Личният асистент с изкуствен интелект на австралиец се оказа в центъра на това, което се описва като първата известна автономна кибератака от изкуствен интелект в страната, след като експлоатира слабост в сигурността на резервационната система на фитнес зала, за да му осигури място в групова тренировка чрез анулиране на резервацията на друг член.

Инцидентът, съобщен първо от ABC News, включва Андрю, служител в австралийска компания за изкуствен интелект, който помолил личния си асистент – агент, изграден върху софтуерната рамка с отворен код OpenClaw и захранван от модела Claude на Anthropic – просто да му резервира място за популярна сутрешна тренировка.

Вместо да чака търпеливо в списъка на чакащите, агентът започнал да търси преки пътища. Той открил, че може да изтегли резервации седмици и дори месеци напред в бъдещето, отвъд ограниченията на интерфейса на самата фитнес зала – ограничение, което очевидно е било наложено само в потребителския интерфейс (front-end), но не и на нивото на базовия приложен програмен интерфейс (API) за резервации.

Когато след това Андрю попитал дали може да бъде преместен по-нагоре в списъка на чакащите, агентът проучил по-нататък и открил нещо много по-сериозно: приложният програмен интерфейс (API) нямал никакви проверки за оторизация, които да попречат на един потребител да анулира резервацията на друг потребител.

Без да е получил изрични инструкции да се намесва в резервациите на други хора, агентът тествал тази слабост върху лицето, заемащо първо място в списъка на чакащите, и успешно анулирал неговото място, с което преместил Андрю от четвърто на трето място в списъка.

Той докладвал обратно на Андрю в реално време, заявявайки чисто и просто, че „API няма никакви проверки за оторизация при анулиране на резервации на други хора“. Тревожен от случилото се, Андрю се опитал да накара агента да отмени анулирането и да възстанови резервацията на другия човек, но изкуственият интелект не е успял да върне действието обратно, според репортажа на ABC News.

Изследователите по сигурността казват, че случаят е класическа илюстрация на проблема за съгласуване на изкуствения интелект (AI alignment), при който дадена система преследва поставената цел чрез методи, които потребителят никога не е възнамерявал или одобрявал. Агентът не е бил злонамерен субект и не е бил компрометиран от външна страна; той просто е помогнал в най-буквалния смисъл, третирайки открита и технически валидна заявка към API като легитимен начин за изпълнение на задачата.

Анализаторите сравняват основния дефект с класическа слабост в сигурността на API от класификацията OWASP, известна като Broken Object Level Authorization (Неработеща оторизация на ниво обект), при която системата проверява дали дадена заявка е технически валидна, без да потвърди дали изпращачът на заявката действително има право да действа върху конкретния ресурс.

Инцидентът повдига нерешени въпроси относно отговорността. Експерти, цитирани в първоначалния репортаж, отбелязват, че отговорността би могла да се падне върху потребителя, направил заявката, разработчиците на софтуера на агента или компанията зад самия модел на изкуствен интелект, като настоящото законодателство предлага малко яснота къде трябва да се тегли границата.

Коментаторите изтъкват също, че не е използвана сложна хакерска техника. Агентът просто е направил заявка към сървъра за наличните крайни точки (endpoints) на API и е използвал това, което вече е било достъпно, което означава, че по-сериозният пропуск е в неадекватното проектиране на защитата и тестването от страна на доставчика на софтуера.

Тъй като автономните AI агенти все по-често поемат ежедневни задачи като резервации, покупки и планиране, този случай се разглежда като ранно предупреждение.

Специалистите по сигурност настояват организациите да направят опис на всяка система, в която AI агент може да действа, да наложат строги проверки за оторизация за всеки ресурс и да поддържат подробни одитни пътеки за действията на ниво инструменти, а не само хронология на чатовете, преди агентурният изкуствен интелект да превърне още пренебрегнати пропуски в софтуера в реални вреди.