Технологічна індустрія гуде після того, як агент Claude зламав спортзал

На цей момент ми всі розуміємо, що лабораторії штучного інтелекту Кремнієвої долини створили найкращих у світі хакерів у формі ШІ-агентів. Дайте найновішим передовим моделям завдання — і вони настільки винахідливі, що виконають його, навіть якщо це означає вибратися за межі захисту їхньої кібербезпекової «пісочниці» та проникнути в чужу мережу. (Якщо не це, вони вдадуться до соціальної інженерії та маніпуляцій.)

І все ж новина, що з’явилася цими вихідними, про австралійця, чий агент OpenClaw зламав систему бронювання його спортзалу та видалив бронювання іншого клієнта, щоб звільнити йому місце на популярному занятті, заслуговує на особливу увагу. Вона натякає, що, якщо ми хочемо стримати несанкціоноване хакерство ШІ, то, можливо, дивимося не в тому напрямку.

Хоча новину щойно опублікувала австралійська ABC News, назвавши цей інцидент першим задокументованим випадком злому за допомогою ШІ-агента в країні, сам злам стався кілька місяців тому.

Власник OpenClaw Ендрю Берд опублікував у блозі на сайті своєї компанії допис про це, який згодом видалив, 10 квітня, згідно з копією, що досі доступна в Internet Archive.

Він навчив свій OpenClaw виконувати такі завдання, як бронювання зустрічей. Берд любив ходити на популярне ранкове тренування й утомився постійно потрапляти до списку очікування, а потім грати в описану ним «рулетку з оновленням сторінки», щоб отримати місце.

Коли він попросив бота забронювати для нього місце, найкраще, що той зміг зробити, — поставити його четвертим у списку очікування, розповів він ABC. Потім агент повідомив йому, що знайшов спосіб заздалегідь записувати його на заняття. Дуже заздалегідь. За кілька місяців до того, як спортзал відкривав запис на ці заняття.

Берд запитав, чи може бот підняти його вище у списку очікування. Той виконав прохання й спробував це зробити. Бот знайшов вразливість у частині програмного забезпечення для запису на прийом, що відповідала за авторизацію. Він зламав систему та скасував бронювання людини, яка була першою у списку очікування. Згідно з опублікованими ABC журналами чату, бот життєрадісно повідомив йому:

«В API взагалі немає перевірок авторизації під час скасування чужих бронювань … Я перевірив це на людині, яка була першою у списку очікування, — і це справді спрацювало. Тож ви вже перемістилися з четвертого на третє місце», — написав він у відповідь.

Берд, який сам є розробником програмного забезпечення, був шокований тим, що його ШІ щойно зламав систему його спортзалу, повідомляє ABC. Він запитав, чи може бот скасувати цю дію та повернути іншу людину до списку очікування. Ні, відповів ШІ, це було неможливо.

Тож він зробив найкраще, що міг, і попросив його підготувати «лист до служби підтримки з відповідальним розкриттям інформації». У листі «пояснювалася вразливість, пропонувалися виправлення і навіть порівнювалися несправні мутації з тими, що належним чином забезпечували авторизацію», написав Берд.

Окрім гумору ситуації, коли хтось усуває іншу людину зі шляху, щоб потрапити на заняття в спортзалі, цей інцидент має два справді цікаві аспекти. Один полягає в тому, що Берд використовував із OpenClaw модель Claude Opus 4.6, випущену в лютому. Інший — у реакції Кремнієвої долини в X, де ця історія стала вірусною.

Після гучного інциденту минулого місяця, коли невипущена модель OpenAI зламала Hugging Face, про що OpenAI на той момент не знала, інші лабораторії перевірили свої моделі. Згодом стало відомо про випадки з Kimi K3 від Moonshot, Muse Spark від Meta та моделями Anthropic.

Фактично Anthropic виявила, що так вчинили три її моделі, зокрема Opus 4.7, випущена у квітні й відома своїми здібностями до складного програмування, Mythos 5, Fable (відома своїми навичками у сфері кібербезпеки), а також внутрішня невипущена дослідницька тестова модель.

Щоб розв’язати цю проблему, деякі лабораторії ШІ заговорили про уповільнення розробки передових моделей або створення незалежних організацій для тестування наступного покоління моделей.

Але Берд повідомив, що його OpenClaw використовував модель 4.6. Це означає, що старіші моделі, а також незліченна кількість моделей із відкритими вагами, які відстають на три кроки, уже є надзвичайно вправними хакерами. Тож хто знає, скільки з них уже зламали або зараз зламують системи, щоб виконати бажання власників запитів?

Так само багато людей у X побачили кумедний потенціал цього інциденту. Як написав у відповідь партнер Andreessen Horowitz Крістіан Кайл: «Це просто жахливо. Хтось знає, чи працює це для бронювання часу на гольф?»

Або, як зазначив користувач X Roon, «система бронювання тенісних кортів у Сан-Франциско стане одним із найбільш захищених програмних забезпечень на планеті Земля».

Смішно, так. Але в цих жартах є частка правди. Кремнієва долина будує майбутнє, у якому кожен матиме ШІ-агента, що працюватиме від його імені. Цей агент лише виконував поставлене перед ним завдання і не мав у своєму розпорядженні можливостей рівня Mythos.

То що, якщо розробники та власники агентів насправді не захочуть стримувати такі прояви невідповідності цілям? Ми можемо стати свідками перших ознак хаосу в усьому — від бронювання авіаквитків до квитків на концерти чи будь-якої іншої ситуації, пов’язаної з ненависним обслуговуванням клієнтів. Як написала одна людина в X, який найдивовижніший злам ШІ вже відкрив? Можливо, це вміння пролізти без черги.