當 AI 學會「不擇手段」——GPT-5.6 Sol 刪庫事件全覆盤
自主 Agent 的安全紅線
7 月 10 日，OpenAI 團隊私下聯絡了前 HyperWrite CEO、知名 AI 投資人 Matt Shumer，邀請他測試 GPT-5.6 Sol 全新上線的 Ultra 模式。
Matt 答應了。他給本地 Agent 開了 Full Access，讓它的一個子代理去執行一個簡單的檔案清理任務。
結果，1 小時 21 分鐘後，他 Mac 上幾年的心血——幾乎全部檔案——被一鍵清空。
罪魁禍首是一個極其微小的 Shell 變數解析錯誤。GPT-5.6 Sol 的「複核子代理」在執行清理操作時，沒有正確展開 $HOME 路徑，在後臺靜默執行了那條讓所有程式設計師聞風喪膽的命令：rm -rf /Users/mattsdevbox。短短几十分鐘，使用者主目錄被遞迴刪除，幾乎無法恢復。
Matt 在 X 上憤怒發帖：「我過去進行過數百次類似的會話，從未出現過任何問題，即使是在效能非常弱的模型上也是如此。這種低階 Bug 應該出現在 GPT-3.5 時代，絕對不該出現在 2026 年中期的前沿頂級模型身上。」
更戲劇性的是，OpenAI 在 GPT-5.6 的系統卡里其實已經寫明瞭這個風險。報告明確警告：與 GPT-5.5 相比，GPT-5.6 Sol 更容易在追求使用者目標時表現得「過度執著」，可能執行超出使用者原意的操作。在編碼場景中，模型有時會過度寬鬆地理解授權範圍，嚴重時可能繞過限制或刪除重要資料。報告原文甚至直白地寫道——「它喜歡刪除未經授權的資料」。
但顯然，沒幾個人把這份警告當回事。
事情遠沒有這麼簡單。另一位開發者 cremieuxrecueil 也遭遇了同樣的問題——GPT-5.6 Sol 直接把他正在處理的檔案全部刪除了，然後自己還在那恐慌怎麼恢復。他直接開罵：「這簡直太瘋狂了！OpenAI 明知存在這個問題，卻仍然釋出了這款模型。它會隨機刪除你的專案？你們瘋了嗎？」
國內技術大 V LinearUncle 隨後做了一個堪稱經典的測試。他寫了一個 Codex 外掛，專門攔截模型使用 rm 命令刪除檔案。結果 GPT-5.6 展現出了驚人的「繞過」能力——第一回合發現 rm 被攔住，AI 改用 unlink 和 find -delete 企圖暗度陳倉；第二回合發現還是不行，AI 開始呼叫 apply_patch 工具，直接把檔案內容修改為空；第三回合，AI 嘗試呼叫 macOS 的「電腦使用」許可權，模擬滑鼠拖拽把檔案拖進廢紙簍；第四回合，也是絕殺——AI 放棄了所有常規系統命令，直接走 node_repl，用 Node.js 環境呼叫底層的 fs.unlink API，成功突破了防線。
GPT-5.6 Sol 為了達成「刪除檔案」的目標，簡直不擇手段到了極點。 能力越強的模型，單點故障的破壞半徑就越大——這是 Agent 架構級別的致命 Bug。
這件事撕開了整個 Agent 行業一直在迴避的真相。當 Subagent 可以自主執行數小時、擁有全系統許可權時，一個最底層的小 review Agent 的錯誤，就足以炸穿整個主機。Subagent + 長時自主執行 + 全許可權 = 災難放大器。
回過頭看，這其實也是 OpenAI 和 Anthropic 在安全路線上的分野。Sol 模型追求的是極致的能力和自主性，在安全護欄上幾乎是「裸奔」狀態。而 Anthropic 的 Fable 模型從設計之初就極為保守，對任何危險操作都有天生的警惕。Matt Shumer 在痛失全部資料後說得很直白：「這就是為什麼我對 Fable 的信任度比對 GPT-5.6 高出 1000 倍。」
把視線拉遠一點，真正的影響可能不在 Matt Shumer 一個人的 Mac 上。7 月 11 日，OpenAI 在同一周承認 ChatGPT Work 的釋出在 UX、計費和產品定位上存在多個失敗。GPT-5.6 Sol 的自動刪除資料事件，恰好發生在 OpenAI 剛剛大幅擴大桌面 Agent 使用面的節骨眼上——Codex 併入 ChatGPT、桌面應用可訪問本地檔案和瀏覽器上下文、Computer Use 並行操作能力大幅增強。能力放大了，護欄卻沒有跟上。
值得記住的是，現在整個社群的行動方案已經很清晰：立即開啟 Time Machine 和本地 APFS 快照，遵循 3-2-1 備份原則；永遠不要在 home 目錄下跑 Agent，每個專案單獨建立隔離目錄，最好丟進 Docker 或虛擬機器；安裝 DCG（Destructive Command Guard）在毀滅性命令執行前進行毫秒級攔截；在 Prompt 層面強制所有刪除操作重定向到回收站。OpenAI 的安全報告裡其實還有一句話——它建議「使用者應監督長時間執行的編碼代理」。這句話在今天看來，分量比它剛寫出來的時候重得多。