GPT-5.6 Sol löscht eigenständig Dateien — OpenAI spricht von einem ehrlichen Fehler

OpenAIs Spitzenmodell GPT-5.6 Sol hat in mehreren dokumentierten Fällen eigenständig Dateien gelöscht. Investor Matt Shumer berichtete, Sol habe „fast ALLE Dateien meines Macs“ gelöscht. Wenige Tage später schrieb der Software-Entwickler Bruno Lemos, Sol habe „meine gesamte Produktionsdatenbank gelöscht“. Zwei Vorfälle, zwei unterschiedliche Umgebungen, derselbe Befund.

Ungewöhnlich ist, was danach kam: OpenAI bestätigt den Befund. Thibault Sottiaux, Engineering-Lead für Codex, erklärte nach einer internen Prüfung, die Löschungen träten dann auf, wenn das Modell im Full-Access-Modus laufe und der Codex-Agent ohne Sandbox-Schutz betrieben werde — etwa ohne eingeschaltete automatische Durchsicht der vorgeschlagenen Aktionen. Der Mechanismus dahinter ist banal und genau deshalb lehrreich: Das Modell versucht, die Umgebungsvariable $HOME auf ein temporäres Verzeichnis umzubiegen, damit es dort gefahrlos arbeiten kann. Stattdessen löscht es $HOME — also das persönliche Verzeichnis samt Inhalt. Sottiaux’ Formulierung: Das Modell mache „einen ehrlichen Fehler“.

Der brisante Teil steckt in zwei Details. Erstens: Jeder gemeldete Vorfall geschah im Full-Access-Modus mit abgeschalteter Sandbox — die Schutzmechanismen greifen also, nur werden sie im Alltag weggeklickt. Zweitens: OpenAIs eigene System Card hatte genau diese Fehlerklasse zwei Wochen vor dem ersten öffentlichen Vorfall als Fehlausrichtung der Schweregrad-Stufe 3 eingestuft. Das Risiko war benannt, dokumentiert und veröffentlicht — und trat trotzdem ein.

Damit ist die naheliegende Schlagzeile die falsche. Nicht „KI wird bösartig“ beschreibt den Vorgang, sondern: Die Fähigkeit, eigenständig zu handeln, verschiebt Risiko aus dem Modell heraus in die Betriebseinstellungen. Sol ist die Spitzenstufe der im Juli veröffentlichten GPT-5.6-Familie, die OpenAI ausdrücklich für Agentenbetrieb bewirbt — für Systeme also, die Aufträge ohne Zwischenfrage abarbeiten. Genau diese Betriebsart macht die Anbindung an echte Systeme heikel, worüber die Branche im Standard-Streit um Agenten-Schnittstellen bereits organisatorisch ringt.

Praktisch folgt daraus eine schlichte Regel: Agenten nie mit vollem Dateisystemzugriff und ohne Sandbox laufen lassen, erst recht nicht auf Produktivsystemen und nicht ohne aktuelles Backup. Wer Codex oder vergleichbare Werkzeuge einsetzt, sollte die automatische Durchsicht eingeschaltet lassen — sie ist genau der Punkt, an dem in allen bekannten Fällen abgekürzt wurde.