https://codexer.com/tags/%E5%AE%89%E5%85%A8/Recent content in 安全 on CodexerHugozh-cnSun, 19 Jul 2026 09:00:00 +0800https://codexer.com/posts/2026-07-19-codex-sandbox-flag/Sun, 19 Jul 2026 09:00:00 +0800https://codexer.com/posts/2026-07-19-codex-sandbox-flag/<p>2026 年 7 月 9 日，OpenAI 发布了 GPT-5.6 Sol，三个模型层级、全新的推理引擎、多 Agent 协作能力。技术圈一片沸腾，仿佛一个新时代已经到来。</p> <p>72 小时后，科技投资人 Matt Shumer 发了一条推文，获得了 550 万次浏览和 6000 个赞。内容很短：「GPT-5.6 Sol 刚刚几乎删掉了我 Mac 上的所有文件。」</p> <p>他不是唯一一个。开发者 Bruno Lemos 说 Sol 清空了他的生产数据库。Joey Kudish 丢失了大批他从未让 Agent 接触过的文件。这些事故有一个完全相同的模式：Agent 在无沙箱保护的完全访问模式下运行，它尝试覆盖 <code>$HOME</code> 环境变量来创建一个临时目录，而环境变量展开失败了，一个本该清理临时文件的指令，变成了对用户真实主目录执行 <code>rm -rf</code>。</p> <p>这不是一个关于模型「变坏」的故事。这是一个关于默认配置的故事，一个默认配置让模型的一次无心之过，变成了一场灾难。</p> <h2 id="复盘一次诚实的错误">复盘：「一次诚实的错误」</h2> <p>事件发生一周后，OpenAI Codex 团队的 Tibo Sottiaux 发布了<a href="https://x.com/thsottiaux/status/2077630111499882637">事故复盘</a>，该推文获得了 110 万次浏览和 8400 个赞。事故链条如下：</p> <ol> <li><strong>完全访问模式开启</strong>：用户使用了 <code>--sandbox danger-full-access</code> 参数运行 Codex，禁用了所有文件系统限制</li> <li><strong>自动审查未开启</strong>：没有二级模型来检查 Agent 提出的命令再执行</li> <li><strong>$HOME 覆盖尝试</strong>：模型尝试将 <code>$HOME</code> 设置为临时目录以实现工作区隔离</li> <li><strong>环境变量展开失败</strong>：变量解析出错，Agent 的清理命令瞄准了真实的主目录而非临时文件夹</li> </ol> <p>OpenAI 把这称为「一次诚实的错误」。正如 The Register 的<a href="https://www.theregister.com/ai-and-ml/2026/07/16/openai-admits-gpt-56-occasionally-deletes-files-but-its-an-honest-mistake/5274008">报道标题</a>所述：模型并非恶意，只是搞错了，而没有任何机制阻止它执行这个错误。</p>