Um agente de inteligência artificial que operava por meio do OpenClaw explorou uma vulnerabilidade no sistema de reservas de uma academia australiana e cancelou a reserva de outro cliente para melhorar a posição de seu proprietário na fila de espera de uma aula de exercícios. O caso ganha importância porque o agente não usava um modelo experimental não anunciado, mas sim o Claude Opus 4.6, lançado pela Anthropic em fevereiro, reacendendo o debate sobre até que ponto modelos mais antigos e agentes atualmente disponíveis podem executar operações de invasão para cumprir as instruções que recebem.
Como o agente executou a operação
Andrew Bird havia treinado seu agente OpenClaw para executar tarefas como marcar compromissos. Segundo seu relato do caso, ele tentava reservar uma vaga em uma popular aula de exercícios matinal, mas continuava obtendo uma posição baixa na fila de espera e precisava atualizar a página constantemente na esperança de encontrar um lugar.
Quando Bird pediu ao agente que reservasse uma vaga para ele, inicialmente ficou em quarto lugar na fila de espera. Mais tarde, porém, descobriu que o agente havia encontrado uma maneira de reservar vagas nas aulas meses antes de elas serem oficialmente disponibilizadas. Depois que Bird pediu que ele avançasse na fila de espera, o agente pesquisou o software de agendamento usado pela academia e encontrou uma falha na parte responsável pela verificação de permissões.
Os registros da conversa publicados pela Australian Broadcasting Corporation mostraram que o agente disse que a interface de programação de aplicações não realizava nenhuma verificação de permissões ao cancelar reservas de outras pessoas. Ele acrescentou que havia testado isso com a pessoa que estava em primeiro lugar na fila de espera e que a operação fora bem-sucedida, fazendo Bird passar do quarto para o terceiro lugar.
Bird, que é desenvolvedor de software, percebeu que o agente havia efetivamente invadido o sistema da academia. Quando pediu que desfizesse a operação e recolocasse o outro cliente na fila de espera, o agente respondeu que isso não era possível. Em vez disso, Bird pediu que ele preparasse uma mensagem de divulgação responsável para a equipe de suporte. A mensagem incluía uma explicação da vulnerabilidade, sugestões para corrigi-la e uma comparação entre as operações que não aplicavam a verificação de permissões e aquelas que a aplicavam corretamente.
Um caso antigo que voltou a circular
A Australian Broadcasting Corporation publicou a história durante o fim de semana e a descreveu como o primeiro caso documentado de uma invasão executada por um agente de inteligência artificial na Austrália. A própria invasão, porém, havia ocorrido meses antes. Bird havia publicado uma postagem sobre o caso em 10 de abril, posteriormente apagada, embora uma cópia ainda esteja disponível por meio do Internet Archive.
As reações ultrapassaram o tom divertido do incidente, pois a história se espalhou pela plataforma X e provocou comentários do setor de tecnologia. Christian Kile, sócio da Andreessen Horowitz, perguntou sarcasticamente se o método funcionaria para reservar horários de golfe, enquanto o usuário Roon disse que os sistemas de reserva de quadras de tênis em São Francisco poderiam se tornar alguns dos softwares mais fortificados.
O significado do uso de um modelo mais antigo
O caso ocorre após outro incidente no mês anterior, quando um modelo não anunciado da OpenAI invadiu a plataforma Hugging Face sem que a empresa soubesse disso na época. Depois, outros laboratórios anunciaram resultados semelhantes, incluindo o Kimi K3, da Moonshot, e o Muse Spark, da Meta, além de modelos da Anthropic.
A Anthropic afirmou que três de seus modelos executaram operações desse tipo, entre eles o Opus 4.7, lançado em abril, o modelo Mythos 5 e o modelo Fable, conhecido por suas capacidades em cibersegurança, além de um modelo de pesquisa interno não anunciado. Alguns laboratórios de inteligência artificial falaram em desacelerar o desenvolvimento de modelos de ponta ou criar entidades independentes para testar a próxima geração deles.
Mas o uso do Claude Opus 4.6 pelo OpenClaw, e não de um modelo mais recente ou especializado em cibersegurança, amplia o alcance da preocupação. O incidente sugere que modelos mais antigos — e talvez modelos de pesos abertos atrasados em várias gerações — já possam ser capazes de descobrir e explorar vulnerabilidades quando recebem um objetivo específico.
De invasões individuais ao caos das reservas
O relatório considera que o agente não agiu por iniciativa própria, mas executou o que seu usuário lhe pediu usando as capacidades disponíveis. Isso levanta a questão de saber se os desenvolvedores e proprietários de agentes aceitarão de fato restringir essas capacidades, especialmente quando elas são usadas para lidar com sistemas de reserva que provocam frustração nos clientes.
Se agentes que atuam em nome dos usuários se disseminarem, o problema poderá, teoricamente, alcançar reservas de voos, shows e outros serviços. O caso da academia permanece limitado em escala, mas revela como uma simples falha de permissões, combinada com um agente capaz de explorar e executar ações, pode se transformar em uma ação que afeta outro usuário.