、サンドボックス内で動いているのか、制限された作業領域なのか、ホストマシンへの広範なアクセス権があるのかに大きく左右されます。
サンドボックスが中心であり続ける理由
ソースで要約されたOpenAI自身の推奨は、ユーザーがいずれかのサンドボックスモードを使い続け、アプリを最新の状態に保つことです。これは、より安全なデフォルト設定がバグ修正と同じくらい重要だという現実的な認識です。十分にテストされたコーディングエージェントであっても、パス処理、シェルの挙動、環境設定で境界事例に遭遇することがあります。サンドボックスはそれらのエラーをなくすわけではありませんが、被害範囲を大きく抑えられます。
Codexの件は、自律型コーディングツールがコードを書いたり編集したりする能力だけで評価されるわけではないことを思い出させます。ローカルシステムとどれだけ安全にやり取りできるかも評価対象です。ファイル削除は最もわかりやすい例です。開発ワークフローでは一般的ですが、誤った場所を対象にした場合は壊滅的な結果を招きます。ビルド成果物、キャッシュ、一時出力、生成資産は日常的に削除されます。したがって、許容されるクリーンアップと有害な破壊の境界は、削除が起こるかどうかではなく、システムが正しい範囲内で動作していることを証明できるかどうかにあります。
そのため、ツール開発者は「気をつけて」「削除前に確認して」といったプロンプトレベルの指示に頼るだけでは不十分です。そうしたルールは有効ですが、周辺システムが強制しなければ弱い制御にすぎません。OpenAIがここで示しているのは、パス検証、安全な一時ディレクトリ、より厳格なコマンド選別、そしてサンドボックスとフルアクセス動作の明確な分離といった、より強い制御への移行です。
エージェント設計にとって何を意味するか
この事件は、AIエージェント設計におけるより広い課題も示しています。モデルは真空中で動くわけではありません。コマンドを選び、環境変数を解釈し、人間が作ったラッパー、シェル、権限システムを通して動作します。失敗は単一の致命的判断ではなく、いくつかの小さな前提が誤った形で重なって起こることがあります。一時パスは安全だと仮定する。システム変数は一時領域を指すと仮定する。クリーンアップコマンドは限定的だと仮定する。そこに実際のマシン状態がぶつかります。
エージェント型コーディングシステムを評価する開発者や企業にとって、これは信頼性をシステムレベルで評価しなければならないことを意味します。重要なのはモデルに能力があるかどうかだけではなく、実行基盤がその能力を防御可能な形で制約しているかどうかです。破壊的コマンドには明示的な正当化を要求し、安全な対象は機械的に検証可能であり、権限昇格は誤って起動しにくくあるべきです。
OpenAIが説明した変更は、その方向を示しています。注意の必要性をなくすものではありませんが、エラーは起こるものだと前提にして設計する、より成熟した姿勢を示しています。これは、ソースコード、設定、ローカルストレージに触れる可能性のあるツールにとって、通常は正しいアプローチです。
ユーザーがこの更新から受け取るべきこと
提供されたソースに基づけば、直近のメッセージは明快です。OpenAIは削除バグを修正し、再発防止のためのガードレールを追加したと考えています。Codexを自律ワークフローに使っているユーザーは、速やかに更新し、本当に必要でない限り広範なアクセス設定は避けるべきです。
より広く見れば、この事件は、実際のマシンで動作するAIソフトウェアに求められる安全要件を考えるうえで有用なケーススタディです。コーディングエージェントの価値は、手間を減らし、面倒な作業を自動化することにあります。しかし、その自動化の価値は信頼に依存し、信頼は強力な運用境界に依存します。したがって、OpenAIのパッチは単なる保守リリースではありません。AIエージェントがより高性能になるほど、分離、検証、最小権限といった基本的なシステムエンジニアリングの原則が、より重要になることを示しています。
- OpenAIは、このバグを実際のユーザーデータを対象にできるクリーンアップコマンドに起因すると説明しています。
- 同社によれば、Codexは現在、削除対象を検証し、新しい一時フォルダを作成します。
- より厳格なチェックは、危険な削除コマンドを実行前に検知するためのものです。
- OpenAIは、フルアクセスモードの誤った有効化もブロックしたと述べています。
この記事はThe Decoderの報道に基づいています。元記事を読む。
Originally published on the-decoder.com