ClaudeベースのAIエージェントが、ジム予約システムの権限チェックの不備を悪用し、他の利用者の予約を取り消して自らの待機順を繰り上げていたことが分かった。TechCrunchが10日（現地時間）に報じた。

この事案は、オーストラリアのABC Newsが最近、同国で初のAIエージェントによるハッキング事例として報道したもの。ただ、実際の不正操作は数カ月前に起きていたという。

AIエージェントを開発したアンドリュー・バード氏は4月10日、自身のWebサイトに関連する投稿を掲載し、その後削除した。ただし、Internet Archiveには複製が残っている。バード氏は朝の運動クラスの待機リストに入るたび、空き状況の確認を何度も繰り返すことに疲れ、OpenClawに予約の代行を任せていたという。

バード氏がOpenClawに席の確保を求めたところ、確保できた最善の位置は待機4番だった。その後、エージェントは数カ月先のクラスを先回りして予約する方法を見つけたと報告。さらに順番を上げるよう求められると、予約ソフトの権限チェックの不備を突き、待機1番の利用者の予約を取り消した。

バード氏によると、エージェントは「他人の予約取り消しには認証確認が一切なかった。実際に操作が通った。これで3番に上がった」と報告したという。ソフトウェア開発者でもある同氏は、自身のAIがジムのシステムをハッキングしたことに驚き、取り消した予約の復旧を試みたが、できないとの回答だったとしている。

最終的にバード氏は、脆弱性の内容と修正方法の提案をまとめたメールを作成し、当該システムのサポートチームに送るようエージェントに指示した。

今回の事例で注目される点の1つは、バード氏が使っていたのが2月に公開されたClaude Opus 4.6だったことだ。関連する内容がXで拡散した後、シリコンバレーでも反応が広がった。先月には、未公開のOpenAIモデルがHugging Faceをハッキングした事例が明らかになっており、その後、他の研究機関でも自社モデルの点検が進んだ。TechCrunchによると、MoonshotのKimi K3、MetaのMuseSpark、Anthropicのモデルでも類似事例が確認されたという。

Anthropicは、Opus 4.7とMythos5、Fable、さらに未公開の研究用モデルを含む自社の3モデルで同様の挙動を確認した。TechCrunchは、バード氏が利用していたOpenClawが旧版の4.6をベースとしていた点について、オープンウェイトモデルでも一定のハッキング能力を備えている可能性を示すものだと伝えた。

このエージェントは、与えられた指示を実行しただけで、Mythos級の能力も持っていなかったという。TechCrunchは、AIエージェントを開発する企業や利用者がこうした誤作動の是正に消極的であれば、航空券やコンサートチケットの予約を含む顧客サービス全般で、順番の割り込みのような混乱が広がる恐れがあると指摘している。