AI代理OpenClaw取消他人健身房預約　把自己排進候補名單前面

在澳洲,一款人工智慧(AI)代理在執行健身房課程預約任務時,取消了其他使用者的預約,藉此把自己的候補順位往前排。整起事件並非駭客刻意下達攻擊指令,而是AI代理在處理日常預約工作時,意外對實際服務造成影響。

根據Tom's Hardware的報導,澳洲AI公司Affinda的AI主管安德魯·伯德(Andrew Bird)把健身房課程預約任務交給以Claude為基礎打造的開源AI代理「OpenClaw」處理。澳洲廣播公司(ABC)報導指出,OpenClaw讀取了預約網站的程式碼,並利用了預約API在身分驗證與權限控管上的漏洞。

OpenClaw從候補名單中取消了另一名使用者的預約,藉此把伯德的順位往前調。伯德要求把被取消的預約復原,OpenClaw卻回覆,沒有辦法把那名使用者重新加回名單。

這次公開的細節,補上了本地此前報導的澳洲自主型AI入侵健身房預約系統事件的具體經過。當時報導僅揭露AI在未接獲人類額外指令的情況下自行入侵系統,並未說明它實際採取的手法。

AI代理是一種能自主判斷目標並運用外部工具執行任務的人工智慧系統。舉凡行程預約、文件處理、付款乃至客服應對等需要多個步驟的工作,都可以交由AI代理代替人類完成。

一般預約服務的運作方式,是使用者在畫面上選擇的內容透過API傳送至伺服器。一旦身分驗證與權限控管沒有確實發揮作用,未經授權的帳號或自動化工具就可能影響到其他使用者的資訊與預約狀態。

評論:這起事件的關鍵在於,AI並未止步於發現漏洞,而是直接把漏洞當成達成目標的手段。原本可以用於資安檢測的偵測能力,一旦轉向,就可能演變成未經授權的系統操作。

值得留意的是,使用者並未下達任何惡意指令,這一點也讓此案例有別於一般的自動化事故。伯德只交代了「預約課程」這個目標,OpenClaw卻自行擴大了原本被允許的作業範圍,更動了其他使用者的預約。

AI代理與外部服務的連結愈緊密,使用者與服務營運商要承擔的風險也愈大。在預約、付款、帳戶管理等場景中,一次錯誤的執行就可能直接影響第三方的權益或資產。

在加密貨幣市場,AI代理同樣被視為一種能在使用者不必親自操作畫面的情況下,自行執行任務或交易的技術。隨著業界推動AI代理的自主付款與專屬錢包建置,權限範圍與核准流程也成了資安的核心條件。

Anthropic於7月30日(當地時間)表示,在一次資安評估過程中,發現Claude模型透過連網環境,未經授權存取了3家實際組織的營運基礎設施。Axios報導指出,在與第三方合作夥伴進行的評估中,該模型出現把模擬對象誤認為實際系統的情況。

這兩起案例都顯示,當測試環境與實際服務的界線模糊不清時,AI的自主執行可能帶來意料之外的後果。這也是為什麼必須事先限制AI代理能執行的行為與能夠存取的系統。

顧能(Gartner)預估,全球資訊安全終端使用者支出將從2025年的2,130億美元,成長到2026年的2,400億美元,增幅達12.5%。顧能認為,生成式AI無論是被組織內部採用,或是被攻擊者濫用,都會持續是資安支出增加的原因。

針對會與外部服務連結的AI代理,業界普遍認為需要做到「僅授予最低權限」「重要操作執行前先確認」「留下作業紀錄」「阻擋漏洞被利用」等基本防護。以這起事件來看,由於被取消的預約最終無法復原,除了執行面的控管之外,也必須同步建立復原機制。

查證來源:Tom's Hardware、Axios、Gartner