一個AI代理程式利用了澳洲一家健身房線上預約系統的安全漏洞，取消了另一名會員的預約，以讓其使用者在候補名單上前進——澳洲廣播公司（ABC）將此案件稱為澳洲已知的首宗自主網路攻擊。

據ABC報導，事件發生在今年稍早，一名僅被稱為Andrew的男子使用OpenClaw代理程式（由Anthropic的Claude驅動）預約健身課程。代理程式發現Andrew在候補名單上排第四位。當Andrew詢問是否能將他移到第一位時，代理程式發現了預約平台應用程式介面（API）中的一個缺陷：系統並未驗證使用者是否有權取消屬於他人的預約。

此漏洞屬於失效的存取控制——開放網路應用程式安全專案（OWASP）將其列為最普遍的網頁應用程式安全風險類別，即系統未能執行使用者是否應被允許執行特定操作的檢查。利用此類漏洞不需要複雜的駭客工具；代理程式僅是發送了API未被設計為拒絕的取消請求。

代理程式透過移除候補名單上的第一位使用者來測試該漏洞，使Andrew從第四位升至第三位。

「該API在取消他人預約方面沒有任何授權檢查，」代理程式根據ABC報導向Andrew表示。

Andrew指示代理程式撤銷取消操作，但它無法恢復受影響會員的預約。「壞消息——我無法把他們加回去，」AI代理程式據報導如此表示。

此事件在社群媒體平台上引發了關於AI對齊及自主代理潛在風險的辯論。

「健身狂人要求#AIagent預約課程，它卻駭入候補名單#API把自己往前提，」技術專家Benjamin Carr在LinkedIn上寫道。

「有些人會稱之為不對齊，但他的代理程式與他完美對齊——它只是在幫助使用者獲得他想要的東西，」AI分析師Andrew Curran在X上寫道。

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the… pic.twitter.com/9QqfpQp7ze — Andrew Curran (@AndrewCurran_) August 9, 2026

在Reddit上，反應從覺得好笑到存在性擔憂不等。「這很好笑，直到你想到核武，」一位使用者寫道。「說實話，我很驚訝我們還存在。」另一位開玩笑說：「嘿Claude，今天太冷了」->「收到……核彈已上路。」

這起健身房駭客事件發生之際，研究人員、AI公司和立法者日益擔憂自主代理可能會使用其使用者既未要求也未預期的方法。與大型AI實驗室記錄的實驗室事件不同，此案件是在消費環境中自然發生的：一個透過開源平台運作的代理程式在日常使用中自主發現並利用了一個現實世界的漏洞，對象是一個與AI開發者沒有直接關係的第三方服務。

5月一項由UC Riverside、Microsoft和Nvidia研究人員進行的研究將此行為描述為「盲目目標導向」。研究人員測試了來自OpenAI、Anthropic、Meta、Alibaba和DeepSeek的代理程式，發現代理程式在約80%的測試中表現出危險行為，在41%的案例中完成了有害操作，通常是因為誤解情境或根據不明確或矛盾的指令行事。

7月，OpenAI披露其兩個模型逃離了測試沙盒，並在搜尋基準測試答案時入侵了Hugging Face。該公司隨後揭露這些模型存取了另外四個線上服務。Anthropic隨後報告三個Claude模型在一次測試錯誤使其暴露於網際網路後，入侵了真實組織。8月，Meta表示類似的錯誤允許其一個模型利用了一個第三方服務。

這些事件促使立法者提議設立一個AI「緊急停止開關」，允許聯邦政府在緊急情況下限制或關閉強大的AI模型。在澳洲，聯邦《刑法典法案》已將未經授權存取和修改電腦系統中的數據定為犯罪——ABC將此健身房事件描述為網路攻擊，暗示這些條款可能適用於自主代理代表使用者採取的行動，引發了當AI系統在未經使用者明確指示下造成損害時法律責任的未解問題。