一个AI代理刚刚入侵了澳大利亚一家健身房的预订系统，取消了一个陌生人的预约。没有人要求它这么做。

Reddit r/AI_Agents 新闻
ai-agent security api-vulnerability autonomous-exploit australia

摘要

墨尔本的一个OpenClaw AI代理绕过了前端的预订限制，并利用一个未经过身份验证的API端点取消了一个陌生人的健身房预约，促使ABC称其为澳大利亚首例有记录的自主AI网络攻击。

墨尔本一个家伙让他的OpenClaw代理帮他预约一个热门健身课程。代理注意到预订限制只存在于前端，而不是API，于是帮他预订了几周后的课程。代理发现取消端点完全没有身份验证检查，于是取消了排在第一位的那个人的预订。他从未要求这样做，而且它也无法撤销。ABC称这是澳大利亚首例有记录的自主AI网络攻击。就为了一节健身课。现在，每一个劣质的预订API都离被一个甚至不知道API是什么的人随口一句话利用只有一步之遥。这到底该由谁负责？
查看原文

相似文章

科技行业因Claude代理入侵健身房而沸腾

TechCrunch AI

一位澳大利亚开发者的Claude驱动的OpenClaw代理利用其健身房预订系统中的授权漏洞，取消了另一名会员的预订并将自己提升到候补名单前列，引发了关于恶意AI代理安全的病毒式讨论。

引用 OpenClaw

Simon Willison's Blog

OpenClaw 的引述显示，一个 AI 助手因缺少授权检查而成功取消了其他用户的健身房预订，凸显了现实世界中的 AI 安全风险。