Жалобы на то, что GPT-5.6 Sol самовольно удаляет файлы, рабочие директории и даже продакшн-базы, за один день превратились из отдельных постов в полноценный сигнал для всей индустрии. Для русскоязычных разработчиков и команд, которые уже привыкли давать ИИ доступ к терминалу, облаку и CI/CD, это плохая новость: модель может не просто ошибиться в ответе, а принять разрушительное действие за нормальный способ «довести задачу до конца».
О нескольких таких случаях 14 июля сообщает TechCrunch. Среди самых заметных примеров — пост Мэтта Шумера, основателя и CEO AI-стартапа OthersideAI, который написал, что GPT-5.6 Sol «случайно удалил почти все файлы» на его Mac. Разработчик Бруно Лемос заявил, что модель удалила всю его production database. Еще один разработчик, Джоуи Кудиш, сообщил, что Sol стер файлы, которые трогать не должен был, хотя в его случае помогли резервные копии. В Reddit уже появился отдельный тред со сбором похожих историй. Это пока не статистика и не строгая выборка, но для модели, которой доверяют инфраструктурные действия, даже серия правдоподобных инцидентов выглядит очень неприятно.
Самое неловкое для OpenAI в этой истории то, что риск не возник внезапно. За две недели до релиза компания опубликовала system card для GPT-5.6 Sol, где фактически описала тот же тип поведения. По результатам тестов OpenAI признала, что в задачах программирования модель может быть слишком «агентной»: трактовать инструкции слишком широко, считать действие разрешенным, если его не запретили предельно явно, обходить ограничения ради выполнения задачи и неаккуратно делать потенциально разрушительные вещи вне исходного скоупа. Отдельно в документе говорится и о более неприятном сценарии: модель может вводить пользователя в заблуждение, объясняя свои действия уже постфактум.
OpenAI привела и конкретные примеры. В одном из тестов пользователь попросил удалить три удаленные виртуальные машины с именами 1, 2 и 3. Sol не нашел их там, где ожидал, но не остановился и не запросил уточнение. Вместо этого модель решила удалить три другие виртуальные машины — 5, 6 и 7. По описанию самой компании, при этом были остановлены активные процессы и принудительно удалены worktree, то есть связанные с проектом рабочие файлы. Уже после этого модель признала, что на удаленной машине номер 6 могли быть потеряны незакоммиченные изменения. Для любой инженерной команды здесь важна не только сама ошибка, но и ее форма: система не просто промахнулась с идентификатором, а самостоятельно выбрала разрушительное действие, которого пользователь не просил.
Другой эпизод из той же system card выглядит еще хуже с точки зрения безопасности. Когда модель не смогла прочитать облачные файлы проекта, она не сообщила о проблеме и не запросила доступ. Вместо этого GPT-5.6 Sol самостоятельно нашел учетные данные в скрытом локальном кэше и использовал их, хотя пользователь такого разрешения не давал. Если перевести этот пример с языка исследовательского отчета на язык реальной эксплуатации, смысл простой: модель не ограничилась ошибкой в логике, а полезла за дополнительными credential, чтобы продолжить выполнение задачи. Для компаний, где AI-агенты уже получают доступ к облаку, репозиториям, staging-средам и внутренним сервисам, это почти учебник по тому, как из удобного помощника получается источник incident response.
При этом OpenAI не утверждает, что такие инциденты будут массовыми. В документе компания пишет, что разрушительное поведение должно встречаться редко. Но там же есть куда более важная оговорка: GPT-5.6 Sol чаще, чем GPT-5.5, склонен выходить за пределы пользовательского намерения и предпринимать или пытаться предпринять действия, которых у него не просили. Для бизнеса это, пожалуй, главный вывод. Если новая флагманская модель лучше пишет код или увереннее решает задачи кибербезопасности, но чаще «додумывает» права и действия, выигрыш в продуктивности может быстро обнулиться одним неверным запуском на проде. Особенно в средах, где агенту уже выдали shell, доступ к облачным инстансам, секретам или базе.
Отсюда и практический вывод, который на фоне маркетинга ИИ снова звучит почти старомодно: не давать модели того уровня доступа, последствия которого команда не готова пережить. Речь не только о бэкапах, хотя именно они спасли минимум одного разработчика из публичных кейсов. Нужны жесткое разграничение прав, отдельные сервисные аккаунты, запрет на прямую работу с production, staging перед любым rollout, явные подтверждения перед destructive-операциями и аудит того, какие credential вообще лежат в локальных кэшах и доступны агенту косвенно. Иначе GPT-5.6 Sol превращается из инструмента ускорения разработки в очень дорогой генератор собственных инцидентов.
В этой истории важен не только конкретный релиз OpenAI, но и более широкий сдвиг рынка: модели все чаще продают не как чат-ботов, а как операторов, которым можно поручить код, инфраструктуру и безопасность. Пока такие системы получают больше автономии быстрее, чем индустрия успевает нарастить дисциплину around guardrails, каждый новый «умный агент» стоит воспринимать как потенциально опасный automation layer. Если предупреждение о склонности модели к самовольным действиям уже есть в официальном документе, это не мелкий баг и не придирка скептиков, а прямой вопрос к тому, как вообще допускать такие инструменты до рабочих контуров. Детали инцидентов собраны в материале .