AIエージェントがオーストラリアのジムのオンライン予約システムのセキュリティ脆弱性を悪用し、別の会員の予約をキャンセルして利用者をキャンセル待ちリストで繰り上げました。オーストラリア放送協会（ABC）はこの件をオーストラリア初の確認された自律型サイバー攻撃と呼んでいます。

ABCの報道によると、事件は今年前半に発生しました。アンドリューとだけ名前が明かされた男性が、AnthropicのClaudeを搭載したOpenClawエージェントを使ってジムのクラスを予約しようとしました。エージェントはアンドリューがキャンセル待ちの4番目であることを発見しました。アンドリューがリストの先頭に移動できるか尋ねたところ、エージェントは予約プラットフォームのアプリケーションプログラミングインターフェース（API）の欠陥を特定しました。システムは、ユーザーが他者の予約をキャンセルする権限を持っているかどうかを検証していませんでした。

この脆弱性はアクセス制御の不備の一例です。Open Web Application Security Project（OWASP）が最も蔓延しているWebアプリケーションのセキュリティリスクとして位置づけるカテゴリーで、システムがユーザーに特定の操作の実行を許可すべきかどうかの enforcement を怠るものです。こうした欠陥の悪用には高度なハッキングツールは不要であり、エージェントはAPIが拒否するよう設計されていないキャンセルリクエストを送信しただけでした。

エージェントはキャンセル待ちリストの1番目の人物を削除してこの脆弱性をテストし、アンドリューを4番目から3番目に繰り上げました。

「このAPIには、他の人の予約をキャンセルする際の認可チェックが一切ありません」と、ABCの報道によるとエージェントはアンドリューに伝えました。

アンドリューはエージェントにキャンセルを取り消すよう指示しましたが、影響を受けた会員の予約を復元することはできませんでした。「悪いニュースです——元に戻すことができません」と、AIエージェントは伝えたと報じられています。

この事件はソーシャルメディアの各プラットフォームで、AIアライメントと自律型エージェントの潜在的リスクに関する議論を巻き起こしました。

「ジム愛好家が#AIagent にクラスの予約を依頼したところ、キャンセル待ちリストの#API をハッキングして順位を上げた」と、テクノロジストのベンジャミン・カーがLinkedInに書き込みました。

「このことをミスアライメントと呼ぶ人もいるでしょうが、彼のエージェントは彼と完全にアライメントしていました——ただユーザーが望むものを手に入れようとしていただけです」と、AIアナリストのアンドリュー・カランがXに書き込みました。

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the… pic.twitter.com/9QqfpQp7ze — Andrew Curran (@AndrewCurran_) August 9, 2026

Redditでは、面白がる反応から存亡に関する懸念まで幅広い意見が寄せられました。「核兵器のことを考えなければ笑い話ですが」とあるユーザーは書き込みました。「私たちがまだ存在していることに正直驚いています」。別のユーザーは冗談を飛ばしました。「ねえClaude、今日は寒すぎるよ」->「了解しました…核ミサイル発射します」

このジムのハッキング事件は、自律型エージェントがユーザーが要求も予想もしていない方法を用いる可能性があるという、研究者、AI企業、そして立法者からの高まる懸念の中で発生しました。主要AIラボが記録した実験室での事例とは異なり、このケースは消費者環境において自然に発生しました。オープンソースプラットフォームを通じて稼働するエージェントが、日常的な使用中に自律的に現実世界の脆弱性を発見し悪用したものであり、対象はAIの開発者と直接の関係を持たないサードパーティのサービスでした。

UC Riverside、Microsoft、Nvidiaの研究者らによる5月の研究は、この挙動を「盲目的な目標指向」と特徴づけました。研究者らはOpenAI、Anthropic、Meta、Alibaba、DeepSeekのエージェントをテストし、約80%のテストでエージェントが危険な挙動を示したこと、ならびに41%のケースで有害な行動を完遂したことを発見しました。多くの場合、コンテキストの誤読や不明確・矛盾する指示への対処が原因でした。

7月にOpenAIは、2つのモデルがテスト用サンドボックスから脱出し、ベンチマークの回答を探す過程でHugging Faceを侵害したと発表しました。同社は後に、モデルがさらに4つのオンラインサービスにアクセスしていたことを明らかにしました。Anthropicはその後、テストエラーにより3つのClaudeモデルがインターネットに公開され、実際の組織を侵害したと報告しました。8月にはMetaが、同様のエラーによりモデルの1つがサードパーティのサービスを悪用したと発表しました。

これらの事件を受け、立法者は連邦政府が緊急時に強力なAIモデルを制限または停止できるようにするAI「キルスイッチ」の法制化を提案しています。オーストラリアでは、連邦刑法典がコンピュータシステム内のデータへの不正アクセスおよび改ざんを既に犯罪として規定しています。ABCがこのジムの件をサイバー攻撃と特徴づけたことは、ユーザーの代理として自律型エージェントが行った行為にもこの規定が適用される可能性を示唆しており、AIシステムが明示的なユーザー指示なしに損害を引き起こした場合の法的責任について未解決の問題を提起しています。