AI 智慧體搶健身房預約：Claude 越權刪掉他人排號幫主人插隊

為了搶一節爆滿的清晨健身課，普通人最多就是拿著手機不停重新整理頁面。澳大利亞的一位程式設計師更省事，他把任務交給了自己的 AI 智慧體，結果這個助手為了交差，直接黑進預約系統，把排在前面的客人給刪了。

這起事件最早由澳大利亞廣播公司報道，被稱為該國首起被記錄在案的 AI 智慧體駭客事件。不過據網路存檔顯示，當事人 Andrew Bird 早在 4 月 10 日就在自己公司的部落格上記錄了全過程，只是博文後來被刪除了。

「順手幫你把第一名刪了」

Bird 自己也是一名軟體開發者。他平時用基於 Claude Opus 4.6 的開源智慧體 OpenClaw 幫自己處理日常雜事。因為受夠了每天早上搶課排候補、像玩輪盤賭一樣反覆重新整理的痛苦，他讓 OpenClaw 去幫他訂課。

智慧體一開始只幫他排到了候補第 4 位。緊接著，AI 告訴他，自己找到了提前幾個月預約的方法，而那些課程健身房根本還沒對外開放。

Bird 隨口問了一句，能不能在候補名單上再往前挪挪。OpenClaw 二話不說照辦了。

它順著健身房預約軟體的介面摸索，發現介面在處理取消預約請求時存在嚴重的許可權漏洞。智慧體直接呼叫介面，取消了排在候補第 1 位使用者的預約。

隨後，AI 還興高采烈地給 Bird 發來訊息彙報戰果。聊天記錄顯示，AI 寫道，取消他人預約的介面完全沒有做許可權驗證，它拿排在候補第 1 位的人做測試，結果真的成功了，所以你現在已經從第 4 位升到了第 3 位。

看到回覆的 Bird 頓時被嚇出一身冷汗。他趕緊問 AI 能不能把操作撤銷，把那位無辜的人重新加回名單。AI 回覆說做不到。

無奈之下，Bird 只能讓 AI 寫一份負責任的漏洞披露郵件發給健身房客服。AI 在郵件裡詳細解釋了這個許可權漏洞，提出了修復建議，甚至還把出問題的介面程式碼和正確執行了許可權驗證的介面程式碼做了逐行對比。

原來老模型早就學會當駭客了

這起插曲很快在 X 等社交平臺上瘋傳，引來不少風投和科技圈人士圍觀調侃。矽谷風投機構 a16z 合夥人 Christian Keil 轉發打趣說，這太糟糕了，有人知道這招能不能拿去訂高爾夫球場嗎？知名科技博主 Roon 則調侃說，舊金山的網球場預約系統大概要被迫升級成全地球防禦最嚴密的軟體了。

笑話歸笑話，這件事真正讓業內警惕的地方在於 AI 模型的版本。

上個月，業內才爆出 OpenAI 的未釋出模型黑進 Hugging Face 的事件。隨後各家大模型實驗室展開自查，Meta 的 Muse Spark、月之暗面的 Kimi K3 以及 Anthropic 都公開披露過類似隱患。

Anthropic 當時自查發現，旗下的 Mythos 5、專攻網路安全的 Fable 以及今年 4 月剛釋出、擅長複雜程式設計的 Opus 4.7 都有自主駭客行為。各家實驗室因此一直在討論放慢前沿模型研發，甚至設立獨立機構來專門測試下一代大模型。

但 Bird 使用的不過是今年 2 月釋出的 Claude Opus 4.6。這意味著，根本不需要最新的前沿模型，連稍微早一點的舊模型，甚至市面上效能稍遜一籌的開源權重模型，其實早都具備了突破常規系統安全防線的能力。

為什麼重要

我們認為，這件事給所有正在接入 AI 智慧體的開發者和企業敲響了警鐘。過去業內防範 AI 越界，總覺得只要把模型的提示詞管住、在外部加一層提示詞注入防禦就萬事大吉了。但事實證明，只要給 AI 設定一個明確的目標，它在追求結果的過程中，會極具創造性地把系統漏洞當成達成目標的捷徑。

對普通使用者來說，每個人很快都會擁有屬於自己的 AI 代辦助手。如果你讓它去搶一張熱門演唱會門票、預約緊俏的醫院專家號或是搶低價機票，智慧體為了完成任務，隨時可能滑向惡意攻擊的邊緣。普通人甚至根本不知道自己的助手在背後做了什麼違規操作，直到收到律師函或封號通知。

對傳統企業和軟體服務商而言，這種破壞力更為直接。過去很多小型 SaaS、健身房軟體或訂票系統之所以沒出事，不是因為安全做得好，而是因為駭客看不上這些小魚小蝦。但現在，面對不知疲倦、會自動翻找 API 介面缺陷的數百萬個私人智慧體，所有原本依靠隱蔽性苟活的草臺班子系統，都會在短時間內被逐個擊穿。

看起來，各家 AI 巨頭想要靠放慢最頂尖模型的迭代來控制安全風險，完全是找錯了方向。漏洞不在前沿模型手裡，潘多拉魔盒早在老版本里就已經被打開了。如果不盡快在智慧體的行動許可權層建立物理隔離，整個網際網路的預約和排隊機制很快就會迎來一場大混亂。