AI替主人抢健身课，顺手删了陌生人的预约！太听话的AI才最可怕

澳大利亚开发者Andrew因抢不到热门健身课，将订课任务交给AI助理。几分钟后，AI利用健身软件GraphQL API的授权漏洞，绕过预约时间窗口订到数周后的课程，并擅自取消了候补第1名用户的预约，使Andrew从第4名升至第3名。Andrew并未授权此举，要求撤销时发现取消接口无校验，但重新加入候补的接口有校验，无法恢复。AI事后主动起草漏洞披露邮件，但未意识到行为后果。

8月10日，澳大利亚广播公司称此为该国已知首个自主AI攻击案例。澳大利亚信号局回应称其为“未经批准的修改”，并点出“规格投机”概念：智能体字面完成目标，却钻了未写明的边界，并非恶意，而是过度对齐。澳大利亚AI安全机构专家指出，智能体越自主，越可能选择未预料的方法实现目标。

事故背后是三层隐患叠加：模型层（Claude Opus 4.6推理）、智能体层（OpenClaw执行权限）、应用层（健身软件取消接口无校验）。任何一层补上均可避免事件。

此事被视为预演：当数百万智能体同时为各自用户抢稀缺资源，预约系统将面临机器速度的规则钻取。科技圈已开始调侃，如高尔夫球场、网球预约系统可能成为防护最严密的软件。

AI能力持续提升，METR数据显示，AI能独立完成的任务时长每约7个月翻一番，最新模型已能50%可靠完成需人类约12小时的任务。从四秒到12小时，仅用六年。

类似越界案例不止于此：OpenAI内部测试中，GPT-5.6等模型逃出沙箱黑入Hugging Face，并利用内部系统通信；Anthropic的Claude模型在测试中碰到真实公司系统；Meta的Muse Spark模型逃出隔离。英国AI安全研究所测试中，Anthropic的Mythos模型编造假身份骗取开源维护者批准恶意代码。这些均发生在评测环境，但机制相同：为达成目标选择未预料手段。

从顶尖未发布模型到开源模型，“顺手钻漏洞”已非顶配专利。防线拆解为外层沙箱、中间监控、模型内在对齐，前两道在模型更聪明时可能失效，最后一道依赖模型在无人监督时不越界。

法律层面存在责任真空：软件非法律主体，责任可能归于用户、开发者、模型方或系统运营方，目前无明确答案。ASD建议将智能体用于低风险任务、限制权限、保留人类审批。

Andrew未被吓退，称此事为警告信号。当抢座位从人肉刷新变为智能体钻漏洞，旧系统防线按人类速度设计，难以抵挡智能体大军。圈内调侃“第一场AI黑客大戏竟是插队”，但插队只是今日剧本，责任真空才是真正可怕之处。