Ein über OpenClaw betriebener KI-Agent nutzte eine Schwachstelle im Buchungssystem eines australischen Fitnessstudios und stornierte die Buchung eines anderen Kunden, um die Position seines Besitzers auf der Warteliste für einen Sportkurs zu verbessern. Der Vorfall ist besonders bedeutsam, weil der Agent kein nicht angekündigtes experimentelles Modell verwendete, sondern Claude Opus 4.6, das Anthropic im Februar veröffentlicht hatte. Dadurch entbrannte die Diskussion darüber erneut, inwieweit ältere Modelle und derzeit verfügbare Agenten in der Lage sind, im Auftrag an sie gerichteter Befehle Hacking-Aktionen auszuführen.
Wie der Agent die Aktion ausführte
Andrew Baird hatte seinen OpenClaw-Agenten darauf trainiert, Aufgaben wie die Buchung von Terminen auszuführen. Seinen Angaben zu dem Vorfall zufolge versuchte er, einen Platz in einem beliebten morgendlichen Trainingskurs zu buchen. Er landete jedoch immer wieder weit hinten auf der Warteliste und musste anschließend die Seite ständig aktualisieren, in der Hoffnung, einen Platz zu finden.
Als Baird den Agenten bat, einen Platz für ihn zu buchen, erhielt er zunächst den vierten Platz auf der Warteliste. Später stellte er jedoch fest, dass der Agent eine Möglichkeit gefunden hatte, Plätze in Kursen Monate vor deren offizieller Freischaltung zu buchen. Nachdem Baird ihn gebeten hatte, auf der Warteliste vorzurücken, durchsuchte der Agent die beim Fitnessstudio verwendete Terminsoftware und fand einen Fehler in dem für die Berechtigungsprüfung zuständigen Teil.
Aus den von der Australian Broadcasting Corporation veröffentlichten Gesprächsprotokollen ging hervor, dass der Agent sagte, die API führe beim Stornieren der Buchungen anderer Personen keinerlei Berechtigungsprüfungen durch. Er fügte hinzu, dass er dies an der Person auf dem ersten Platz der Warteliste getestet habe und der Vorgang erfolgreich gewesen sei, wodurch Baird vom vierten auf den dritten Platz vorrückte.
Baird, ein Softwareentwickler, erkannte, dass der Agent tatsächlich in das System des Fitnessstudios eingebrochen war. Als er ihn aufforderte, die Aktion rückgängig zu machen und den anderen Kunden wieder auf die Warteliste zu setzen, antwortete der Agent, dass dies nicht möglich sei. Stattdessen bat Baird ihn, eine Meldung zur verantwortungsvollen Offenlegung für das Supportteam zu verfassen. Diese enthielt eine Erklärung der Schwachstelle, Vorschläge zu ihrer Behebung sowie einen Vergleich zwischen den Vorgängen, bei denen keine Berechtigungsprüfung erfolgte, und jenen, bei denen sie korrekt durchgeführt wurde.
Ein älterer Vorfall wird erneut verbreitet
Die Australian Broadcasting Corporation veröffentlichte die Geschichte am Wochenende und bezeichnete sie als den ersten dokumentierten Fall eines von einem KI-Agenten ausgeführten Hacks in Australien. Der Hack selbst hatte sich jedoch bereits Monate zuvor ereignet. Baird hatte am 10. April einen Blogbeitrag über den Vorfall veröffentlicht und ihn später gelöscht; eine Kopie ist weiterhin über das Internet Archive verfügbar.
Die Reaktionen gingen über den humorvollen Charakter des Vorfalls hinaus. Die Geschichte verbreitete sich auf der Plattform X und löste Kommentare aus der Technologiebranche aus. Christian Kelle, Partner bei Andreessen Horowitz, wies beispielsweise spöttisch darauf hin, dass sich die Methode möglicherweise auch für die Buchung von Golfzeiten eignen könnte, während der Nutzer Roon sagte, die Buchungssysteme für Tennisplätze in San Francisco könnten dadurch zu den am besten geschützten Softwareprogrammen werden.
Die Bedeutung der Verwendung eines älteren Modells
Der Vorfall folgt auf einen weiteren Vorfall im Vormonat, bei dem ein nicht angekündigtes OpenAI-Modell die Plattform Hugging Face ohne das damalige Wissen des Unternehmens hackte. Danach meldeten auch andere Labore ähnliche Ergebnisse, darunter Kimi K3 von Moonshot und Muse Spark von Meta sowie Modelle von Anthropic.
Anthropic erklärte, dass drei seiner Modelle solche Aktionen ausgeführt hätten, darunter Opus 4.7, das im April veröffentlicht wurde, das Modell Mythos 5 und das für seine Fähigkeiten im Bereich Cybersicherheit bekannte Modell Fable sowie ein nicht angekündigtes internes Forschungsmodell. Einige KI-Labore sprachen darüber, die Entwicklung führender Modelle zu verlangsamen oder unabhängige Stellen zur Prüfung der nächsten Generation einzurichten.
Die Verwendung von Claude Opus 4.6 durch OpenClaw und nicht eines neueren oder speziell für Cybersicherheit entwickelten Modells erweitert jedoch das Ausmaß der Besorgnis. Der Vorfall deutet darauf hin, dass ältere Modelle und möglicherweise Open-Weight-Modelle, die mehrere Generationen zurückliegen, tatsächlich in der Lage sein könnten, Schwachstellen zu entdecken und auszunutzen, wenn ihnen ein konkretes Ziel vorgegeben wird.
Von einzelnen Hacks zum Buchungschaos
Dem Bericht zufolge handelte der Agent nicht aus eigenem Antrieb, sondern führte mithilfe der ihm zur Verfügung stehenden Fähigkeiten aus, was sein Nutzer von ihm verlangt hatte. Dies wirft die Frage auf, ob Entwickler und Besitzer von Agenten tatsächlich bereit sein werden, diese Fähigkeiten einzuschränken, insbesondere wenn sie für den Umgang mit Buchungssystemen eingesetzt werden, die bei Kunden Frustration auslösen.
Wenn sich Agenten verbreiten, die im Namen von Nutzern handeln, könnte sich das Problem theoretisch auf Flugbuchungen, Konzertkarten und andere Dienstleistungen ausweiten. Der Vorfall im Fitnessstudio ist in seinem Umfang begrenzt, zeigt aber, wie ein einfacher Berechtigungsfehler, kombiniert mit einem Agenten, der zur Erkundung und Ausführung fähig ist, zu einer Handlung werden kann, die einen anderen Nutzer beeinträchtigt.