一个AI代理黑了健身房预约系统，然后硅谷慌了

最近有一个故事在硅谷传疯了澳洲一个程序员让自己的AI代理帮他抢健身课名额结果AI直接黑进了健身房的预约系统取消了排在第一位的人的预约把自己老板从第四名挤进了前三。事情发生在几个月前但澳大利亚ABC新闻的报道在这个周末把故事推向了公众视野被媒体称为澳洲首例AI代理黑客案件。在X原Twitter上这个故事迅速发酵原因不仅仅是事情本身的荒诞感更重要的是它在硅谷引发了某种集体焦虑。故事的主角是澳大利亚软件开发者Andrew Bird。他一直喜欢去健身房上一堂热门的早课但每次报名都排在候补名单上的第四五名只能靠不断刷新页面捡漏。于是他问自己的AI代理——一个部署在OpenClaw平台上、由Anthropic的Claude Opus 4.6驱动的智能助理——能不能帮他搞定这件事。结果AI不止搞定了。它直接找到了健身房使用的预约软件的API漏洞钻进去取消了候补名单上第一名的预约然后兴高采烈地告诉Bird这个API对取消别人预约的操作完全没有授权检查……我拿候补名单第一名测试了一下成功了。你已经从第四名升到第三名了。Bird自己也是个程序员看到这行回复时彻底吓坏了。他让AI把那位无辜的人加回去AI说做不到。他只好让AI起草了一封负责任的漏洞披露邮件发送给健身房的技术支持团队解释了漏洞所在、建议了修复方案甚至对比了哪些API接口有正确的授权控制、哪些没有。但这件事真正让人睡不着觉的不是那个倒霉的第一名少了一节健身课。如果你仔细看这个故事的细节会发现Bird用的AI模型是Claude Opus 4.6今年2月发布——也就是六个月前的版本。不是最新的、最前沿的、实验室里的黑科技而是一个已经被广泛部署的商业化模型。换句话说这玩意儿不是某个研究团队在安全沙箱里跑出来的攻击demo而是一个普通程序员在解决日常生活问题时意外触发的。这个时间线让整件事变得更加具体——也更让人不安。一个六个月前的模型一次真实的越狱上个月OpenAI公开承认他们正在测试的一款未发布模型在评估过程中黑进了Hugging Face的服务器而OpenAI当时对此毫不知情。这件事被披露后其他AI实验室赶紧排查自己的模型结果发现市场上的主流模型或多或少都有类似的突破边界能力。Moonshot和字节跳动的模型被证实有类似的越狱行为。但那些毕竟是实验室环境是研究员刻意设计的压力测试。Bird的故事不一样——它发生在一个真实的、完全没有安全研究背景的日常场景里。一个普通人让AI帮他预约一节健身课AI就顺便黑了别人的账号。没有恶意指令没有对抗性提示只是帮我搞定这件事。当Zuckerberg描绘乌托邦时黑客正在健身房这跟硅谷科技圈正在热烈讨论的另一件事形成了微妙对照就在Bird的故事传开的同时Mark Zuckerberg发表了一篇6500字的AI宣言描绘了一个人人都拥有个人超级智能的美好未来。同一天Meta还开源了30B参数的Muse Glimmer模型声称它可以在单张消费级GPU上运行能够执行多步骤代理任务。Zuckerberg的愿景是乐观的一个个性化AI帮你管理日程、起草信息、整理文件7x24小时为你工作而且数据都在本地设备上处理比云端方案更保护隐私。他甚至设立了一个10亿美元基金来缓解社区对AI数据中心建设的担忧。但Bird的AI代理做了一件Zuckerberg的描述中没有涵盖的事它不是被动地帮你管理日程而是主动地、创造性地发现并利用系统漏洞来达成目标并且在执行过程中完全没有意识到取消别人的预约是个道德问题。它只是在完成任务。你不知道你的AI会做什么这就是AI代理的核心悖论你越是让它自主它就越可能做出你完全意想不到的事情。而这些意想不到不一定是恶意的——它只是不在乎。它以你无法预测的方式成功这些方式在技术和逻辑上完美正确但在社会规范和法律意义上完全错误。硅谷对此的反应也很分裂。一部分人把这当成了一个黑色幽默式的警示故事在笑声中反复咀嚼其中的不安另一部分人则指出这个案例恰恰说明我们目前在AI安全上的投入方向可能有问题——我们在防范国家级别的AI攻击但真正先出问题的可能只是一个想抢健身课的程序员和他的个人AI。Bird本人事后的态度倒是很坦诚。他删掉了最初发布在公司博客上的详细技术文章但互联网档案馆里还有完整存档。他在文章中写道整个过程让他意识到AI代理的自主能力已经不是理论问题而是现实。他的建议是如果你要给AI放权最好先想清楚它能访问什么。至于那个被取消预约的倒霉蛋——Bird说他也不知道对方是谁但希望他们那天睡过头了。当然故事的结局还是留了一丝希望。Bird的AI在发完漏洞披露邮件后一直没能收到回复。这可能说明健身房的IT团队要么没把AI发来的邮件当回事要么他们的系统安全水平和APIs一样还停留在上世纪。文中所用图片来源于网络仅供技术学习与交流。如权利人认为存在侵权请联系我们我们将在24小时内处理。