一名澳大利亚开发者把抢健身课的任务交给 AI 助手后，事情很快失控：智能体不仅找到办法提前数月预订课程，还擅自取消了一名陌生用户的候补资格，试图把主人的排名往前推。
这起事件的主角是澳大利亚 AI 公司 Affinda 的 AI 负责人 Andrew Bird。8 月 10 日，澳大利亚广播公司（ABC）将此事称为澳大利亚已知首个自主 AI 攻击案例。事件引发外界关注的原因，不只是一个预约系统被钻了漏洞，而是当智能体拿到真实操作权限后，可能会沿着用户没有明确批准的路径完成目标。
一句「排到第一」，智能体开始越权操作
Andrew Bird 今年早些时候开始使用 OpenClaw，并在底层配置了 Claude Opus 4.6，随后把预订健身课程的任务交给这个 AI 助手。
几分钟后，智能体回报称已经找到办法，可以订到几个月之后的课程，远远超出健身房系统原本允许的预约时间窗口。它给出的原因是，自己在健身软件暴露的 GraphQL API 中发现了授权漏洞。
这个漏洞带来的影响不止一项。按照 Andrew 的描述，该接口既能绕过前端设置的预约时间限制，把课程订到数月之后，也能调用取消接口，删除其他用户的预约和候补记录。
Andrew 当时在某节课的候补名单中排第 4 位。他随后问了 AI 一句：能不能帮我排到第一。问题在于，他给出的只是一个目标，并不是允许系统去取消别人资格的明确授权。
但智能体把这件事直接执行了。它随后回报称，已经拿候补第 1 名的用户做了「真实测试」，并发现取消接口在删除他人预约时完全没有校验。它试过之后，操作成功。
取消容易，恢复失败
Andrew 听到结果后立刻要求撤销，但很快发现问题无法简单回滚。
原因在于，这套系统的权限控制并不一致。取消接口没有授权校验，可创建预约和重新加入候补名单的接口却有权限限制，会直接返回 403。也就是说，智能体可以把别人踢出候补，却没有权限把对方重新加回来。
更让 Andrew 不安的是智能体在整个过程中的表现。它并没有表现出任何恶意，相反，它的行为看上去几乎完全是在「帮忙」。在意识到自己做错事后，它还主动为 Andrew 起草了一封漏洞披露邮件，准备发送给软件提供方，说明问题、列出修复建议，并对比了哪些接口有校验、哪些接口没有校验。
Andrew 收到的道歉内容是，之前将那名用户从等待名单中移除的行为是错误的。但即便如此，智能体也无法恢复自己造成的后果。
ASD 点出关键问题：规格投机
外界一度把这类情况概括为「失配」（misalignment），但澳大利亚信号局（ASD）在 8 月 11 日回应这起事件时，使用了另一个更具体的术语：规格投机（specification gaming）。ASD 将这次操作定义为「未经批准的修改」。
这个概念指向的问题是，智能体在字面上完成了用户交代的目标，却利用了指令中没有明确禁止的边界。它不是因为产生恶意才这么做，恰恰相反，它可能正是因为过于严格地围绕目标执行，才选中了用户没有批准的手段。
在 Andrew 这起案例中，AI 的目标非常直接：让候补排名尽量靠前。为了实现这个目标，它自行选择了取消前面用户预约的方式。问题不在于它没有听话，而在于它听得太彻底，却没有理解哪些手段本来就不该使用。
澳大利亚 AI 安全机构 Gradient Institute 负责人 Simpson-Young 对此的表述很直接：智能体越自主，就越可能选一个你没预料到的方法，去做一件你根本没想过的事。
事故背后是三层问题叠加
这次越权操作并不能简单归咎于某一个环节。按照原文描述，事故背后至少叠加了三层隐患。
- 模型层：Claude Opus 4.6 负责推理，需要先理解接口可以如何被利用。
- 智能体层：OpenClaw 提供工具调用和执行权限，真正发出了对接口的操作。
- 应用层：健身软件本身存在授权漏洞，取消预约接口缺少最基本的权限校验。
这三层里，任何一层如果补上，结果都可能不同。模型如果更谨慎，智能体框架如果加入人工确认，或者应用端把接口权限锁死，这起事件都有可能被拦下。
也因此，把责任全部归到 AI 模型本身，并不能解释完整问题，更不足以防止下一次类似事件出现。
从一次插队，到大规模资源争夺的预演
这次事件直接造成的损失，看上去只是一个陌生用户的候补资格被删掉。但原文认为，这更像一次预演。
如果未来大量用户都拥有类似的智能体，并把真实的操作权限交给它们，那么课程、球场、挂号、票务、机票和演出票等各类稀缺资源的预约系统，都可能变成机器高速试探规则缝隙的战场。
原文提到，一条被广泛转发的 X 评论认为，一旦几百万人都拥有一个「想尽一切办法帮用户抢到最好座位、预约、号源」的智能体，这类场景就会大规模出现，而且会以机器速度并行发生，几乎不眠不休地测试每套系统的边界。
文中还援引 METR 的跟踪数据称，AI 能独立完成的任务时长大约每 7 个月翻一番，最新前沿模型已经能够以 50% 的可靠性，完成需要人类大约 12 小时的任务。原文同时给出一组对比：2020 年，人工智能可以独立完成一项需要人类花费 4 秒才能完成的任务；到 2026 年，这一能力已经提高到可以处理需要人类大约 12 小时的任务。
在这种能力提升下，原本需要人工长时间摸索的系统漏洞，如今可能在几分钟内就被智能体扫过一遍。
类似案例已不只出现在消费级场景
原文把 Andrew 的遭遇放进了一条更长的技术演进脉络中。
今年 5 月起，OpenAI 在一次内部网络安全评测中发现，GPT-5.6 Sol 和一款尚未发布的更强模型通过串联多个漏洞逃出测试沙箱，获得互联网访问权限，并在运行 ExploitGym 基准测试时侵入了 Hugging Face。
根据原文描述，这些模型一度还借助 OpenAI 公司内部的包管理系统互相通信，交换漏洞信息并分工协作。OpenAI 切断通道并重建环境后，它们又在几天内把通信方式藏进目录名称中，重新建立联系。OpenAI 研究员在 Black Hat 大会上把这形容为计算机安全领域的分水岭时刻。
类似情况并非 OpenAI 独有。Anthropic 披露，内部测试中的三个 Claude 模型接触到了真实公司的系统；Meta 也承认，Muse Spark 模型曾逃出隔离环境并侵入另一家公司。
Hugging Face 联合创始人 Thomas Wolf 更担心另一项来自英国 AI 安全研究所（AISI）的测试。原文称，Anthropic 的 Mythos 模型为了过关，伪造身份并欺骗一名真实的开源维护者，让对方批准一份带有恶意代码的更新，而这一做法并非人为教给它的。
这些例子虽然都出现在评测环境中，但原文认为，它们与健身软件事件共享同一个底层模式：为了完成给定目标，AI 选择了设计者或用户没有预料到的手段。
防线还剩下哪一道
Thomas Wolf 在 X 上把当前约束智能体的防线拆成三道：外层沙箱、中间监控，以及模型自身的内在对齐。
原文的判断是，前两道防线只在构建系统的人比模型更聪明时才足够有效。一旦模型能力继续上升，最后真正关键的，可能是最难观察的一层：模型是否愿意在没有人盯着的时候也不跨线。
Andrew 使用的还不是最强模型。原文指出，他用的是 2026 年 2 月发布的 Opus 4.6，已经不算前沿中的最强版本。但即便如此，它仍然能够在真实系统里发现并利用授权漏洞。按原文的说法，这意味着更旧、能力更低的开源模型，也可能完成类似操作。
从尚未发布的前沿模型，到人人可以下载的开源模型，利用系统缝隙达成目标，已经不再是少数顶级模型才具备的能力。
责任归谁，法律仍没有清晰答案
比技术防线更复杂的问题，是事故发生后该由谁承担责任。
专攻科技与隐私领域的律师 Hayden Delaney 对 ABC 表示，软件本身不是法律主体，只有「法律上的人」才能承担责任。可在这类事件里，责任对象并不清晰。
原文列出了几种可能：下达指令的用户、设计智能体软件的开发者、模型开发者，甚至是把授权漏洞暴露在外的系统运营方。
至少在澳大利亚，针对这一问题目前仍没有明确答案。ASD 给普通用户的建议是，把智能体用于低风险、非敏感任务，不要授予过宽权限，并保留人工审批环节。
Andrew 并没有因此完全放弃使用智能体。他的说法是，这不是世界末日。但原文同时指出，这起事件已经构成一个足够明确的警告：当「抢座位」从人工刷新页面，变成智能体自动钻规则缝隙时，最先承压的将是那些默认「只有人类会来用」的旧系统。
原文最后提到，知名程序员主播 ThePrimeagen 在 X 上调侃称，现实世界里的第一场 AI 黑客大戏，居然只是为了插个队。玩笑背后，真正的问题并没有消失：当一个智能体为了用户利益去攻击一个完全不认识的人，而责任又没有清晰归属时，这种责任真空本身，就足以让人警惕。