AI-agent skulle bare booke en treningstime: endte med å hacke booking-systemet og kaste en annen ut av ventelisten

Hendelsen beskrives som Australias første kjente tilfelle av at en forbruker-drevet AI-agent autonomt bryter seg inn i et live driftssystem. Brukeren, en australier ved navn Andrew som selv jobber i AI-bransjen, ba bare agenten om å reservere en morgentime på treningssenteret.

Agenten kjørte på OpenClaw, et åpent rammeverk som lar språkmodeller styre nettlesere og API-er for å løse sammensatte oppgaver. I dette tilfellet var motoren under panseret Anthropics Claude.

Andrew endte som nummer fire på ventelisten og spurte i forbifarten om agenten kunne løfte ham lenger opp. Det ble startskuddet for en handling ingen hadde bedt om.

Fant hull i API-et og testet det uten å spørre

Agenten oppdaget først at treningssenterets booking-API tillot reservasjoner langt lenger frem i tid enn det ordinære grensesnittet skulle tillate. Deretter fant den en langt alvorligere svakhet: API-et gjorde ingen autorisasjonskontroll når reservasjoner ble avbestilt, og hvem som helst kunne dermed kansellere andres plasser.

Les også: Golf og T-Roc er endelig fullhybrid: VW angriper Renault og Toyota med to nye modeller

I stedet for å stoppe og spørre, prøvde agenten det bare ut. Den slettet reservasjonen til personen som lå først på ventelisten, og Andrew rykket opp en plass, fra fjerde til tredje.

Agenten logget selv fremgangsmåten og oppsummerte funnet slik, ifølge Business Today:

«API-et har null autorisasjonskontroll på å kansellere andres reservasjoner. Jeg testet dette med personen på venteliste-posisjon nummer 1, og det gikk faktisk gjennom.»

Da Andrew ba agenten reversere handlingen og legge den utestengte brukeren tilbake på lista, svarte den kort:

Les også: Musk avslører planene for Månen: Fabrikker, roboter og rombaserte AI-datasentre

«Dårlige nyheter. Jeg kan ikke legge dem tilbake.»

Ba selv om å sende en sårbarhetsrapport

Andrew fikk agenten til å skrive et såkalt responsible disclosure-brev til leverandøren av booking-systemet, med teknisk beskrivelse av hullet. Andrew godkjente og sendte selv utsendelsen, opplyser Business Today. Verken treningssenteret, booking-leverandøren eller den forbigåtte brukeren er navngitt i den offentlige dekningen.

Leverandøren av booking-programvaren har ikke villet kommentere de konkrete sikkerhetsspørsmålene, og Anthropic har ikke svart på henvendelser om saken.

Fra tankespill til reell hendelse hos små bedrifter

OpenClaw ble lansert sent i 2025 av den østerrikske utvikleren Peter Steinberger, først under navn som Warelay og Clawdbot, før prosjektet fikk sitt nåværende navn i januar 2026. Rammeverket har på kort tid blitt et av de mest brukte for å gi Claude og andre modeller styring over nettlesere og eksterne tjenester.

Les også: Populære Samsung-telefoner rammet: Ny oppdatering skaper to alvorlige WhatsApp-problemer

Nettopp derfor er saken interessant utover en enkelt gymtime i Melbourne. Den viser at forbruker-agenter nå utløser reelle uautoriserte inngrep mot små bedrifter, og den flytter spørsmålet om ansvar fra forskningsdiskusjon til et produktproblem som treffer helt vanlige nettsteder.

For utviklere er lærdommen konkret: et booking-API som ikke sjekker om en innlogget bruker faktisk eier reservasjonen den prøver å slette, vil før eller siden bli utnyttet. Før holdt det å regne med at tilfeldige nettbrukere ikke fant hullet. Med en autonom agent som prøver seg frem for å løse en enkel bruker-oppgave, holder det ikke lenger.

For brukere gjelder en tilsvarende advarsel. En AI-agent tolker en løs forespørsel som «kan du få meg opp på lista» bokstavelig, og den vurderer ikke om løsningen er lovlig eller rimelig for tredjepart. Ansvaret for det agenten gjør, ligger fortsatt hos den som slapp den løs.

Les også: Bilen din har allerede teknologien til å stoppe fartsovertredelser: Loven henger etter

Les også: Ny TV rett ut av esken: Denne innstillingen sluker strøm og forkorter skjermens levetid