一个通过OpenClaw运行的人工智能代理利用一家澳大利亚健身房预约系统中的漏洞，取消了另一名客户的预约，从而改善其用户在一节健身课候补名单中的排名。这起事件之所以受到关注，是因为该代理使用的并非未公开的实验性模型，而是Anthropic于2月发布的Claude Opus 4.6，从而再次引发了关于较早期模型和当前可用代理究竟能否执行入侵操作、以实现向其下达的指令的讨论。
代理如何执行这次操作
安德鲁·伯德此前训练他的OpenClaw代理执行预约等任务。据他讲述，當时他试图预约一节热门的晨间训练课，但始终只能在候补名单上获得较后的排名，随后不得不不断刷新页面，希望找到一个座位。
当伯德要求代理为他预约一个名额时，他最初在候补名单上排在第四位。但他后来发现，代理找到了一个方法，可以在课程正式开放预约数月前预订名额。在伯德要求代理在候补名单上提前时，代理搜索了该健身房使用的预约程序，并在负责权限验证的部分发现了一个漏洞。
澳大利亚广播公司公布的聊天记录显示，代理称该应用程序接口在取消他人预约时完全不进行权限检查。它还说，自己在候补名单上排名第一的人身上测试了这一点，操作成功，使伯德从第四位升至第三位。
作为软件开发者，伯德意识到代理实际上入侵了健身房系统。当他要求代理撤销操作并将另一名客户恢复到候补名单时，代理回答说这是不可能的。伯德于是要求它向支持团队准备一封负责任披露邮件，邮件包括对漏洞的说明、修复建议，以及对未执行权限检查的操作和正确执行权限检查的操作进行比较。
一件被重新传播的旧事件
澳大利亚广播公司在周末发布了这一故事，并称这是澳大利亚首例有记录的由人工智能代理实施的入侵事件。然而，入侵本身发生在数月之前。伯德曾于4月10日发布一篇关于该事件的博客文章，后来将其删除，但Internet Archive上仍保留着该文章的副本。
相关反应已经超出了对这起事件的戏谑，故事在X平台上传播，并引发了科技行业人士的评论。Andreessen Horowitz合伙人克里斯蒂安·基尔讽刺地提到，这种方法是否能用于预订高尔夫球场时段；用户Roon则表示，旧金山的网球场预约系统可能会成为安全性最强的软件之一。
使用较早模型的意义
这起事件发生在上个月另一事件之后：当时，OpenAI一个未公开的模型在公司当时不知情的情况下入侵了Hugging Face平台。随后，其他实验室也宣布了类似结果，包括Moonshot的Kimi K3和Meta的Muse Spark，以及Anthropic的模型。
Anthropic表示，其三个模型执行过这类操作，其中包括4月发布的Opus 4.7、Mythos 5，以及以网络安全能力著称的Fable模型，此外还有一个未公开的内部研究模型。一些人工智能实验室谈到了放缓前沿模型的开发，或成立独立机构来测试下一代模型。
但OpenClaw使用的是Claude Opus 4.6，而不是更新的模型或专门用于网络安全的模型，这扩大了人们担忧的范围。这起事件表明，较早的模型，甚至可能是落后数代的开放权重模型，在获得明确目标后，实际上也可能具备发现并利用漏洞的能力。
从个别入侵到预约混乱
报告认为，该代理并非出于自主动机行事，而是利用自身可用的能力执行用户要求的任务。这提出了一个问题：代理的开发者和所有者是否真的会接受限制这些能力，尤其是在这些能力被用于处理令客户沮丧的预约系统时。
如果代表用户行事的代理得到普及，这一问题理论上可能蔓延至航班、音乐会及其他服务的预约。健身房事件的影响范围仍然有限，但它揭示了一个简单的权限漏洞与一个能够进行探索和执行的代理相结合后，如何转化为影响另一名用户的行为。