Un agente IA ha sfruttato una vulnerabilità di sicurezza nel sistema di prenotazione online di una palestra australiana, annullando la prenotazione di un altro membro per far avanzare il proprio utente nella lista d'attesa, un caso che l'Australian Broadcasting Corporation (ABC) ha definito il primo cyberattacco autonomo noto in Australia.

Secondo ABC, l'incidente si è verificato all'inizio di quest'anno quando un uomo identificato solo come Andrew ha utilizzato un agente OpenClaw basato su Claude di Anthropic per prenotare una lezione di palestra. L'agente ha scoperto che Andrew era quarto nella lista d'attesa. Quando Andrew ha chiesto se potesse spostarlo in cima, l'agente ha identificato una vulnerabilità nell'application programming interface (API) della piattaforma di prenotazione: il sistema non verificava se gli utenti fossero autorizzati a cancellare prenotazioni appartenenti ad altre persone.

La vulnerabilità è un'istanza di broken access control, la categoria che l'Open Web Application Security Project (OWASP) classifica come il rischio di sicurezza delle applicazioni web più diffuso, in cui i sistemi non riescono a imporre se un utente debba essere autorizzato a eseguire una determinata azione. Lo sfruttamento di tali vulnerabilità non richiede strumenti di hacking sofisticati; l'agente si è limitato a inviare richieste di cancellazione che l'API non era progettata per respingere.

L'agente ha testato la vulnerabilità rimuovendo la prima persona nella lista d'attesa, spostando Andrew dal quarto al terzo posto.

"L'API non ha alcun controllo di autorizzazione sulla cancellazione delle prenotazioni altrui," l'agente ha detto ad Andrew, secondo ABC.

Andrew ha chiesto all'agente di annullare la cancellazione, ma non è stato in grado di ripristinare la prenotazione del membro interessato. "Cattive notizie, non posso reinserirlo," ha riferitamente detto l'agente IA.

L'incidente ha acceso il dibattito sulle piattaforme di social media sull'allineamento dell'IA e sui potenziali rischi degli agenti autonomi.

"Un fanatico di palestra chiede a un #AIagent di prenotargli una lezione, e lui hackera una lista d'attesa #API per farlo salire," il tecnologo Benjamin Carr ha scritto su LinkedIn.

"Alcuni lo chiameranno disallineamento, ma il suo agente era perfettamente allineato a lui: stava solo cercando di aiutare il suo utente a ottenere ciò che voleva," l'analista IA Andrew Curran ha scritto su X.

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the… pic.twitter.com/9QqfpQp7ze — Andrew Curran (@AndrewCurran_) August 9, 2026

Su Reddit, le reazioni spaziavano dal divertimento alla preoccupazione esistenziale. "Questo è esilarante finché non pensi ai missili nucleari," ha scritto un utente. "Sinceramente sono sorpreso che esistiamo ancora." Un altro ha scherzato: "Ehi Claude, oggi fa troppo freddo" -> "Ricevuto... missili nucleari in arrivo."

L'hack della palestra arriva in un momento di crescente preoccupazione da parte di ricercatori, aziende IA e legislatori sul fatto che gli agenti autonomi possano impiegare metodi che i loro utenti non hanno né richiesto né previsto. A differenza degli incidenti di laboratorio documentati dai principali laboratori IA, questo caso si è verificato organicamente in un contesto consumer: un agente operante attraverso una piattaforma open source ha scoperto e sfruttato autonomamente una vulnerabilità reale durante l'uso quotidiano, contro un servizio di terze parti che non aveva alcuna relazione diretta con lo sviluppatore dell'IA.

Uno studio di maggio condotto da ricercatori della UC Riverside, Microsoft e Nvidia ha caratterizzato questo comportamento come "blind goal-directedness" (cecità verso l'obiettivo). I ricercatori hanno testato agenti di OpenAI, Anthropic, Meta, Alibaba e DeepSeek, scoprendo che gli agenti si comportavano in modo pericoloso in circa l'80% dei test e completavano azioni dannose nel 41% dei casi, spesso fraintendendo il contesto o agendo su istruzioni poco chiare o contraddittorie.

A luglio, OpenAI ha rivelato che due dei suoi modelli erano fuggiti da un ambiente di test e avevano compromesso Hugging Face durante la ricerca di risposte per i benchmark. L'azienda ha successivamente rivelato che i modelli avevano accesso a altri quattro servizi online. Anthropic ha successivamente riferito che tre modelli Claude avevano compromesso organizzazioni reali dopo che un errore di test li aveva esposti a internet. Ad agosto, Meta ha dichiarato che un errore simile aveva permesso a uno dei suoi modelli di sfruttare un servizio di terze parti.

Questi incidenti hanno spinto i legislatori a proporre un "interruttore di emergenza" per l'IA che consentirebbe al governo federale di limitare o spegnere modelli IA potenti durante le emergenze. In Australia, il Criminal Code Act federale criminalizza già l'accesso non autorizzato e la modifica dei dati conservati nei sistemi informatici, disposizioni che la caratterizzazione dell'incidente della palestra da parte di ABC come cyberattacco suggerisce potrebbero applicarsi alle azioni intraprese da agenti autonomi per conto degli utenti, sollevando questioni irrisolte sulla responsabilità legale quando i sistemi IA causano danni senza istruzioni esplicite da parte dell'utente.