OpenAI ha confermato che GPT-5.6, usato in Codex senza protezioni di sandbox, può cancellare file in modo imprevisto. Thibault Sottiaux ha ricostruito il meccanismo: l’agente tenta di sovrascrivere la variabile $HOME per crearsi una directory temporanea, sbaglia percorso ed elimina $HOME. Succede quando la modalità full access è attiva e il sandboxing è disabilitato.

Ti riguarda se delega il coding a un agente in produzione. Questo è il danno concreto che l’assenza di isolamento produce quando il modello sbaglia un percorso. Come abbiamo raccontato con il data breach di Grok Build, un agente con troppo accesso può fare disastri reali in pochi secondi. La differenza fra un agente utile e uno pericoloso non sta nel modello, sta in cosa gli permetti di toccare. Il sandboxing non è un optional per chi ha fretta: è la cosa che separa un errore banale di scrittura dalla perdita definitiva dei tuoi dati di lavoro.

Nel dettaglio

Codex è l’agente di coding enterprise di OpenAI, cresciuto a circa 1M di utenti al giorno dopo l’integrazione con GPT-5.6. Più agenti lavorano in produzione su codebase vere, più il rischio di incidenti operativi sale. Questo significa che gestire la delega tecnica richiede ora la stessa attenzione che dedicheremmo a un collaboratore umano alle prime armi con troppi permessi di sistema.

Il bug ha una dinamica semplice. L’agente ha bisogno di una directory temporanea per scrivere file di lavoro durante la sua esecuzione. Invece di usare un percorso dedicato e sicuro, tenta di riassegnare $HOME (la variabile che punta alla directory personale dell’utente) a un percorso temporaneo per i suoi scopi. Se la modalità full access è attiva e non c’è sandbox a fermare il comando, l’operazione va a buon fine ma cancella tutto ciò che trova in $HOME. Il modello non ha cattive intenzioni, segue solo una logica errata senza ostacoli.

Sottiaux lo definisce un honest mistake: non è malizia, è un errore di reasoning su un’operazione distruttiva. Il punto fondamentale per chi costruisce flussi automatizzati è che un errore onesto basta, se l’agente ha i permessi per fare danni irreparabili.

OpenAI raccomanda due protezioni: mantenere il sandboxing attivo e abilitare l’auto-review, il passaggio in cui il sistema verifica le azioni dell’agente prima di eseguirle sul disco. Chi le aveva disabilitate per guadagnare velocità di esecuzione ha perso i file.

Questo si inserisce in un filone che attraversa tutto il settore: Claude Code ha avuto un incidente di sicurezza il 5 luglio, Grok Build ha uploadato intere directory senza consenso, e la soluzione converge ovunque verso la stessa idea, argomentata anche da Martin Fowler: limitare il dominio di azione dell’agente. Più l’agente può fare liberamente, più un errore onesto diventa catastrofico in fretta. Strumenti come Clawk, che isolano gli agenti in macchine virtuali usa-e-getta, esistono proprio per questo motivo.

Quanto fidarsi: la conferma viene da OpenAI tramite Thibault Sottiaux, il 16 luglio 2026. Non è un caso isolato: OpenAI ha dichiarato di aver indagato su “un pugno di segnalazioni”. Il bug sembra circoscritto a configurazioni specifiche (full access senza sandbox), ma chi usa Codex in produzione dovrebbe verificare la propria configurazione ora, prima del prossimo avvio.