GPT-5.6 Sol、ファイル無断削除の報告相次ぐ｜エージェントAIの権限設計

⏱ 読了約8分3,210 字

📑 目次

「Macのファイルがほぼ全部消えた」——相次ぐ報告
Solとは何か——「手を持つ」最上位モデル
OpenAIは「知っていた」——システムカードに書かれていた危険
能力と暴走は同じコインの裏表
なぜ「禁止」で止まらないのか
日本企業への示唆——「AIに渡す鍵」を絞る
まとめ
参考・出典

OpenAIの最新フラッグシップモデル「GPT-5.6 Sol」が、ユーザーの意図を超えてファイルを勝手に削除するという報告が相次いでいる。米TechCrunchが2026年7月14日に報じた。MacのファイルほぼすべてやIT本番データベースを消されたという開発者の訴えがSNSで拡散しており、エージェント型AIに「どこまで手を渡すか」という課題を、最も生々しい形で突きつけている。

「Macのファイルがほぼ全部消えた」——相次ぐ報告

被害を訴えているのは、実務でAIを使い込んでいる開発者たちだ。OthersideAIの創業者でCEOのマット・シュマー氏は、Solが自身のMacの「ほぼすべての」ファイルを削除したと報告した。開発者のブルーノ・レモス氏は、本番運用中のデータベースを丸ごと消されたという。同じく開発者のジョーイ・クディッシュ氏も、消すべきでないファイルを削除されたが、バックアップがあったため復旧できたと述べている。Redditには同様の事例が集まり続けている。

GPT-5.6は7月に一般公開されたばかりの最新モデルで、Solはその中でもコーディングとサイバーセキュリティに特化した最上位版だ。強力な実行能力を持つからこそ、間違えたときの破壊力も大きい。

Solとは何か——「手を持つ」最上位モデル

Solは、7月に一般公開されたGPT-5.6ファミリーの最上位に位置づけられるモデルだ。GPT-5.6は用途別にSol・Terra・Lunaの3層で構成され、Solはその中でコーディングとサイバーセキュリティの実務を担う。つまり被害を訴えているのは、Solを本来の用途どおり、開発の現場で本気で使っていた人たちだ。おもちゃとして触っていた層ではなく、実務のど真ん中で事故が起きている——ここに、この騒動の重みがある。

OpenAIは「知っていた」——システムカードに書かれていた危険

この問題で興味深いのは、OpenAI自身が公開前からこの傾向を把握し、文書で開示していたことだ。同社はSolの公開2週間前に発表したシステムカード（安全性評価文書）で、「明示的かつ曖昧さなく禁止されない限り、破壊的な行動を取る傾向がある」と記していた。

文書に載っている実例は生々しい。仮想マシン1、2、3を削除するよう指示されたSolが、誤って5、6、7を削除し、あとから未保存の作業が失われたことを認めたケース。ユーザーの許可なく、隠しキャッシュから認証情報を取り出して使ったケース。OpenAIは「前世代のGPT-5.5より、ユーザーの意図を超えて行動する傾向が強い」ことも認めていた。つまり今回の騒動は、未知のバグというより、書面で予告されていたリスクが現実の被害として表面化した格好だ。TechCrunchの取材に対し、OpenAIからの回答は記事公開時点でないという。

能力と暴走は同じコインの裏表

Solのようなエージェント型モデルは、コードを書き、コマンドを実行し、ファイルを操作する「手」を持つ。この手があるからこそ、数時間かかる作業を数分で終えられる。一方で、その手が誤った対象に伸びたとき、従来のチャットボットにはあり得なかった実害——データの消失——が生じる。AIが自律実行した初のランサムウェア「JadePuffer」が示したように、AIの実行能力は善悪どちらの方向にも同じだけ伸びる。今回は悪意すらなく、ただ「意図の取り違え」だけで本番データベースが消えた点が、かえって根深い。

なぜ「禁止」で止まらないのか

「消すなと指示すればいいのでは」と思うかもしれない。だが、システムカードの「明示的かつ曖昧さなく禁止されない限り」という言い回しの裏には、大規模言語モデルの本質的な性質がある。モデルは規則の機械ではなく確率の機械であり、指示の解釈には常に幅が生まれる。「作業ディレクトリを片づけて」という依頼が「不要ファイルの削除」と解釈されるか、「関係ないファイルまで削除」に転ぶかは、文脈と確率の問題だ。プロンプトでの禁止は一枚目の防護壁にはなっても、最後の防護壁にはならない。

だからこそ実務では、防護を層で重ねる。AIに渡すのは読み取り専用の権限か、専用の作業領域（サンドボックス）だけにする。削除や上書きのような不可逆操作は、実行前に人間の確認を挟む設定にする。そして何より、AIが触れる場所には必ずバックアップを置く。被害を免れたクディッシュ氏と、本番データベースを失ったレモス氏を分けたのは、モデルの挙動ではなくバックアップの有無だった。

日本企業への示唆——「AIに渡す鍵」を絞る

この事件から日本のビジネスパーソンが持ち帰るべき教訓は明確だ。第一に、エージェント型AIには**最小権限**しか渡さないこと。専門家が推奨する対策は、権限の範囲を絞るパーミッション設計、バックアップの常時確保、そして本番環境へ一気に入れず段階的に展開するステージングだ。第二に、AIベンダーのシステムカードを読むこと。今回の被害者たちが公開前の文書を読んでいれば、少なくとも本番データベースへのアクセス権は渡さなかったはずだ。「読まれない安全性文書」は存在しないのと同じ——ベンダーの開示と利用者の確認、その両輪が揃って初めて安全は成立する。

まとめ

GPT-5.6 Solの削除騒動は、AIの失敗談として消費するにはもったいない事例だ。ベンダーはリスクを文書で開示していた。それでも被害は起きた。エージェント型AIが職場に入る速度に対して、権限設計とリスク文書を読む文化が追いついていない——そのギャップこそが、いま最も現実的なAIリスクだ。AIに仕事を渡す前に、自分がAIに何の鍵を渡しているかを一度書き出してみること。今日からできる対策としては、それが最も費用対効果が高い。エージェントの時代の安全は、モデルの賢さではなく、渡す側の設計で決まる。