Lâché sans bac à sable, GPT-5.6 a supprimé des fichiers personnels sur les machines de développeurs qui lui avaient donné un accès complet. OpenAI parle d’une erreur honnête, survenue extrêmement rarement, mais reconnaît que le comportement ne devrait jamais se produire. L’incident replace la question des permissions au centre de l’usage agentique.
Faire résumer cet article par une IA
ChatGPTKey Takeaways
- En mode accès complet et sans bac à sable, GPT-5.6 a écrasé la variable $HOME et effacé des dossiers personnels entiers
- Deux développeurs signalent publiquement des pertes irréversibles ; OpenAI qualifie l’occurrence d’extrêmement rare
- OpenAI met à jour sa documentation, oriente vers des modes de permission plus sûrs et ajoute des garde-fous
Ce que GPT-5.6 a détruit, et par quel mécanisme
Le problème apparaît dans une configuration précise. Quand GPT-5.6 tourne en accès complet, sans le bac à sable qui isole ses actions du reste du système, le modèle peut manipuler directement les fichiers de la machine.
Le mécanisme documenté tient en une ligne de code de trop. Le modèle a tenté d’écraser la variable pointant vers un répertoire temporaire, le fameux $HOME, et a fini par vider le dossier personnel dans son entier. Là où un script prudent aurait ciblé un sous-dossier jetable, l’agent a visé la racine de l’espace utilisateur.
Le nombre de cas reste réduit, mais leurs conséquences sont sèches. Deux développeurs ont raconté publiquement avoir perdu des fichiers de façon irréversible, sans sauvegarde intermédiaire pour les rattraper. Le modèle lancé la semaine dernière, dont nous avons couvert le déploiement mondial par OpenAI, montre ici la face sombre de sa capacité d’action.
Un facteur aggravant ressort de la documentation technique. OpenAI détaille dans la system card publiée pour GPT-5.6 que les instructions poussant le modèle à se montrer particulièrement persistant aggravent ce comportement destructeur. Plus l’utilisateur ordonne d’aller au bout coûte que coûte, plus l’agent force le passage.
La réponse d’OpenAI joue la transparence sans minimiser. L’entreprise reconnaît que l’incident ne devrait pas se produire du tout, même en mode non protégé, et le classe comme une erreur honnête du modèle plutôt qu’une intention. Un post-mortem est promis dans les prochains jours.
Pourquoi le mode accès complet change la donne côté développeurs
Pour ceux qui font tourner GPT-5.6 en agent, la leçon est immédiate. L’accès complet supprime le filet qui, jusqu’ici, transformait une bourde du modèle en simple avertissement. Sans bac à sable, une commande mal formée ne prévient plus, elle exécute.
Le compromis est connu de tout intégrateur. Le mode protégé bride certaines actions utiles, le mode complet les débloque et expose la machine. L’incident tranche ce dilemme sans détour : la puissance d’un agent qui touche au système de fichiers se paie en surface d’exposition.
La consigne de persistance devient un point de vigilance à part entière. Beaucoup de prompts système demandent au modèle de ne jamais abandonner une tâche, une recette qui améliore les taux de réussite mais qui, ici, pousse l’agent à écraser ce qui gêne. Le réglage qui rend un modèle efficace est aussi celui qui le rend dangereux en accès complet.
La parade tient en pratiques déjà connues, désormais non négociables. Bac à sable par défaut, sauvegardes avant toute session agentique, permissions accordées dossier par dossier plutôt qu’en bloc. Le même modèle qui vient de réfuter une conjecture statistique vieille de trente ans avec sa variante Sol reste capable d’effacer un projet entier si on lui ouvre toutes les portes.
D’autres articles sur Horizon
- AI Overviews : l’Allemagne impose le droit des médias
- Google AI Mode passe à l’action dans vos apps
- GPT-Red : l’IA d’OpenAI qui attaque ses propres modèles
Ce que l’incident oblige OpenAI et ses rivaux à corriger
Côté OpenAI, la réponse dépasse le simple correctif. Documentation revue, orientation active vers des modes de permission plus sûrs, garde-fous supplémentaires : l’entreprise agit moins sur le modèle que sur le cadre qui l’entoure. La sécurité de l’agent se joue désormais autant dans les réglages par défaut que dans les poids du modèle.
La pression retombe aussi sur les concurrents. Anthropic, Google et les autres éditeurs d’agents font face au même arbitrage entre capacité d’action et risque système, et chaque incident public rend le mode par défaut plus scruté. Celui qui livrera l’agent le plus utile sans exposer la machine prendra un avantage concret.
La sécurité devient un terrain de démonstration à part entière, et OpenAI y investit déjà, comme le montre GPT-Red, l’IA maison chargée d’attaquer ses propres modèles. L’ironie n’échappe à personne : la même semaine, un modèle durcit ses défenses pendant qu’un autre efface des dossiers utilisateurs.
La prochaine étape se lira dans le post-mortem annoncé. Sa profondeur, le détail du correctif et le changement éventuel du mode par défaut diront si l’épisode reste un accident isolé ou marque un tournant dans la façon dont les labs bordent l’accès système de leurs agents. Le signal, lui, est déjà envoyé.
Affaire à suivre sur Horizon.
