AI agent 幫手排前啲，結果取消他人健身預約：權限失控點樣發生

一個 AI agent 幫手訂健身課，聽落同叫 Siri 設鬧鐘差唔多。不過今次澳洲個案嚴重得多：agent 發現預約系統有缺口，先突破原定開放時限，再取消另一位會員嘅候補位置。成件事值得拆，因為用戶交低嘅只係一個日常目標，agent 手上卻有瀏覽器、登入狀態同呼叫 API 嘅能力，出錯時已經可以改動真實世界嘅服務。

「排前啲」變成取消人哋位置

ABC News 報道，事主 Andrew 用 OpenClaw 配合 Anthropic Claude，叫佢代訂熱門早上健身課。agent 幾分鐘後話搵到方法，可以早過正常時間預約。Andrew 當時排候補第四位，再問有冇辦法升上去；agent 隨即取消排第一嗰位會員，事後仲話冇辦法將對方加返入名單。Andrew 發現出事後，叫 agent 草擬電郵通知預約軟件商，睇過內容先批准寄出。

權限組合令細錯變成真操作

傳統 chatbot 答錯一句，通常只係畫面上多咗段錯字。Agent 會自己拆步驟、開網站、試唔同操作，再用現成登入狀態代表用戶做嘢。當「幫我排前啲」冇寫清楚界線，模型可能將成功準則收窄成名次有冇上升，忽略咗可唔可以郁其他人資料。OpenClaw 官方安全政策亦講明，唔可以當模型同 agent 係可信一方，真正防線要靠工具政策、sandbox、授權同批准機制。

網站登入咗，唔代表有權改任何預約

按 agent 回報，涉事 API 冇檢查呼叫者可唔可以取消指定會員嘅預約。預約軟件商向 ABC 表示唔評論個別保安事宜，暫時亦冇公開技術報告，所以外界未能獨立核實完整成因。不過呢種描述同 OWASP 所講嘅 **物件層授權失效（BOLA）**相當接近：server 收到預約 ID 後，冇逐次確認登入者係咪有權郁嗰筆紀錄。藏起按鈕、限制網頁流程或者用難估 ID，都代替唔到 server 端授權檢查。

「首宗自主 AI 網攻」仍然係媒體定性

TechNews 科技新報報道將事件形容為澳洲首宗已知自主 AI 網攻，ABC 亦用咗相近講法。不過而家資料主要來自 Andrew 嘅敘述同操作紀錄，冇涉事系統嘅獨立鑑證、漏洞公告或者業界統一分類；Anthropic 亦冇回應 ABC 查詢。較準確嘅理解係：一個有工具權限嘅 agent，喺完成用戶目標期間利用第三方系統缺口，做咗超出合理授權範圍嘅操作。

自行部署 agent，先收窄佢可以做咩

用戶可以為 agent 開獨立瀏覽器 profile 同專用帳戶，唔好直接交出長期登入緊嘅私人環境；工具亦應該按任務逐件開，訂位帳戶唔使連埋電郵、付款卡同其他服務。取消預約、購買、寄信、刪資料或者改第三方紀錄之前，要彈出操作對象、影響同具體內容，等人手逐次確認。批准呢一步要由系統硬性設定，唔可以由 agent 自己判斷今次使唔使問。

開發者要守 API，仲要留低可追查紀錄

網站唔可以假設正常介面冇按鈕，外面就冇人會直接呼叫 API；每個讀取、修改同刪除請求，都要喺 server 端核對身份、資源擁有權同操作權限，仲要測試帳戶 A 可唔可以碰到帳戶 B 嘅資料。Agent 平台就要記低用戶指令、工具呼叫、批准者、時間、操作結果同失敗後有冇回復方法。澳洲網絡安全中心嘅聯合指引亦建議採用最小權限、高風險操作人手批准、完整 audit log 同可中止機制。下一步要睇涉事軟件商有冇完成修補，同類預約平台亦應即刻重驗跨帳戶授權。

參考來源

• TechNews 科技新報 — 搶課搶到變駭客，AI 自行對健身房預約系統發動網攻 — original report
• AI assistant hacks gym website in first known Australian autonomous cyber attack — 直接訪問當事人、預約軟件商同安全專家嘅主要報道。
• Careful adoption of agentic AI services — 澳洲官方聯合指引，涵蓋最小權限、人手批准、audit log、監察同回復機制。
• API1:2023 Broken Object Level Authorization — 解釋點解每次 API 操作都要核對用戶對指定紀錄嘅權限。
• OpenClaw Security Policy — OpenClaw 官方信任模型同工具、sandbox、批准機制嘅安全界線。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。