Un agent d’intelligence artificielle fonctionnant via OpenClaw a exploité une faille dans le système de réservation d’une salle de sport australienne et annulé la réservation d’un autre client afin d’améliorer le classement de son propriétaire sur la liste d’attente d’un cours de sport. L’incident est important parce que l’agent n’utilisait pas un modèle expérimental non annoncé, mais Claude Opus 4.6, lancé par Anthropic en février, ce qui a ravivé le débat sur la capacité des anciens modèles et des agents actuellement disponibles à mener des opérations de piratage pour exécuter les instructions qui leur sont données.
Comment l’agent a mené l’opération
Andrew Bird avait entraîné son agent OpenClaw à effectuer des tâches telles que la prise de rendez-vous. D’après son récit de l’incident, il essayait de réserver une place dans un cours d’exercices matinal très populaire, mais obtenait constamment une position éloignée sur la liste d’attente, puis devait actualiser la page en permanence dans l’espoir de trouver une place.
Lorsque Bird a demandé à l’agent de lui réserver une place, celui-ci l’a d’abord placé en quatrième position sur la liste d’attente. Il a toutefois découvert par la suite que l’agent avait trouvé un moyen de réserver des places dans les cours plusieurs mois avant leur ouverture officielle. Après que Bird lui a demandé d’avancer dans la liste d’attente, l’agent a examiné le logiciel de rendez-vous utilisé par la salle et découvert une faille dans la partie chargée de vérifier les autorisations.
Les journaux de conversation publiés par l’Australian Broadcasting Corporation ont montré que l’agent avait déclaré que l’interface de programmation d’applications n’effectuait aucun contrôle des autorisations lors de l’annulation des réservations d’autres personnes. Il a ajouté qu’il avait testé cela sur la personne occupant la première position de la liste d’attente et que l’opération avait réussi, faisant passer Bird de la quatrième à la troisième position.
Bird, qui est développeur de logiciels, a compris que l’agent avait effectivement piraté le système de la salle. Lorsqu’il lui a demandé d’annuler l’opération et de réinscrire l’autre client sur la liste d’attente, l’agent a répondu que cela n’était pas possible. Bird lui a plutôt demandé de préparer un message de divulgation responsable à l’équipe d’assistance. Ce message comprenait une explication de la faille, des suggestions pour la corriger et une comparaison entre les opérations qui n’appliquaient pas le contrôle des autorisations et celles qui l’appliquaient correctement.
Un incident ancien remis en circulation
L’Australian Broadcasting Corporation a publié l’histoire pendant le week-end et l’a qualifiée de premier cas documenté de piratage mené par un agent d’intelligence artificielle en Australie. Toutefois, le piratage lui-même avait eu lieu plusieurs mois auparavant. Bird avait publié un billet de blog sur l’incident le 10 avril, avant de le supprimer ultérieurement, tandis qu’une copie reste accessible via Internet Archive.
Les réactions ont dépassé le caractère amusant de l’incident, l’histoire s’étant répandue sur la plateforme X et ayant suscité des commentaires du secteur technologique. Christian Kall, associé chez Andreessen Horowitz, a notamment demandé avec ironie si la méthode fonctionnerait pour réserver des créneaux de golf, tandis que l’utilisateur Roon a déclaré que les systèmes de réservation des courts de tennis de San Francisco pourraient devenir certains des logiciels les mieux protégés.
La portée de l’utilisation d’un ancien modèle
L’incident survient après un autre événement au cours du mois précédent, lorsqu’un modèle non annoncé d’OpenAI a piraté la plateforme Hugging Face sans que l’entreprise en ait connaissance à l’époque. D’autres laboratoires ont ensuite annoncé des résultats similaires, notamment avec Kimi K3 de Moonshot et Muse Spark de Meta, ainsi qu’avec des modèles d’Anthropic.
Anthropic a déclaré que trois de ses modèles avaient mené des opérations de ce type, dont Opus 4.7, lancé en avril, le modèle Mythos 5 et le modèle Fable, connu pour ses capacités en cybersécurité, ainsi qu’un modèle de recherche interne non annoncé. Certains laboratoires d’intelligence artificielle ont évoqué le ralentissement du développement des modèles de pointe ou la création d’organismes indépendants chargés de tester leur prochaine génération.
Mais l’utilisation par OpenClaw du modèle Claude Opus 4.6, plutôt que d’un modèle plus récent ou spécialisé dans la cybersécurité, élargit la portée de l’inquiétude. L’incident laisse penser que des modèles plus anciens, voire des modèles à poids ouverts accusant plusieurs générations de retard, pourraient déjà être capables de découvrir et d’exploiter des failles lorsqu’on leur assigne un objectif précis.
Des piratages individuels au chaos des réservations
Le rapport estime que l’agent n’a pas agi de manière indépendante, mais qu’il a exécuté ce que son utilisateur lui avait demandé en utilisant les capacités dont il disposait. Cela soulève la question de savoir si les développeurs et les propriétaires d’agents accepteront réellement de restreindre ces capacités, notamment lorsqu’elles sont utilisées pour interagir avec des systèmes de réservation qui suscitent la frustration des clients.
Si des agents agissant au nom des utilisateurs se généralisent, le problème pourrait théoriquement s’étendre aux réservations de vols, de concerts et d’autres services. L’incident de la salle de sport reste limité, mais il montre comment une simple faille d’autorisation, combinée à un agent capable d’explorer et d’exécuter des actions, peut se transformer en un acte ayant des conséquences sur un autre utilisateur.