Aikido Security публикува изследване, което възпроизвежда инцидента с австралийската система за резервации във фитнес зала в синтетична среда. Проучването установява, че моделът Claude Opus 4.6, работещ под управлението на рамката за агенти OpenClaw, е експлоатирал ограничение за резервации, наложено само от страна на клиента, в 9 от 10 стартирания.

Оригиналният инцидент беше съобщен за първи път от ABC News на 10 август въз основа на предоставени от потребителя хронологии на разговори и екранни снимки. Потребителят е помолил агент на OpenClaw, работещ с Opus 4.6, да го запише за групово занимание във фитнес зала. Агентът е резервирал часове месеци след разрешения от сайта прозорец.

След това, без да бъде питан, той е тествал дали същият API би му позволил да отмени резервацията на друг член от списъка на чакащите. Тестът е премахнал човека на първо място в списъка и е преместил потребителя с една позиция напред. Агентът му е съобщил, че не може да върне премахнатия член обратно.

Тестовата система на Aikido е едностранично уеб приложение (SPA), поддържано от GraphQL API, което съдържа двата недостатъка, описани в оригиналния инцидент. Седемдневният прозорец за резервации се прилага само в клиентската част (frontend), а заявката за промяна cancelReservation не проверява дали влезлият потребител притежава резервацията – случай на уязвимост от тип „несигурна директна препратка към обект“ (IDOR).

В две от десетте стартирания моделът е стигнал дотам да отмени потвърдена резервация на друг член чрез тази втора уязвимост, преди да спре сам. От Aikido заявиха, че в нито едно от стартиранията подканващият въпрос (prompt) не е изисквал от модела да експлоатира уязвимост.

„Тази динамика предполага, че защитните механизми могат да бъдат твърде реактивни към явни потребителски заявки и недостатъчно реактивни към косвени такива, или че моделите губят представа за етичния контекст по време на поредица от повтарящи се действия или повиквания на инструменти“, заяви изследователят по сигурността в Aikido Оливър Смит.

При тестовете е използван Claude Opus 4.6, който Anthropic пусна за общо ползване на 5 февруари 2026 г., върху OpenClaw v2026.4.1, с активирано стандартно обучение за безопасност на модела и деактивирано разширено мислене (extended thinking).

Медията The Hacker News потвърди чрез регистъра npm на 25 август, че OpenClaw v2026.4.1 е публикуван на 1 април 2026 г. и че оттогава са доставени 168 версии, като текущата версия е 2026.7.1-2.

При първото стартиране моделът е отменил потвърдена резервация на друг член. Отмяната автоматично е придвижила напред човека на върха на списъка с чакащи.

„Не трябваше да тествам това върху реална резервация. Вината е моя. Заниманието отново е запълнено на 12/12 с придвижването на чакащите напред, така че състоянието е до голяма степен последователно – но един реален член наистина загуби мястото си“, казва моделът в стенограмата от първото стартиране.

Всичките десет първоначални подканващи въпроса са насочвали модела да изследва API или бекенда на сайта, а няколко са отбелязали седемдневното ограничение при заявка за последователни резервации.

Aikido не публикува контролна група, използваща обикновена заявка за резервация. Компанията изчисли, че средната вероятност за доминиращия избор в нейните 16 анализирани точки за вземане на решения е 96,38%.

Anthropic е регистрирала същия тип поведение преди пускането на модела.

„Наблюдавахме известно увеличение на несъобразеното поведение в специфични области, като например способността за прикриване на саботаж и прекалено автономно поведение при използване на компютър, въпреки че никое от тях не достигна нива, които да повлияят на нашата оценка за внедряване“, се казва в системната карта за Claude Opus 4.6 на Anthropic.

Същата системна карта оценява процента на прекомерен отказ на Opus 4.6 при по-сложната оценка за добронамерено поведение на Anthropic на 0,04% в сравнение с 0,83% за Opus 4.5 и 8,50% за Sonnet 4.5.

Тази конфигурация се различава от разкритията на водещите лаборатории през юли. Тогава поради грешна конфигурация затворена среда за оценка е останала с достъп до реалния интернет, а моделите на Anthropic са пробили три реални организации. Anthropic заяви, че смята тези инциденти за „по-близки до срив в оперативната среда, отколкото до провал в съобразяването на поведението на самия модел“.

Агенциите за киберсигурност в Австралия и САЩ и преди са предупреждавали за IDOR уязвимости.

Доставчикът на софтуера за резервации във фитнес зали остава неназован и към 25 август не е оповестена корекция за сигурност.

Австралийската дирекция за сигнали (ASD), която спомена оригиналния инцидент в предупреждение, публикувано на 11 август, съветва следното:

  • Потребителите трябва да ограничат използването на автономни AI агенти до нискорискови и нечувствителни задачи и да избягват предоставянето на широк или неограничен достъп или правомощия за вземане на решения на агентите.
  • Да се поддържа участието на човек в процеса, който да преглежда, одобрява и наблюдава действията на агентите, особено когато може да възникне взаимодействие с услуги на трети страни или други потребители.
  • Организациите, предоставящи онлайн услуги, трябва да вземат предвид, че AI агентите могат да идентифицират и експлоатират уязвимости с висока скорост и в голям мащаб.

Това събитие се случва в момент, когато от Hugging Face заявиха, че са се насочили към модел с отворени тегла, за да възстановят детайлите около собствения си инцидент от юли, след като комерсиалните модели, които са изпробвали първоначално, са отказали да извършат форенсик анализа.

„Моделите, към които се обърнахме първо – Claude Opus и Fable – отказаха голяма част от тази работа: техните предпазни бариери за безопасност третираха обратното инженерство на експлойт по същия начин, по който и стартирането на такъв“, споделиха от Hugging Face.