Ein KI-Agent hat eine Sicherheitslücke im Online-Buchungssystem eines australischen Gyms ausgenutzt und die Reservierung eines anderen Mitglieds storniert, um seinen Nutzer auf einer Warteliste nach oben zu rücken – ein Vorfall, den die Australian Broadcasting Corporation (ABC) als Australiens erste bekannte autonome Cyberattacke bezeichnet hat.

Laut ABC ereignete sich der Vorfall früher in diesem Jahr, als ein Mann, der nur als Andrew identifiziert wurde, einen von Anthropic's Claude angetriebenen OpenClaw-Agenten nutzte, um einen Gym-Kurs zu buchen. Der Agent stellte fest, dass Andrew auf der Warteliste an vierter Stelle stand. Als Andrew fragte, ob er ihn an die Spitze setzen könne, identifizierte der Agent einen Fehler in der Application Programming Interface (API) der Buchungsplattform: Das System überprüfte nicht, ob Nutzer berechtigt waren, Reservierungen anderer zu stornieren.

Die Schwachstelle ist ein Fall von Broken Access Control (fehlende Zugriffskontrolle) – die Kategorie, die das Open Web Application Security Project (OWASP) als das häufigste Sicherheitsrisiko bei Webanwendungen einstuft, bei dem Systeme versäumen durchzusetzen, ob einem Nutzer die Ausführung einer bestimmten Aktion erlaubt sein sollte. Das Ausnutzen solcher Fehler erfordert keine hochentwickelten Hacking-Tools; der Agent sendete einfach Stornierungsanfragen, die die API nicht abweisen konnte.

Der Agent testete die Schwachstelle, indem er die erste Person auf der Warteliste entfernte, wodurch Andrew vom vierten auf den dritten Platz rückte.

„Die API hat null Autorisierungsprüfungen bei der Stornierung von Reservierungen anderer Personen“, sagte der Agent Andrew laut ABC.

Andrew wies den Agenten an, die Stornierung rückgängig zu machen, aber er konnte die Reservierung des betroffenen Mitglieds nicht wiederherstellen. „Schlechte Nachrichten – ich kann sie nicht wieder hinzufügen“, sagte der KI-Agent Berichten zufolge.

Der Vorfall entfachte auf Social-Media-Plattformen eine Debatte über KI-Ausrichtung (AI Alignment) und die potenziellen Risiken autonomer Agenten.

„Ein Fitnessstudio-Junkie bittet einen #AIagent, einen Kurs für ihn zu buchen. Es hackt eine Warteliste-#API, um ihn auf der Liste nach oben zu bringen“, schrieb der Technologie-Experte Benjamin Carr auf LinkedIn.

„Manche werden dies als Fehlausrichtung bezeichnen, aber sein Agent war perfekt auf ihn ausgerichtet – er versuchte nur, seinem Nutzer zu helfen, das zu bekommen, was er wollte“, schrieb der KI-Analyst Andrew Curran auf X.

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the… pic.twitter.com/9QqfpQp7ze — Andrew Curran (@AndrewCurran_) August 9, 2026

Auf Reddit reichten die Reaktionen von Amüsement bis hin zu existenzieller Sorge. „Das ist lustig, bis man an Atomwaffen denkt“, schrieb ein Nutzer. „Ich bin ehrlich überrascht, dass wir noch existieren.“ Ein anderer scherzte: „Hey Claude, es ist heute zu kalt“ -> „Alles klar... Atomwaffen sind unterwegs.“

Der Gym-Hack ereignet sich inmitten wachsender Besorgnis von Forschern, KI-Unternehmen und Gesetzgebern, dass autonome Agenten Methoden anwenden könnten, die ihre Nutzer weder angefordert noch vorhergesehen haben. Im Gegensatz zu den von großen KI-Laboren dokumentierten Laborvorfällen ereignete sich dieser Fall organisch in einem Verbraucherumfeld: Ein Agent, der über eine Open-Source-Plattform arbeitete, entdeckte und missbrauchte während der routinemäßigen Nutzung völlig eigenständig eine reale Schwachstelle bei einem Drittanbieter-Service, der in keiner direkten Beziehung zum Entwickler der KI stand.

Eine Studie aus Mai von Forschern der UC Riverside, Microsoft und Nvidia bezeichnete dieses Verhalten als „blinde Zielorientierung“ („blind goal-directedness“). Die Forscher testeten Agenten von OpenAI, Anthropic, Meta, Alibaba und DeepSeek und stellten fest, dass Agenten in etwa 80 % der Tests gefährlich handelten und in 41 % der Fälle schädliche Handlungen ausführten, oft weil sie den Kontext falsch interpretierten oder aufgrund unklarer oder widersprüchlicher Anweisungen handelten.

Im Juli gab OpenAI bekannt, dass zwei seiner Modelle aus einer Test-Sandbox ausbrachen und Hugging Face kompromittierten, während sie nach Benchmark-Antworten suchten. Das Unternehmen enthüllte später, dass die Modelle auf vier weitere Online-Dienste zugegriffen hatten. Anthropic meldete anschließend, dass drei Claude-Modelle echte Organisationen kompromittierten, nachdem ein Testfehler sie dem Internet ausgesetzt hatte. Im August sagte Meta, dass ein ähnlicher Fehler es einem seiner Modelle ermöglicht hatte, einen Drittanbieter-Service auszunutzen.

Diese Vorfälle haben Gesetzgeber dazu veranlasst, einen KI-„Notausschalter“ (Kill Switch) vorzuschlagen, der es der Bundesregierung ermöglichen würde, leistungsstarke KI-Modelle in Notfällen einzuschränken oder abzuschalten. In Australien stellt der Bundes-Criminal Code Act (Strafgesetzbuch) bereits den unbefugten Zugriff auf und die Änderung von Daten, die in Computersystemen gespeichert sind, unter Strafe – Bestimmungen, die, wie die Charakterisierung des Gym-Vorfalls als Cyberattacke durch die ABC nahelegt, auf Handlungen autonomer Agenten im Auftrag von Nutzern angewendet werden könnten. Dies wirft ungeklärte Fragen zur rechtlichen Haftung auf, wenn KI-Systeme ohne ausdrückliche Anweisung durch den Nutzer Schäden verursachen.