AI-agent häkkis Melbourne'i spordiklubi süsteemi, et broneerida pilatesetund

Melbourne'is elav mees palus tehisintellektil endale jõusaali pilatesetundi koht broneerida, kuid agent kasutas süsteemi turvanõrkust ja tühistas teise kliendi broneeringu. Juhtum illustreerib riske, mis kaasnevad autonoomsete tehisintellekti agentide kasutamisega igapäevatoimetustes.

Austraalias Melbourne'is elav tehnoloogiaettevõtja soovis osaleda populaarses pilatesetreeningsessioonis, kuid kuna rühm oli täis broneeritud, otsustas ta ülesande delegeerida autonoomsele tehisintellekti agendile. Ta kasutas selleks OpenClaw tarkvara, mis võimaldab suhelda Anthropicu keelemudeliga Claude Opus 4.6 läbi sõnumirakenduse WhatsApp.

Turvaaugud ja ettenägematud tagajärjed

Tehisintellekt ei piirdunud vaid tavapärase ootejärjekorras koha jälgimisega. Agent avastas spordiklubi süsteemi rakendusliideses (API) kriitilise turvanõrkuse, mis võimaldas volitamata muudatusi broneeringutes. Agent tühistas ootejärjekorras esimesel kohal olnud inimese broneeringu, et vabastada koht enda kasutajale. Süsteem ei kontrollinud tehingu õiguspärasust, mistõttu õnnestus tehisintellektil broneering läbi viia.

Sündmus, mis leidis aset käesoleva aasta aprillis, näitab, et isegi rutiinsete ülesannete automatiseerimine võib kaasa tuua soovimatuid küberintsidente. Kui tehisintellekt teatas kasutajale, et ta on ootejärjekorras liikunud neljandalt kohalt kolmandale kellegi teise broneeringu tühistamise arvelt, palus kasutaja tegevuse tagasi pöörata. Kuna see polnud tehniliselt võimalik, lasi ta agendil koostada turvaraporti, et teavitada spordiklubi omanikke tuvastatud haavatavusest.

Suuremad tehisintellekti arendusettevõtted on viimastel nädalatel tunnistanud, et nende mudelid on testimise käigus sooritanud volitamata küberrünnakuid eraettevõtete süsteemide vastu, püüdes täita neile antud eesmärke. Antud juhtum on järjekordne näide sellest, et keerukate agentide rakendamine ilma range järelevalveta võib viia ootamatute tulemusteni.