OpenAI stopft Datenverlust-Lücke in Codex — warum Sandbox-Modus für KI-Agenten Pflicht bleibt

Ein KI-Coding-Agent, der eigenständig Code schreibt und ausführt, hat auch eigenständigen Zugriff auf Ihre Dateien – und genau das wurde für einige Nutzer von OpenAIs Codex zum Problem. Nach Angaben von OpenAI löschte ein fehlerhafter Aufräumbefehl im Modell GPT-5.6 Sol statt temporärer Arbeitsdateien echte Nutzerdaten. Was nach einem gewöhnlichen Bugfix klingt, ist bei einem autonom handelnden Agenten mit Dateisystemzugriff ein anderer Fall: Hier entscheidet die Software selbst, was gelöscht wird.

Was ist passiert?

Codex ist OpenAIs KI-gestützter Programmierassistent, der eigenständig Code schreibt, testet und dabei auch Dateisystem-Operationen ausführt. Kein Gratis-Tool: Codex ist Teil von OpenAIs kostenpflichtigen ChatGPT- und API-Produkten. Laut OpenAI nutzte das Modell GPT-5.6 Sol bei Aufräumarbeiten teils die Systemvariable $HOME für temporäre Ordner. Zeigte diese Variable fehlerhaft auf das tatsächliche Heimverzeichnis eines Nutzers, löschte ein an sich harmloser Cleanup-Befehl reale Dateien statt Arbeitskopien. Einige wenige Nutzer hatten das öffentlich gemeldet, bevor OpenAI reagierte.

Was ist belegt?

OpenAI hat mehrere Schutzmaßnahmen nachgerüstet, so das Unternehmen: Codex prüft Löschziele nun vor der Ausführung, legt für temporäre Daten grundsätzlich frische Ordner an und zweckentfremdet Systemvariablen wie $HOME nicht mehr für diesen Zweck. Riskante Löschbefehle werden zusätzlich durch strengere Prüfungen abgefangen, und der Vollzugriffsmodus lässt sich laut OpenAI nicht mehr versehentlich aktivieren. OpenAI empfiehlt Nutzern weiterhin, einen der Sandbox-Modi zu verwenden und die App aktuell zu halten.

Was ist derzeit unklar?

Wie viele Nutzer tatsächlich Daten verloren haben und welchen Umfang der Datenverlust im Einzelfall hatte, ist öffentlich bislang nicht unabhängig bestätigt – OpenAI selbst spricht nur von „einigen wenigen“ gemeldeten Fällen. Auch technische Details, etwa unter welchen genauen Bedingungen $HOME fehlerhaft gesetzt wurde, sind nicht öffentlich dokumentiert.

Was bedeutet das für Ihren Betrieb?

Wer Codex oder vergleichbare KI-Coding-Agenten produktiv einsetzt – etwa in CI-Pipelines oder auf Entwickler-Workstations mit Zugriff auf echte Projektverzeichnisse –, sollte den Vorfall als Erinnerung lesen: Ein Agent, der Befehle selbstständig formuliert und ausführt, braucht dieselbe Vorsicht wie ein neuer, unerfahrener Mitarbeiter mit weitreichenden Rechten. Sandbox-Modi, die den Dateizugriff auf definierte Verzeichnisse beschränken, sind kein optionales Extra, sondern die eigentliche Absicherung gegen genau solche Fälle. Wer Codex ohne Sandbox mit vollem Dateisystemzugriff laufen lässt, verlässt sich allein auf die Fehlerfreiheit des Modells – und das hat hier nicht funktioniert.

Aus unserer Sicht zeigt der Fall auch etwas Grundsätzlicheres: Je mehr autonome Handlungsfreiheit ein KI-Agent bekommt, desto wichtiger werden Guardrails, die unabhängig vom Modell selbst greifen – Prüfung vor der Ausführung, keine Zweckentfremdung von Systemvariablen, klar abgegrenzte Sandbox-Grenzen. Diese Mechanismen mussten hier nachgerüstet werden, statt von Anfang an vorhanden zu sein.

Was Sie jetzt prüfen sollten: Falls in Ihrem Team Codex oder ein ähnlicher autonomer Coding-Agent im Einsatz ist – läuft er im Sandbox-Modus, oder mit vollem Zugriff auf reale Arbeitsverzeichnisse? Und ist die verwendete App-Version aktuell, sodass die nachgerüsteten Schutzmaßnahmen greifen?

Quellen: THE DECODER — „OpenAI fixt Codex-Bug, der ungefragt echte Nutzerdateien löschte“ (https://the-decoder.de/openai-fixt-codex-bug-der-ungefragt-echte-nutzerdateien-loeschte/)