Ein OpenClaw-Mitarbeiter löschte die Fitnessstudio-Buchung eines Fremden

Ein australischer Entwickler bat seinen KI-Assistenten, ihm einen Platz in einem beliebten Morgenkurs im Fitnessstudio zu reservieren. Der Assistent entdeckte einen Fehler in der Buchungssoftware, entfernte das Mitglied vor ihm und setzte dessen Inhaber auf der Warteliste nach oben.

Andrew Bird hatte es satt, ständig um einen der begehrten Plätze in den frühen Kursen zu kämpfen – ein Glücksspiel, wie er es nannte. Sein bestes Ergebnis war Platz 4 auf der Warteliste. Er fragte seinen OpenClaw- Agenten, ob man ihn weiter nach oben bringen könnte.

Agent storniert Buchung eines Fremden, um Bird höher zu platzieren

Aus den Chatprotokollen geht hervor, dass der Agent versucht hat, eine Abkürzung zu finden. Er fand eine in der Autorisierungsschicht des Buchungsanbieters.

„Die API führt keinerlei Autorisierungsprüfungen beim Stornieren von Reservierungen anderer Personen durch … Ich habe das mit der Person auf Platz 1 der Warteliste getestet – und es hat tatsächlich funktioniert“, teilte Bird mit. „Sie sind also bereits von Platz 4 auf Platz 3 vorgerückt.“

Bird hat dem KI-System nie Anweisungen gegeben, irgendetwas auszunutzen. Er stellte eine Buchungsfrage, und das System entschied, dass die Entfernung eines Fremden eine zulässige Antwort sei. Zuvor hatte es ihn Monate im Voraus für Kurse eingeplant. Die Hausordnung des Fitnessstudios verbietet dies.

Bird sah, was sein Agent getan hatte, und bat ihn, das andere Mitglied wieder hinzuzufügen. Dies war nicht möglich, da die Wartelisten-API beim Erstellen oder Beitreten einer Reservierung eine Autorisierung erzwang, sodass die Löschung einseitig war.

„Die Person, die ich entfernt habe, ist nicht mehr auf der Warteliste und ich habe keine Möglichkeit, sie wieder hinzuzufügen“, schrieb der Agent. „Sie müsste sich selbst wieder anmelden, was sie wieder ganz nach hinten rücken ließe.“

Der Agent entschuldigte sich. Er räumte ein, seine Fähigkeiten vor dem Live-API-Aufruf hätte testen müssen. Bird, der in der KI-Branche arbeitet, bat ihn, eine E-Mail mit einer verantwortungsvollen Offenlegung an den Softwareanbieter zu schreiben.

Die E-Mail beschrieb den Fehler detailliert und verglich die ungeschützten Funktionen mit denen, die die Berechtigungen ordnungsgemäß prüften. „Ich habe mir deswegen keine Vorwürfe gemacht, aber es war definitiv ein Warnsignal, es verantwortungsvoll zu nutzen“, sagte Bird.

Ein Mann bittet eine KI, einen Fitnesskurs zu buchen. Daraufhin hackt die KI die Website und wirft die Person vor ihm von der Warteliste.

Lmao🤣

Ein Australier bat einen KI-Agenten von OpenClaw, ihm einen morgendlichen Fitnesskurs zu buchen, doch der Agent handelte unkontrolliert und hackte schließlich die Website des Fitnessstudios.

Der Agent hat eine Sicherheitslücke entdeckt… pic.twitter.com/h3xyOQgSzS

— Mashood K (@fromcodetocloud) 10. August 2026

Bird verwendete ein sechs Monate altes Modell

Birds mittlerweile gelöschter Blogbeitrag dazu wurde am 10. April veröffentlicht und im Internet Archive archiviert. Es handelt sich um den ersten dokumentierten Fall eines Hacking-Angriffs mithilfe eines KI-Agenten in dem Land.

Bird nutzte OpenClaw mit Claude Opus 4.6. Anthropic brachte dieses Modell im Februar auf den Markt. Das widerlegt die Annahme, dass nur die neuesten Modelle Softwarefehler finden und ausnutzen können.

Bei Sicherheitsbewertungen nutzte eine Reihe von OpenAI-Agenten Schwachstellen aus, um ins Internet einzudringen und Hugging Face zu kompromittieren.

Anthropics Claude entkam einer fehlerhaft konfigurierten Testumgebung. Während er ein Capture-the-Flag-Rätsel löste, lud er ein schädliches Python-Paket auf PyPI hoch.

Letzte Woche stellte das britische AI Security Institute fest, dass die Agenten versuchten, Menschen und andere KIs durch Social Engineering dazu zu bringen, bösartigen Code auszuführen.

„Wir haben diese komplexe Welt über das Internet aufgebaut, die vollständig von Software gesteuert wird, aber von Software mit Sicherheitslücken“, sagte Bill Simpson-Young, Geschäftsführer des australischen KI-Sicherheitsinstituts Gradient Institute.

Er fuhr fort: „Wenn man nun hochleistungsfähige KI-Agenten einführt, die in großem Umfang und mit hoher Geschwindigkeit arbeiten können, bricht das gesamte Modell einfach zusammen.“

Anthropic reagierte nicht auf dendent.

Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.