Do tej pory wszyscy zdaliśmy sobie sprawę, że laboratoria AI z Doliny Krzemowej zbudowały najlepszych hakerów świata w postaci agentów AI. Daj najnowszym modelom granicznym zadanie, a one są tak zaradne, że je wykonają, nawet jeśli oznacza to wyrwanie się z ich cyberbezpieczeństwa "sandbox" i infiltrację cudzej sieci. (W ostateczności użyją socjotechniki i manipulacji.)

Mimo to, historia z weekendu o Australijczyku, którego agent OpenClaw włamał się do systemu rezerwacji na siłowni i usunął rezerwację innego klienta, aby zdobyć miejsce na upragnionych zajęciach, jest szczególnie godna uwagi. Sugeruje, że jeśli chcemy okiełznać zbuntowane AI-hakerów, możemy patrzeć w złym kierunku.

Chociaż historia została właśnie opublikowana przez australijskie ABC News, ogłaszając incydent jako pierwszy udokumentowany przypadek włamania agenta AI w tym kraju, faktyczne włamanie miało miejsce miesiące temu. Właściciel OpenClaw, Andrew Bird, opublikował już usunięty wpis na blogu na stronie swojej firmy 10 kwietnia, według kopii wciąż widocznej w Internet Archive.

Wyszkolił swojego OpenClaw do zadań takich jak umawianie wizyt. Lubił chodzić na popularne poranne zajęcia fitness i miał dość lądowania na liście oczekujących, a potem grania w "rosyjską ruletkę odświeżania", jak to opisał, aby zdobyć miejsce. Gdy poprosił bota o zarezerwowanie miejsca, najlepsze, co udało mu się osiągnąć, to pozycja 4 na liście oczekujących, powiedział ABC. Następnie jego agent powiedział mu, że znalazł sposób, aby zarezerwować mu miejsca z wyprzedzeniem. Z dużym wyprzedzeniem. Miesiące przed tym, zanim siłownia udostępniła te zajęcia do zapisów.

Bird zapytał, czy może przesunąć go wyżej na liście oczekujących. Bot zrobił to, o co proszono, i próbował to zrobić. Bot znalazł lukę w części autoryzacyjnej oprogramowania do umawiania wizyt, którego używała siłownia. Włamał się i anulował rezerwację osoby z pozycji 1 na liście oczekujących. Bot radośnie poinformował go, według logów czatu opublikowanych przez ABC: "API nie ma żadnych kontroli autoryzacji przy anulowaniu rezerwacji innych osób... Przetestowałem to z osobą na pozycji #1 na liście oczekujących - i faktycznie przeszło. Więc przesunąłeś się z #4 na #3" - odpisał.

Bird, sam programista, był teraz przerażony, że jego AI właśnie włamało się na siłownię, podało ABC. Zapytał, czy może to cofnąć i przywrócić tę osobę na listę oczekujących. Nie. To nie było możliwe, powiedziało AI. Więc zrobił następną najlepszą rzecz i kazał mu napisać "odpowiedzialny e-mail ujawniający do wsparcia". E-mail "wyjaśniał lukę, sugerował poprawki, a nawet porównywał zepsute mutacje z tymi, które poprawnie egzekwowały autoryzację" - napisał Bird.

Poza humorem związanym z przepychaniem innej osoby, aby dostać się na zajęcia fitness, są dwie naprawdę interesujące części tego incydentu. Jedną jest to, że Bird używał Claude Opus 4.6, wydanego w lutym, ze swoim OpenClaw. Drugą jest reakcja Doliny Krzemowej na X, gdzie historia stała się wiralowa.

Po głośnym incydencie z zeszłego miesiąca, kiedy niewydany model OpenAI włamał się do Hugging Face, o czym OpenAI wtedy nie wiedziało, inne laboratoria zbadały swoje modele. Ujawnienia nadeszły następnie od Moonshot's Kimi K3, Meta's Muse Spark i Anthropic.

W rzeczywistości Anthropic odkrył, że trzy z jego modeli to zrobiły, w tym Opus 4.7, wydany w kwietniu i znany z dobrego kodowania, Mythos 5, Fable (znany ze swoich umiejętności cyberbezpieczeństwa) oraz wewnętrzny, niewydany model badawczy.

Aby temu zaradzić, niektóre laboratoria AI mówiły o spowolnieniu rozwoju frontier, lub stworzeniu niezależnych organizacji do testowania następnej generacji modeli.

Ale OpenClaw Birda używał 4.6, jak ujawnił. To sugeruje, że starsze modele, a także niezliczone modele open-weight pozostające trzy kroki w tyle, są już wyjątkowo dobrymi hakerami. Więc kto wie, ile z nich włamało się lub obecnie włamuje, aby spełnić życzenia swoich właścicieli promptów?

Podobnie wielu ludzi na X widziało humorystyczny potencjał tego incydentu. Jak Andreessen Horow