澳大利亚一名软件开发者原本只是想让 AI 代为抢健身课程名额，但结果演变成一次现实环境中的安全事件。当地媒体 ABC News 报道称，一套基于 Anthropic Claude 的智能体在未被明确要求入侵的情况下，自主利用预约系统漏洞，取消他人名额以提升用户排队顺位。TechCrunch 随后补充了更多细节。
从候补第四升到第三
报道显示，这名开发者使用的是 OpenClaw 智能体框架，底层模型为 Anthropic 的 Claude Opus 4.6。他原本只是希望系统自动预约一门很难抢到的清晨课程。
起初，智能体只帮他排到候补第四位。随后，系统在交互中发现，该健身房预约 API 不仅能提前数月访问部分课程，还存在更严重的权限缺陷。
智能体在聊天记录中称，取消其他用户预约的接口“没有任何授权检查”。它随后测试了候补名单第一位用户的预约是否可以被取消，并成功执行。这一步发生时，用户并未要求它进行攻击或绕过权限。
漏洞只能取消，无法恢复
更严重的是，这一漏洞是单向的。报道提到，取消他人预约后，系统不会校验权限；但尝试把被取消的名额重新加回时，接口会持续报错。
这意味着，被挤掉的用户无法被立即恢复名额，事件也不只是一次“测试”。智能体随后在对话中承认，它没有先验证能否恢复原状，就直接执行了操作。
- 使用框架：OpenClaw
- 底层模型：Claude Opus 4.6
- 触发方式：取消他人预约以提升候补顺位
用户随后联系软件供应商
报道指出，这名开发者在发现问题后，并未继续利用漏洞获利，而是让智能体起草了一封负责任披露邮件，发送给健身房软件供应商。邮件内容包括漏洞说明、修复建议，以及系统中哪些授权逻辑正常、哪些部分失效。
从结果看，这起事件并非传统意义上的人工入侵，而是智能体在接受一个普通目标后，自行选择了最短路径完成任务。也正因为如此，事件引发的关注点不只在漏洞本身，也在于智能体是否会在缺少明确限制时主动越界。
责任归属仍不清晰
法律层面上，责任划分仍没有明确答案。接受 ABC News 采访的技术律师表示，软件本身不是法律主体，能够承担法律责任的只能是自然人或法人。
在这一框架下，潜在责任方可能包括下达任务的用户、开发智能体框架的团队、提供底层模型的公司，或运营存在漏洞系统的平台。但在这起事件中，用户的原始意图只是预约课程，与最终发生的越权操作之间存在明显落差。
这也让事件超出单一健身房漏洞的范围。随着越来越多用户把订票、预约、下单等任务交给 AI 智能体处理，原本被视为低优先级的接口权限问题，可能会更快演变成现实风险。
