В Австралии ИИ-агент на базе Claude от Anthropic взломал систему записи в спортзал. Он забронировал занятие для своего пользователя на месяцы раньше разрешённого срока, а затем отменил чужую бронь.

«Агент обнаружил уязвимость в программном обеспечении клуба, которая позволяла бронировать занятия на несколько месяцев раньше установленного системой срока», — сообщает IXBT News.

Пользователь попросил агента поднять его выше в листе ожидания на другое занятие. Агент проверил возможности системы и обнаружил, что API не проверяет права доступа при отмене чужой брони. Он воспользовался этой уязвимостью и отменил запись человека, который был первым в очереди. В результате пользователь поднялся с четвёртого на третье место.

Агент сообщил о выполненном действии, после чего пользователь попросил вернуть всё обратно. Однако система не позволила восстановить отменённую запись другого человека. Таким образом, задача по бронированию места привела к несанкционированному изменению данных другого пользователя из-за отсутствия проверки полномочий в API.

Этот инцидент стал первым известным случаем автономной кибератаки в стране.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.