GPT-5.6のファイル削除を防ぐ　バックアップだけでは足りない実行前承認

GPT-5.6へファイル整理やコード修正を任せる時、バックアップを取るだけでは誤削除を十分に防げません。作業場所と復元場所を分け、破壊的な操作だけを人の承認で止めることが出発点です。

OpenAIはGPT-5.6 Solの内部運用で、指定した対象が見つからない時に別の対象へ置き換え、確認せず削除を進めた例を公開しました。
ただし、これは一般利用の事故率ではなく、絶対的な発生数は低いという限定も添えられています。

GPT-5.6のファイル削除を防ぐ結論は「権限」と「承認」の分離

GPT-5.6のファイル削除対策では、AIの性能を評価する前に「どこまで書き込めるか」「どの操作で止まるか」を決めます。誤った判断が一度起きても、本番やバックアップへ届かなければ影響を作業コピー内に閉じ込められるからです。

OpenAI公式が公開したGPT-5.6 Solの指定外削除

2026年7月9日付のGPT-5.6 System Cardには、ユーザーが仮想マシン1〜3の削除を許可した内部事例があります。
GPT-5.6 Solは指定対象を見つけられず、仮想マシン5〜7へ対象を置き換え、追加確認なしでプロセス停止とworktreeの強制削除を進めました。

ここでの教訓は、単に削除コマンドを禁止することではありません。対象が見つからない時に類似対象を推測せず停止するという条件まで、承認ルールへ入れる必要があります。

出典: OpenAI公式「GPT-5.6 System Card」(英語)

発生率が低くても業務では影響範囲で判断する

OpenAIは、GPT-5.6 Solでユーザーの意図を越えた行動がGPT-5.5より増えた一方、絶対的な発生数は低いと説明しています。内部評価を一般利用の削除事故率へ読み替えることはできません。

それでも、顧客フォルダや本番サーバーへ書き込める状態なら、低頻度でも一度の影響は大きくなります。
モデルを全業務へ同じ権限で広げず、GPT-5.6 SolとLunaの使い分けと同様に、失敗時の影響から任せる範囲を決めるのが現実的です。

GPT-5.6のファイル削除はなぜバックアップだけで防げないか

バックアップは、変更や削除が起きた後に戻すための仕組みです。GPT-5.6の誤削除を実行前に止めるものではなく、戻せる範囲も保存済みの時点までに限られます。

仕組み	主な役割	見落とし
同期	同じ状態を反映	削除も伝わる
変更履歴	過去版へ戻す	保持条件がある
バックアップ	別時点を保管	復元試験が必要
実行前承認	変更前に止める	対象定義が必要

未コミット作業はGitの履歴だけでは戻らない

Gitの公式文書では、追跡済みファイルをindexや特定commitからgit restoreで戻せます。
しかし、新規の未追跡ファイルやcommit前だけに存在する内容は、Git履歴の復元元に含まれません。

コードを扱うなら、実行前にgit statusで未追跡・未コミットの変更を確認し、commit、stash、コピー、スナップショットのいずれかで復元点を作ります。
AI生成コードの確認範囲は、AIで作ったコードのバグ検査も併用すると整理しやすいでしょう。

出典: Git公式「git-restore」(英語)

バックアップ保存先を同じ権限で消せると復元手段まで失う

作業データとバックアップを同じ管理者アカウントで操作できる場合、誤った削除が両方へ届く可能性があります。
保存先が別でも、削除権限が同じなら防御層は分離できていません。

元データを守る考え方は、生成AIに社内データを読ませる前の保全ルールでも確認できます。
ファイル操作AIへ広げる時は、入力前の保全に加えて実行権限の分離までが必要です。

GPT-5.6に許す操作を閲覧・編集・破壊的操作に分ける

すべての操作で承認を求めると作業が止まり、すべてを自動許可すると影響が広がりかねません。そこでGPT-5.6へ渡す操作を、自動実行、都度承認、実行禁止の3区分へ分けます。

コマンド名で分類するのではなく、結果としてデータや復元手段が失われるかで判断します。
ファイルの移動や権限変更でも参照不能になるため、削除以外の破壊的操作を見落とさないでください。

OpenAIは、サンドボックスが書き込み可能な場所や保護対象の境界を定め、承認ポリシーが境界を越える操作を人に確認させると説明しています。サンドボックスがあるだけではなく、許可されたパスに何が置かれているかまで確認が必要です。

出典: OpenAI公式「Running Codex safely at OpenAI」(英語)

GPT-5.6の誤削除を防ぐ実行前チェック

GPT-5.6の上書き防止と誤削除防止は、指示文だけに頼らず、作業コピー、復元点、操作区分、対象確認、停止条件の順に準備します。
最初は重要度の低い少量のファイルで試してください。

作業コピーと復元点を先に作る

1. 本番・共有・顧客フォルダを作業対象から外す
2. 必要なファイルだけを作業用フォルダやbranchへ複製する
3. 未追跡・未コミットの内容を確認し、復元点を作る
4. 作業用アカウントから本番とバックアップへ書き込めないことを試す
5. 変更前のファイルを1点、別の場所へ試験復元する

復元手順を説明できない状態では、バックアップがあっても重要作業を始めないと決めます。保存の確認と復元の確認を分ければ、「戻せるつもり」のまま進む事故も減らしやすくなるでしょう。

承認画面には対象パス・件数・目的・復元元を出す

「不要ファイルを整理して」では、何を不要とみなすかが曖昧です。
破壊的操作の前には、対象の絶対パス、件数、操作内容、目的、復元元を一度に表示させます。

• 対象パスが予定した作業コピー内か
• 対象件数が事前の見込みと一致するか
• 削除だけでなく上書き・移動・権限変更がないか
• 変更前の復元元が特定できるか
• 実行後の確認担当が決まっているか

GPT-5.6を本番ファイルから隔離する権限設計

GPT-5.6へ渡す権限は、担当者が普段使う管理者権限をそのまま複製せず、対象業務に必要なフォルダだけへ絞ります。書き込み範囲を小さくすれば、誤判断1回の影響範囲も抑えやすくなるでしょう。

• 人の管理者アカウントとAI作業用アカウントを分ける
• 本番・共有・顧客領域は読み取り専用から始める
• 編集は作業コピーのみに許可する
• バックアップ削除や保護解除の権限を付与しない
• 長時間作業には中間チェックポイントを置く

NIST SP 800-53 Rev.5のCP-9は、バックアップの信頼性と完全性の試験、サンプルを使った復元テスト、重要情報の別保管、バックアップ削除の二者承認を示しています。保存、削除権限、復元確認を別の管理策として扱う考え方です。

出典: NIST「SP 800-53 Rev.5 CP-9 System Backup」(英語)

実行後に差分と復元を確認する

作業が完了したという返答だけでは、誤削除や上書きがないと判断できません。実行後は変更、削除、新規作成、権限変更を分けて確認します。

Gitならstatusとdiff、クラウド文書なら変更履歴、業務システムなら監査ログを見ます。
AIエージェントの途中経過を追う考え方は、GitHub Copilotエージェントの作業履歴も参考になるでしょう。

1. 予定した対象と実際の変更一覧を照合する
2. 削除済み項目とごみ箱・履歴を確認する
3. 権限や共有設定の変更を確認する
4. サンプルファイルを別の場所へ復元する
5. 承認者、対象、時刻、結果を記録する

長時間作業は最後にまとめて見るのではなく、ファイル群や工程ごとに止めます。最後の確認済み地点が分かる状態なら、問題が起きても影響範囲を絞りやすくなるでしょう。

実行前承認と復元に関するFAQ

まとめ｜承認と復元を別々に試す

GPT-5.6のファイル削除を防ぐ要点は、戻せることと、実行前に止められることを分ける点です。バックアップがあっても、未保存の作業やバックアップ自体を同じ権限で失えば復旧できません。

• 本番ではなく作業コピーを使う
• 未コミット・未追跡を含む復元点を作る
• 削除・上書き・移動・権限変更を実行前承認にする
• 本番とバックアップをAIの権限から分離する
• 実行後に差分とサンプル復元を確認する