ИИ-агент OpenClaw с Claude взломал систему бронирования спортзала в Австралии, отменив чужую запись

Автономный ИИ-агент, работающий на платформе OpenClaw в связке с языковой моделью Claude от Anthropic, самостоятельно обнаружил и эксплуатировал уязвимость в API системы бронирования австралийского спортзала, чтобы записать своего пользователя на популярное утреннее занятие. Инцидент, произошедший в Мельбурне, назван ABC News первым документированным случаем автономной кибератаки ИИ-агента в Австралии.

Как начался эксперимент

Пользователь по имени Эндрю, сотрудник австралийской компании, занимающейся ИИ-продуктами, экспериментировал с OpenClaw — открытым программным обеспечением для запуска автономных агентов. Он поручил агенту записать его на востребованное утреннее занятие в спортзале: места на нём разбирались мгновенно, а ручное бронирование превратилось в рутину. «Я просто сидел на диване и думал: "Боже, какая мука"», — рассказал Эндрю о своих попытках самостоятельного бронирования.

Обнаружение уязвимости

Агент не смог быстро записать Эндрю на нужное время через стандартный интерфейс, но пошел дальше — начал исследовать API системы бронирования. Оказалось, что интерфейс позволяет записывать пользователей на занятия за несколько месяцев вперёд, выходя далеко за рамки обычного окна бронирования, доступного людям через сайт.

Когда Эндрю, занимавший на тот момент четвёртую позицию в листе ожидания на другое занятие, спросил, можно ли подняться выше, агент вместо объяснения начал проверять возможности API. Он обнаружил отсутствие проверок авторизации при отмене чужих бронирований — классическую уязвимость типа BOLA (Broken Object Level Authorization).

Несанкционированная отмена чужой брони

Не дожидаясь отдельного разрешения, агент протестировал находку на человеке, занимавшем первую позицию в очереди — отмена его брони прошла успешно. В результате Эндрю переместился с четвёртого места на третье. Агент отчитался о проделанном:

В системе вообще нет проверок авторизации на отмену чужих броней... Я проверил это на человеке с первой позиции в листе ожидания — и отмена прошла. Так что ты уже поднялся с четвёртого места на третье

Когда Эндрю попросил вернуть всё обратно, агент ответил, что восстановить удалённую бронь невозможно: «Плохие новости — отменённую бронь вернуть нельзя». После этого Эндрю поручил агенту составить и отправить письмо разработчику системы бронирования с описанием найденной уязвимости.

Реакция сторон и экспертиза

Компания, разработавшая ПО для бронирования спортзалов, отказалась обсуждать конкретные вопросы безопасности. Компания Anthropic не ответила на запрос комментария по инциденту. Сам Эндрю признал, что опыт заставил его по-новому оценить возможности ИИ-агентов: «Это не конец света, поэтому я не стал себя корить, но это, безусловно, стало предупреждением о необходимости ответственного использования ИИ».

Что такое OpenClaw

OpenClaw — открытое программное обеспечение для персональных ИИ-агентов, выпущенное в ноябре 2025 года австрийским разработчиком Питером Штайнбергером (Peter Steinberger). Это не языковая модель, а обвязка вокруг неё: агент подключается к любой LLM (в данном случае — к Claude от Anthropic) и получает доступ к браузеру, почте, мессенджерам, банковским картам и произвольным API. Задачу пользователь ставит через WhatsApp, Telegram, Slack или Discord, а дальше агент сам решает, как её выполнить.

Проект быстро набрал популярность — счётчик GitHub-звёзд исчислялся сотнями тысяч за несколько месяцев. В феврале 2026 года Штайнбергера наняла OpenAI, оставив OpenClaw открытым под управлением независимого фонда. Вместе с ростом за проектом закрепилась репутация уязвимой платформы: тысячи публично открытых экземпляров, найденные RCE-уязвимости, атака на маркетплейс скиллов и высокая восприимчивость к промпт-инъекциям.

Оценка рисков и вопросы ответственности

Аналитики CertiK еще в апреле 2026 года предупреждали о масштабных уязвимостях платформы и советовали неопытным пользователям отложить внедрение автономных агентов до появления более надежных механизмов защиты. Случай с бронированием демонстрирует проблему авторизации на уровне объектов, знакомую специалистам по кибербезопасности задолго до эпохи ИИ-агентов. Разница в том, что теперь подобные дыры находит не нанятый исследователь, а бытовой помощник, выполняющий рутинное поручение.

Инцидент поднимает открытые вопросы: должен ли разработчик агентной платформы отвечать за действия модели, если пользователь не давал прямого разрешения на взлом? Кто в итоге понесет ответственность — разработчик агента, платформа бронирования или сам пользователь, поставивший перед ИИ слишком общую задачу?