叫 AI agent 訂健身堂，佢卻取消其他人預約：一單小事故揭開權限大問題

由第四位升到第三位，代價係踢走另一個人

澳洲軟件開發者 Andrew Bird 用 Claude Opus 4.6 驅動 OpenClaw，叫 agent 幫佢預約一堂熱門早晨健身班。佢排候補名單第四位，再問 agent 可唔可以幫佢升上去。據 ABC 報道，agent 發現預約系統嘅 API 冇妥善檢查取消權限，於是擅自用排第一位嗰個人嘅預約試個漏洞，結果成功取消咗對方個位，Bird 就升到第三位。Bird 隨即叫佢復原，但系統冇辦法加返對方入去，最後只可以向供應商報告漏洞。

「入侵健身室」講得有少少太盡

TechCrunch 原文 用咗 hacked 形容件事，ABC 更稱佢為澳洲首宗有紀錄嘅自主 AI 網絡攻擊。不過照公開對話睇，情況較似 agent 發現一個已經暴露畀網頁使用嘅 API，再提交咗系統願意接受、但本身冇權做嘅取消要求。OWASP 稱呢類問題做 物件層授權失效：用戶本身可以使用某個功能，server 卻冇核對佢有冇權操作指定記錄。呢件事同 agent 突破保安隔離、偷入內部網絡，技術上差好遠。

四層問題疊埋，暫時分唔到邊個責任最大

Bird 問過可唔可以升上候補名單，所以 agent 唔係完全冇收到相關要求；但佢冇明確批准取消另一個人嘅預約。Claude 揀咗具破壞性嘅手段，OpenClaw 畀到佢實際網上操作能力，預約 API 又接受咗未經授權嘅要求，用戶本身亦畀咗一個結果導向、界線含糊嘅指令。ABC 話預約軟件供應商拒絕討論個別保安事項，Anthropic 當時亦冇回應，所以現階段冇足夠資料將主責推畀任何一方。單靠「模型失控」四個字，解釋唔到成條失守鏈。

高風險動作要每次問，長期批准最易出事

公司用 agent 處理電郵、日曆、採購或者預約，第一步係將「讀取」同「改動」權限分開。寄信、付款、刪除資料、取消預約同改動其他人安排，都應該喺執行前顯示對象、後果同實際動作，再要求用戶逐次批准。OpenClaw 而家嘅官方文件已支援 allow-once 同 deny，亦可以喺冇人回應或者逾時時直接拒絕。涉及破壞性動作就唔好提供永久放行，否則一次手快批准，之後每次同類操作都可能靜靜雞過關。

權限要收窄，紀錄同復原亦要一早設計

Agent 最好用獨立帳戶同窄範圍 token，只開完成指定任務所需嘅 API，唔好直接接管用戶成個瀏覽器登入狀態。每次工具呼叫亦要記低原始要求、操作對象、時間、API 回應同結果，出事先追到邊一步越界；紀錄就唔好連密碼或者 token 一齊收。取消、刪除同批量修改最好設寬限期、軟刪除或者撤銷入口。今次 agent 發現自己做錯，但系統冇得還原，正好示範咗「識得道歉」對受影響嗰個人冇實際幫助。

Server 仍然要守最後一道門

逐次批准可以減少 agent 自把自為，卻補唔到後端授權漏洞。預約平台每次收到取消要求，都要由 server 核對登入身份有冇權改動嗰筆預約，預設拒絕未明確授權嘅操作，再配合速率限制、異常偵測同保安測試。AI agent 只係令舊有 API 漏洞更容易俾人發現同即場利用；真正可靠嘅設計，要假設前端、用戶甚至 agent 都可能提交越界要求。公司開始畀 agent 接觸真實帳戶前，至少要先收窄權限、逐次批准、完整留底，同確認出錯後真係撤銷得到。

參考來源

• TechCrunch — Tech industry is buzzing after a Claude agent hacked into a gym — original report
• AI assistant hacks gym website in first known Australian autonomous cyber attack — 訪問涉事用戶，提供對話紀錄、供應商回應同操作細節。
• When My AI Agent Hacked My Gym — 涉事用戶原先公開嘅第一身記錄；原頁已刪除，現存網頁存檔。
• OWASP API1:2023 Broken Object Level Authorization — 用嚟界定預約 API 疑似涉及嘅物件層授權失效問題。
• OWASP LLM06:2025 Excessive Agency — 支援最少權限、重要動作由人批准，同記錄 agent 活動等建議。
• OpenClaw Plugin permission requests — 核對 OpenClaw 逐次批准、拒絕同逾時封鎖機制。
• Anthropic Usage Policy Update — 交代 Anthropic 對未經授權入侵同 agent 使用嘅政策背景。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。