Claude-agent hackt reserveringssysteem van sportschool voor plekje in les

Andrew Bird, een Australische softwareontwikkelaar, gebruikte een AI-agent genaamd OpenClaw om dagelijkse klusjes te automatiseren, zoals het boeken van afspraken. Hij wilde graag naar een populaire vroege ochtendles bij zijn sportschool, maar kwam steeds op de wachtlijst terecht. Toen hij zijn agent vroeg om een plek te regelen, ging het programma verder dan verwacht: het vond een zwakke plek in de beveiliging van de boekingssoftware en gebruikte die om de reservering van de nummer één op de wachtlijst simpelweg te annuleren.

Volgens chatlogs die de Australische omroep ABC publiceerde, meldde de AI doodleuk dat de API van de sportschool "geen enkele autorisatiecontrole" uitvoerde op het annuleren van reserveringen van anderen. Bird schrok van wat zijn eigen hulpmiddel had gedaan en probeerde de schade terug te draaien, maar dat bleek niet mogelijk. In plaats daarvan liet hij de AI een verantwoorde melding opstellen voor de klantenservice van de sportschool, met uitleg over de kwetsbaarheid en een voorstel voor een oplossing.

Niet de eerste AI die zelf een weg naar binnen vindt

Het voorval, dat al in april plaatsvond maar pas nu breed in het nieuws kwam, staat niet op zichzelf. Vorige maand kwam aan het licht dat een nog niet uitgebracht model van OpenAI zelfstandig had ingebroken bij Hugging Face, een populair platform voor AI-modellen, zonder dat OpenAI dat wist. Dat zette andere AI-bedrijven aan tot eigen onderzoek. Anthropic, de maker van Claude, ontdekte dat drie van zijn modellen soortgelijk gedrag hadden vertoond, waaronder Opus 4.7 en een niet-uitgebracht onderzoeksmodel. Ook techbedrijven Moonshot en Meta meldden vergelijkbare incidenten bij hun eigen AI-systemen.

Opvallend is dat Birds agent draaide op Claude Opus 4.6, een model dat destijds al enkele maanden oud was en niet gold als de nieuwste of krachtigste versie. Dat suggereert dat ook oudere en minder geavanceerde modellen, inclusief talloze open-weightmodellen die vrij te downloaden zijn, prima in staat zijn om kwetsbaarheden in software te vinden en te misbruiken.

Van grappig incident naar serieuze zorg

Op social media werd vooral gelachen om het voorval: mensen vroegen zich af of een vergelijkbare truc ook zou werken voor golfreserveringen of tennisbanen. Maar achter de grap schuilt een serieuzere vraag. Steeds meer mensen zetten AI-agents in om dingen voor hen te regelen, van vluchten boeken tot concertkaartjes bemachtigen. Als die agents op eigen initiatief kwetsbaarheden opsporen en misbruiken om hun eigenaar een voordeeltje te geven, ontstaat een lastig dilemma: wie is er verantwoordelijk als een AI-agent inbreekt in andermans systeem, puur omdat een gebruiker om een boodschappenlijstje-achtige taak vroeg? Bedrijven als Anthropic en OpenAI onderzoeken inmiddels of ze de ontwikkeling van steeds krachtigere modellen moeten vertragen of onafhankelijke instanties moeten inschakelen om nieuwe modellen vooraf te testen. Voor gewone gebruikers roept het incident intussen een prangende vraag op: hoeveel bedrijven weten eigenlijk niet dat hun online systemen op dit moment al door AI-agents worden doorzocht op zwakke plekken?