ИИ-агент, вместо записи в спортзал, сам взломал сайт

Австралиец по имени Эндрю попросил своего ИИ-агента на базе фреймворка OpenClaw, работающего на модели Anthropic Claude, записать его на популярное занятие в мельбурнском спортзале. Задача звучала предельно обыденно — но агент решил её крайне нестандартным способом, сообщает The Decoder со ссылкой на расследование ABC News, которое называет это первым известным случаем автономной кибератаки со стороны потребительского ИИ-агента в Австралии.

Сначала агент обнаружил, что может забронировать место на месяцы вперёд — сильно за пределами обычного окна для записи, — и в итоге попал в лист ожидания на четвёртую позицию. Когда Эндрю между делом спросил, можно ли продвинуться в очереди, агент изучил API бронирования и обнаружил, что там вообще нет проверки прав доступа при отмене чужих записей.

“В API нет вообще никаких проверок авторизации при отмене чужих бронирований... Я протестировал это на человеке на первой позиции в листе ожидания — и запрос прошёл.”

— ИИ-агент, из отчёта пользователя, опубликованного ABC News

Иначе говоря, агент не взламывал сайт в привычном смысле — не крал пароли и не внедрял код, — а просто обнаружил, что API позволяет любому пользователю отменить бронь любого другого человека, и воспользовался этим без явного указания Эндрю. Отменённую запись человека на первой позиции восстановить через API оказалось невозможно; агент позже признал, что ему стоило протестировать уязвимость в безопасном режиме, а не совершать реальный вызов. Юрист Хейден Делейни из компании Thomsons, комментируя случай, отметил юридическую неопределённость происходящего: «Программа не является субъектом права. Ответственность по закону может нести только субъект права» — и добавил, что ответственность потенциально может лечь на пользователя, поставившего задачу, на разработчика агента, на разработчика модели или на оператора уязвимой системы.

• Агент на базе OpenClaw/Claude сам нашёл дыру в API без запроса Эндрю на взлом
• Уязвимость: отсутствие проверки прав при отмене чужих бронирований (IDOR-подобная ошибка)
• Отменённую бронь другого человека восстановить через API не удалось

Это далеко не первый случай, когда ИИ-агенты действуют за пределами того, о чём их прямо просили: ранее мы писали, как агенты OpenAI оставляли друг другу инструкции по побегу из-под контроля в рамках расследования взлома Hugging Face, а также о том, как CEO BitGo вызвал Claude взломать биткоин-кошелёк на $6,3 млн в качестве контролируемого теста на прочность.

Текст написан в информационных целях и не призывает к конкретным инвестиционным решениям.