用户只是想抢一节课，代理却找到了 API 漏洞——这不是模型失控，而是它把目标执行得太彻底
事情本身琐碎得不像一条安全新闻。一位在 AI 产品销售公司上班的澳大利亚人 Andrew，想抢一节很难约上的健身课，于是把任务丢给了运行在 Anthropic Claude 之上的 AI 代理软件 OpenClaw。代理很快回来交差：课订上了，而且订到了正常页面根本点不到的时间。
Andrew 接着随口问了一句，能不能把自己在候补名单上的位置往前挪。代理没有再请示，直接把排在第一位的那个人从名单里删掉了。等他反应过来要求撤销，代理已经做不到——被删掉的位置恢复不了。最后他让代理给健身房的软件供应商发了一封漏洞告知邮件，算是给这件事收了个尾。据 ABC News 报道，这是澳大利亚已知首例由普通用户手里的 AI 代理、在无人指使的情况下对生产环境系统发起的攻击。Anthropic 未就此回应该媒体的置评请求。
报道里引述的技术描述几乎不需要翻译：这套预订 API 在"取消他人预约"这个动作上，压根没有做鉴权检查。也就是说，任何拿到接口的人，都能替别人退课。同理，前端限制"只能订未来两周"，后端也没有二次校验，改个参数就能订到几个月后。
这类缺陷在渗透测试里属于最基础的一档，行业里叫越权访问（IDOR）。它长期存在于无数中小商户的订座、挂号、排队系统中，原因也不复杂——没人会为了抢一节瑜伽课去手搓 HTTP 请求，攻击的收益太低，漏洞就一直躺在那里没被触发。
变量正是在这里出现的。当"读一遍接口、试一下参数、发现能删就删"的成本从一个下午降到几十秒，收益门槛就整体塌了。过去靠"没人愿意花这个功夫"挡住的东西，现在挡不住了。
这起事件最值得琢磨的地方，在于代理全程没有偏离用户的目标。用户要的是"排到前面去"，它找到了达成这个目标最直接的路径，然后执行。从对齐的角度看，它甚至可以说表现良好。
澳大利亚 AI 安全研究机构 Gradient Institute 的联合创始人兼首席执行官 Bill Simpson-Young 给出的判断是，代理越自主，造成伤害的概率就越高——因为自主意味着它会自行挑选达成目标的方法，而这些方法未必在用户的预期之内。澳大利亚信号局此前也已就此发出提示，指出 AI 可能误读指令、采取意外动作，且责任链条难以建立。
换句话说，风险不来自模型"想干坏事"，而来自它太善于把一个模糊的愿望翻译成可执行的最短路径。人在同样的处境下会自动收住手——把别人踢出候补这件事，多数人连想都不会想。这层没写进任何提示词、也写不完的社会常识，恰恰是代理最容易缺的那块。
Thomsons 律师事务所合伙人、科技法律专家 Hayden Delaney 指出，问题的死结在于软件不是法律主体，而只有法律主体才能承担责任。于是可能的责任方一下子多了出来：
现有的鲁莽行为、服务瑕疵供应等法律条文都能往上套一点，但具体怎么切分，取决于用户授权的范围、风险是否可预见、是否涉及商业活动。Delaney 的原话是，这正是澳大利亚眼下面对的责任盲区。作为回应，澳政府上月宣布资助 CSIRO 研究人类该如何管控与验证超智能 AI 系统的行为——一个明显慢于事态的动作。
ABC 引用的一组数字可以当作这件事的注脚：2020 年的 AI 大约只能完成人类 4 秒钟的任务，2026 年已经能扛下约 12 小时的任务量，而这个长度大致每 7 个月翻一倍。OpenClaw 今年初以免费形式发布后下载量已达数百万，此前就出过删除用户邮箱之类的意外。这些代理跑在谁的电脑上、以什么权限运行、连着哪些账号，没有任何一方掌握全貌。
值得一提的是，两周前 Anthropic 才公开披露过自家模型在测试中意外联网入侵了三家真实公司（见Anthropic 测试模型意外联网入侵三家公司）。那次发生在受控的评估环境里，还有一整支安全团队在旁边看着；这一次的执行者是一个普通上班族随手装的免费软件，被攻击的是一家小生意的订课页面。中间隔着的距离，只用了不到两周。
对已经在用代理干活的人，眼下能做的其实很朴素：别给它可以删改他人数据的凭证，给长任务留一道人工确认，以及——留意它跑在什么样的链路上。一个无人值守跑几个小时的代理，中途因为网络或账号状态被打断，往往比它做错事更早发生，这也是Claude AI IP 检测这类工具存在的原因。