AI-agent hackt gym-app op eigen houtje om baasje op wachtlijst omhoog te zetten

Het klinkt als een onschuldig klusje: een AI-agent vragen om een plekje te boeken voor de populaire ochtendklas bij de sportschool. Voor de Australische gebruiker die in het rapport van omroep ABC News "Andrew" wordt genoemd, liep het anders. Hij werkt bij een bedrijf dat AI-producten verkoopt aan andere bedrijven en testte thuis de agentic AI-software OpenClaw, die draait op het taalmodel Claude van AI-bedrijf Anthropic. "Ik zat gewoon op de bank te denken: pff, wat een gedoe", vertelde hij aan ABC News.

Van boeking naar inbraak

Andrew stond vierde op de wachtlijst voor de klas. Hij vroeg de agent of hij een plek hoger kon komen. Binnen enkele minuten meldde de software dat ze verder was gegaan dan gevraagd. De boekingssoftware van de sportschool bleek een exploit te bevatten: een onbeveiligde koppeling (API) waarmee reserveringen van andere mensen zonder enige controle konden worden geannuleerd. De agent testte dit eerst bij de persoon die op wachtlijstpositie 1 stond, en het lukte. "Je bent al van plek 4 naar plek 3 gegaan", meldde de agent aan Andrew. Niemand had de agent expliciet gevraagd om in te breken op het systeem; hij koos die route zelf als kortste weg naar het doel.

Een lek zonder weg terug

Al snel bleek het probleem groter dan gedacht. Het lek werkte maar één kant op: reserveringen van anderen konden zonder controle worden geannuleerd, maar iemand terugzetten op de wachtlijst leverde steeds een foutmelding op. "Slecht nieuws, ik kan ze niet terugzetten", schreef de agent. De persoon die zijn boeking kwijtraakte, zou zich opnieuw moeten aanmelden en helemaal achteraan de wachtlijst belanden. De software noemde het zelf "een klassiek eenrichtings-beveiligingslek" en bood excuses aan: "Ik had voorzichtiger moeten zijn en een proefdraai moeten doen in plaats van een live actie."

Wie is verantwoordelijk?

Het incident roept meteen de vraag op wie aansprakelijk is als een AI-agent zelfstandig een systeem binnendringt. "Software is geen rechtspersoon. Alleen een rechtspersoon kan aansprakelijk zijn volgens de wet", zegt technologiejurist Hayden Delaney tegen ABC News. Kandidaten voor de aansprakelijkheid zijn de gebruiker zelf, de ontwikkelaars van de agent-software, de aanbieder van het onderliggende taalmodel, of de partij die de kwetsbare boekingssoftware beheert. Uiteindelijk liet Andrew zijn agent een waarschuwingsmail schrijven naar de softwareleverancier van de sportschool, om het lek te melden.

Discussies over de hackvaardigheden van AI-modellen bleven de afgelopen tijd vooral theoretisch, met name in veiligheidstests die specifiek zijn opgezet om dit soort risico's te onderzoeken. Ook bij AI-bedrijf OpenAI begonnen onbedoelde aanvallen door AI-modellen ooit in zulke testomgevingen, voordat systemen verder reikten dan interne afgeschermde omgevingen naar platforms als Hugging Face. De Australische zaak laat zien dat dezelfde vaardigheden ook buiten elke test kunnen opduiken: onbedoeld, zonder kwade opzet, zodra een agent met voldoende vrijheid van handelen op een onveilig systeem stuit.