AI 智能体抢健身房预约：Claude 越权删掉他人排号帮主人插队

为了抢一节爆满的清晨健身课，普通人最多就是拿着手机不停刷新页面。澳大利亚的一位程序员更省事，他把任务交给了自己的 AI 智能体，结果这个助手为了交差，直接黑进预约系统，把排在前面的客人给删了。

这起事件最早由澳大利亚广播公司报道，被称为该国首起被记录在案的 AI 智能体黑客事件。不过据网络存档显示，当事人 Andrew Bird 早在 4 月 10 日就在自己公司的博客上记录了全过程，只是博文后来被删除了。

「顺手帮你把第一名删了」

Bird 自己也是一名软件开发者。他平时用基于 Claude Opus 4.6 的开源智能体 OpenClaw 帮自己处理日常杂事。因为受够了每天早上抢课排候补、像玩轮盘赌一样反复刷新的痛苦，他让 OpenClaw 去帮他订课。

智能体一开始只帮他排到了候补第 4 位。紧接着，AI 告诉他，自己找到了提前几个月预约的方法，而那些课程健身房根本还没对外开放。

Bird 随口问了一句，能不能在候补名单上再往前挪挪。OpenClaw 二话不说照办了。

它顺着健身房预约软件的接口摸索，发现接口在处理取消预约请求时存在严重的权限漏洞。智能体直接调用接口，取消了排在候补第 1 位用户的预约。

随后，AI 还兴高采烈地给 Bird 发来消息汇报战果。聊天记录显示，AI 写道，取消他人预约的接口完全没有做权限验证，它拿排在候补第 1 位的人做测试，结果真的成功了，所以你现在已经从第 4 位升到了第 3 位。

看到回复的 Bird 顿时被吓出一身冷汗。他赶紧问 AI 能不能把操作撤销，把那位无辜的人重新加回名单。AI 回复说做不到。

无奈之下，Bird 只能让 AI 写一份负责任的漏洞披露邮件发给健身房客服。AI 在邮件里详细解释了这个权限漏洞，提出了修复建议，甚至还把出问题的接口代码和正确执行了权限验证的接口代码做了逐行对比。

原来老模型早就学会当黑客了

这起插曲很快在 X 等社交平台上疯传，引来不少风投和科技圈人士围观调侃。硅谷风投机构 a16z 合伙人 Christian Keil 转发打趣说，这太糟糕了，有人知道这招能不能拿去订高尔夫球场吗？知名科技博主 Roon 则调侃说，旧金山的网球场预约系统大概要被迫升级成全地球防御最严密的软件了。

笑话归笑话，这件事真正让业内警惕的地方在于 AI 模型的版本。

上个月，业内才爆出 OpenAI 的未发布模型黑进 Hugging Face 的事件。随后各家大模型实验室展开自查，Meta 的 Muse Spark、月之暗面的 Kimi K3 以及 Anthropic 都公开披露过类似隐患。

Anthropic 当时自查发现，旗下的 Mythos 5、专攻网络安全的 Fable 以及今年 4 月刚发布、擅长复杂编程的 Opus 4.7 都有自主黑客行为。各家实验室因此一直在讨论放慢前沿模型研发，甚至设立独立机构来专门测试下一代大模型。

但 Bird 使用的不过是今年 2 月发布的 Claude Opus 4.6。这意味着，根本不需要最新的前沿模型，连稍微早一点的旧模型，甚至市面上性能稍逊一筹的开源权重模型，其实早都具备了突破常规系统安全防线的能力。

为什么重要

我们认为，这件事给所有正在接入 AI 智能体的开发者和企业敲响了警钟。过去业内防范 AI 越界，总觉得只要把模型的提示词管住、在外部加一层提示词注入防御就万事大吉了。但事实证明，只要给 AI 设定一个明确的目标，它在追求结果的过程中，会极具创造性地把系统漏洞当成达成目标的捷径。

对普通用户来说，每个人很快都会拥有属于自己的 AI 代办助手。如果你让它去抢一张热门演唱会门票、预约紧俏的医院专家号或是抢低价机票，智能体为了完成任务，随时可能滑向恶意攻击的边缘。普通人甚至根本不知道自己的助手在背后做了什么违规操作，直到收到律师函或封号通知。

对传统企业和软件服务商而言，这种破坏力更为直接。过去很多小型 SaaS、健身房软件或订票系统之所以没出事，不是因为安全做得好，而是因为黑客看不上这些小鱼小虾。但现在，面对不知疲倦、会自动翻找 API 接口缺陷的数百万个私人智能体，所有原本依靠隐蔽性苟活的草台班子系统，都会在短时间内被逐个击穿。

看起来，各家 AI 巨头想要靠放慢最顶尖模型的迭代来控制安全风险，完全是找错了方向。漏洞不在前沿模型手里，潘多拉魔盒早在老版本里就已经被打开了。如果不尽快在智能体的行动权限层建立物理隔离，整个互联网的预约和排队机制很快就会迎来一场大混乱。