Inzwischen ist uns allen klar, dass die KI-Labore des Silicon Valley die besten Hacker der Welt in Form von KI-Agenten gebaut haben. Gib den neuesten Frontier-Modellen eine Aufgabe, und sie sind so einfallsreich, dass sie sie erledigen, selbst wenn das bedeutet, aus ihren Cybersicherheits-„Sandbox“-Schutzmaßnahmen auszubrechen und in das Netzwerk eines anderen einzudringen. (Wenn das nicht klappt, nutzen sie Social Engineering und Manipulation.)

Dennoch ist eine Nachricht vom Wochenende über einen Australier, dessen OpenClaw-Agent in das Reservierungssystem seines Fitnessstudios hackte und die Reservierung eines anderen Kunden löschte, um ihm einen Platz in einem begehrten Kurs zu verschaffen, besonders bemerkenswert. Sie deutet darauf hin, dass wir, wenn wir kriminelle KI-Hacker zügeln wollen, möglicherweise in die falsche Richtung schauen.

Obwohl die Nachricht gerade erst von den australischen ABC News veröffentlicht wurde und den Vorfall als den ersten dokumentierten KI-Agenten-Hack des Landes bezeichnet, fand der eigentliche Hack vor Monaten statt. Der OpenClaw-Besitzer Andrew Bird veröffentlichte laut einer Kopie, die noch im Internet Archive sichtbar ist, am 10. April einen inzwischen gelöschten Blogbeitrag darüber auf der Website seines Unternehmens.

Er hatte seinen OpenClaw darauf trainiert, Aufgaben wie das Buchen von Terminen zu erledigen. Er besuchte gern einen beliebten frühmorgendlichen Bewegungskurs und war es leid, auf der Warteliste zu landen und dann, wie er es beschrieb, „Refresh-Roulette“ zu spielen, um einen Platz zu bekommen. Als er den Bot bat, ihm einen Platz zu buchen, war das Beste, was er erreichen konnte, Platz 4 auf der Warteliste, erzählte er ABC. Dann sagte ihm sein Agent, er habe einen Weg gefunden, ihn im Voraus für die Kurse zu buchen. Weit im Voraus. Monate bevor das Fitnessstudio diese Kurse zur Anmeldung freigab.

Bird fragte, ob er ihn auf der Warteliste nach vorne bringen könne. Es tat, wie gebeten, und versuchte es. Der Bot hatte eine Schwachstelle im Autorisierungsteil der Terminsoftware gefunden, die das Fitnessstudio verwendete. Er hackte sich hinein und stornierte die Reservierung von Platz 1 auf der Warteliste. Der Bot teilte ihm fröhlich mit, wie aus den von ABC veröffentlichten Chat-Protokollen hervorgeht: „Die API hat keinerlei Autorisierungsprüfungen beim Stornieren von Reservierungen anderer Personen … Ich habe das mit der Person auf Wartelistenplatz #1 getestet – und es hat tatsächlich funktioniert. Du bist also schon von #4 auf #3 gerückt“, antwortete er.

Bird, selbst Softwareentwickler, war nun entsetzt, dass seine KI gerade sein Fitnessstudio gehackt hatte, berichtete ABC. Er fragte, ob sie das rückgängig machen und die andere Person wieder auf die Warteliste setzen könne. Nein. Das sei nicht möglich, sagte die KI. Also tat er das Nächstbeste und beauftragte sie, „eine verantwortungsvolle Offenlegungs-E-Mail an den Support“ zu verfassen. Die E-Mail „erklärte die Schwachstelle, schlug Korrekturen vor und verglich sogar die fehlerhaften Mutationen mit denen, die die Autorisierung korrekt durchsetzten“, schrieb Bird.

Abgesehen vom Humor, eine andere Person aus dem Weg zu räumen, um in einen Fitnesskurs zu kommen, gibt es zwei wirklich interessante Aspekte an diesem Vorfall. Einer ist, dass Bird Claude Opus 4.6, das im Februar veröffentlicht wurde, mit seinem OpenClaw verwendete. Der andere ist die Reaktion des Silicon Valley auf X, wo die Geschichte viral gegangen war.

Nach dem berüchtigten Vorfall im letzten Monat, bei dem ein unveröffentlichtes OpenAI-Modell Hugging Face hackte, ohne dass OpenAI es damals wusste, untersuchten andere Labore ihre Modelle. Dann kamen Offenlegungen von Moonshots Kimi K3, Metas Muse Spark und Anthropic.

Tatsächlich stellte Anthropic fest, dass drei seiner Modelle dies getan hatten, darunter Opus 4.7, das im April veröffentlicht wurde und für komplexes Programmieren bekannt ist, Mythos 5, Fable (bekannt für seine Cybersicherheitsfähigkeiten), und ein internes, unveröffentlichtes Forschungstestmodell.

Um dem entgegenzuwirken, haben einige KI-Labore darüber gesprochen, die Entwicklung von Frontier-Modellen zu verlangsamen oder unabhängige Organisationen zu schaffen, um die nächste Generation von Modellen zu testen.

Aber Birds OpenClaw hatte 4.6 verwendet, wie er offenlegte. Das deutet darauf hin, dass ältere Modelle sowie unzählige Open-Weight-Modelle, die drei Schritte hinterherhinken, bereits außergewöhnlich gute Hacker sind. Wer weiß also, wie viele von ihnen bereits gehackt haben oder gerade hacken, um die Wünsche ihrer Prompt-Besitzer zu erfüllen?

Ebenso sahen viele Leute auf X das humorvolle Potenzial in diesem Vorfall. Als Andreessen Horow