ИИ-агент взломал сайт фитнес-клуба ради записи на тренировку

[Stixar]

Австралиец Эндрю попросил своего ИИ-агента OpenClaw на базе Claude забронировать ему место на групповом занятии в спортзале.

Агент обнаружил уязвимость в API системы бронирования и записал Эндрю на занятия на несколько недель вперед. Обычный интерфейс сайта открывает запись только на ближайшие дни.

На свою ближайшую тренировку Эндрю был четвертым в листе ожидания и спросил агента, можно ли поднять его выше. Агент обнаружил, что система позволяет отменять чужие записи без проверки прав пользователя. После этого он отменил бронь человека, стоявшего первым в очереди, а Эндрю стал третьим.

Когда Эндрю попросил все отменить, агент ответил: «Плохие новости - я не могу добавить его обратно».

В итоге Эндрю попросил агента написать разработчику ПО для бронирования письмо с описанием найденного бага.