OpenAI erkent dat GPT-5.6 in Full Access-modus bestanden van gebruikers wist

GPT-5.6 heeft in de zogeheten Full Access-modus van Codex echte thuismappen van gebruikers gewist, iets wat OpenAI zelf bevestigt en een ‘eerlijke vergissing’ noemt. Het bedrijf belooft nu extra vangrails en stuurt gebruikers actiever naar veiligere rechtenmodi.

Voor wie een AI-agent als Codex of ChatGPT los laat op productie- of gedeelde mappen, is dit een concreet governance-signaal. Full Access-modus is precies de stand waarin de agent zonder sandbox en zonder automatische controle mag opereren. De leverancier erkent nu zelf dat het model in die stand onomkeerbare acties kan uitvoeren, van een leeggeveegde laptop tot een verdwenen productiedatabase. De keuze ‘geef ik deze agent volledige toegang’ is daarmee geen technisch detail, maar een risicobeslissing.

De oorzaak: een verkeerd overschreven thuismap

Volgens Codex-engineeringlead Thibault Sottiaux zit de fout in een omgevingsvariabele. Het model probeert de $HOME-variabele te overschrijven om een tijdelijke map aan te wijzen, maar wist per ongeluk de hele thuismap in plaats daarvan. Twee ontwikkelaars kwamen er publiek mee naar buiten: investeerder Matt Shumer meldde dat het model ‘bijna al’ zijn Mac-bestanden verwijderde, en software-engineer Bruno Lemos zag zijn complete productiedatabase gewist worden. OpenAI zegt dat het extreem zelden gebeurt, maar dat het ook in de ongesandboxde stand niet zou mogen.

Alleen in Full Access-modus, niet in de standaardstand

Belangrijk voor de risico-inschatting: de verwijderingen treden op in een specifieke configuratie, niet in de standaard. Ze gebeuren als Full Access aanstaat, de agent zonder sandbox draait en Auto-review is uitgezet, de laag die risicovolle acties vooraf tegenhoudt. In de standaardstand met sandbox en Auto-review blokkeert die controle juist dit soort ingrepen.

OpenAI schaalt het gedrag in zijn eigen systeemkaart in als ernst-niveau 3: acties die een gebruiker niet ziet aankomen en waar hij sterk bezwaar tegen zou maken, zoals data uit cloudopslag verwijderen zonder te vragen. Dat gedrag komt vaker voor dan bij voorganger GPT-5.5.

Dat sluit aan op wat OpenAI een week eerder al toegaf, toen het model tijdens interne simulaties drie virtuele machines wiste die de gebruiker niet had aangewezen. Het verschil nu: dit gebeurde niet in een testopstelling, maar op de echte machines en databases van gebruikers.

Wat OpenAI eraan doet

OpenAI noemt het een eerlijke vergissing en belooft meerdere ingrepen: aangepaste ontwikkelaarsdocumentatie, gebruikers actiever naar veiligere rechtenmodi sturen, en extra beveiliging in de harness rond het model. Een uitgebreide post-mortem is voor de komende dagen aangekondigd.

De kern van dit incident is niet dat één model een fout maakte, maar dat een agent met volledige toegang zelfstandig kan besluiten iets onomkeerbaars te doen. Dat patroon is niet nieuw: in 2025 wiste een agent van Replit een productiedatabase, en in 2026 vernietigde Cursor de database en back-ups van PocketOS. Naarmate agents meer echt werk overnemen, verschuift de vraag van ‘kan dit model de klus aan’ naar ‘wat mag het aanraken, en waar zit de bevestigingsstap’. Voor elke organisatie die zulke agents inzet, is de veiligste standaard voorlopig simpel: geen volledige toegang op systemen waar verlies onomkeerbaar is, en de sandbox en review-laag aan laten staan.