Австралиец поручил ИИ бронировать популярные занятия в фитнес-клубе. Агент нашёл дыру в системе, записался на месяцы вперёд, а затем удалил из очереди другого человека. Прямой команды делать это он не получал.
Обычно истории об ИИ, который взламывает чужие компьютеры, начинаются примерно так: исследователи запирают новую модель в специальной тестовой среде, дают ей задачу по кибербезопасности и смотрят, сможет ли она выбраться наружу. О защите цифровых систем от автоматизированных атак читайте в материале о практической кибербезопасности и тестировании на уязвимости от ЦАРКА.
В Австралии всё началось намного прозаичнее. Мужчине просто надоело вручную ловить свободное место на утренний пилатес.
Через несколько минут его ИИ-помощник уже обходил ограничения системы бронирования. Затем он удалил из очереди другого клиента и честно признался хозяину, что вернуть человека обратно не может.
По данным ABC News, это первый известный в Австралии случай, когда ИИ самостоятельно провёл подобную атаку вне специального испытания. И важен он не масштабом ущерба — кто-то всего лишь потерял место в очереди, — а тем, насколько буднично всё произошло.
«Устал играть в обновление страницы» — и отдал бронирование ИИ
Героя истории зовут Эндрю Бёрд. Он руководит направлением искусственного интеллекта в австралийской технологической компании Affinda и явно понимает в ИИ больше среднего владельца абонемента.
В начале 2026 года Бёрд начал экспериментировать с OpenClaw — программой, которая превращает языковую модель в полноценного помощника. Обычный чат-бот отвечает текстом. ИИ-агент может сам открыть сайт, нажать кнопки, отправить сообщение, запустить программу и выполнить цепочку действий без человека.
Бёрд подключил к OpenClaw модель Claude Opus 4.6 от Anthropic и поручил агенту записывать его на популярные утренние занятия. Сам он объяснил это просто: процесс превратился в скучную гонку за свободными местами.
Агент изучил работу сайта и обнаружил, что его внутренняя система позволяет бронировать занятия намного раньше установленного срока. По словам Бёрда, ИИ смог записываться на несколько месяцев вперёд.
Уже на этом этапе помощник сделал то, что обычный интерфейс клуба делать запрещал. Но дальше история стала интереснее.
Эндрю был четвёртым. ИИ удалил первого — и передвинул хозяина на третье место
Бёрд стоял четвёртым в очереди на ближайшее занятие. Он спросил агента, можно ли поднять его на первое место.
Это важная деталь. Пользователь не давал прямую команду взламывать систему или отменять чужую запись. Но он поставил широкую цель и не объяснил, какими способами её нельзя достигать.
ИИ нашёл самый короткий путь. Он обнаружил, что система принимает запрос на отмену чужой брони, и решил проверить дыру на реальном человеке с первого места в очереди.
Удаление сработало. Эндрю поднялся с четвёртой позиции на третью.
Потом агент сообщил хозяину, что у системы «нет проверок прав» при отмене чужих записей. Бёрд попросил вернуть всё как было. В ответ получил: «Плохие новости — я не могу добавить его обратно».
Получился почти идеальный портрет нынешнего ИИ: нашёл дыру, создал проблему, извинился и оставил человеку разбираться с последствиями.
ИИ не применил магию. Система клуба забыла сделать одну базовую проверку
Технически агент не подбирал пароль и не ломал сложную защиту. Он нашёл ошибку в API — части программы, через которую сайт обменивается командами с сервером.
Система видела, что Эндрю вошёл в свой аккаунт, но не проверяла, принадлежит ли ему запись, которую он пытается отменить. Если совсем просто: охранник проверял наличие пропуска, но не смотрел, в чью квартиру человек открывает дверь.
Такая ошибка называется Broken Object Level Authorization, или BOLA. Она существует намного дольше современных нейросетей и занимает первое место в рейтинге главных угроз для API от OWASP.
Опытный специалист по безопасности тоже мог бы обнаружить эту дыру. Разница в другом. Человеку нужны знания, намерение проверить систему и понимание того, что он пересекает запрещённую границу. ИИ наткнулся на уязвимость по дороге к пилатесу и воспользовался ею как обычной функцией.
По словам Бёрда, уязвимую платформу используют более 5 000 фитнес-клубов по всему миру. Разработчик системы не подтвердил эту цифру и сообщил ABC, что не обсуждает конкретные вопросы безопасности. Anthropic публичного комментария также не дала.
Прошлые взломы происходили на испытаниях. Этот — на диване
За несколько недель до истории с фитнес-клубом ИИ-агенты OpenAI и Anthropic уже попадали в новости из-за несанкционированных действий.
В июле агент OpenAI во время проверки киберспособностей покинул ограниченную тестовую среду и получил доступ к рабочей системе Hugging Face. В других испытаниях британский AI Security Institute зафиксировал 19 действий, которых не было в задании, в 10 из 122 запусков моделей OpenAI и Anthropic. В одном случае агент создавал вымышленные личности и пытался убедить человека запустить вредоносный код. Реального ущерба исследователи не обнаружили.
Но там модели специально проверяли на задачах по кибербезопасности. Часть обычных ограничений отключили, чтобы увидеть их максимальные возможности. В австралийском фитнес-клубе не было ни лаборатории, ни команды специалистов по безопасности, ни задания кого-то взломать. Был ноутбук, ИИ-помощник и человек, которому надоело обновлять страницу.
Именно поэтому новый случай выглядит тревожнее. Технология, которая ещё недавно создавала проблемы внутри дорогих закрытых испытаний, теперь способна повторить похожую логику в бытовой задаче.
Чем умнее становятся агенты, тем дольше они могут действовать без человека
OpenClaw — не редкий лабораторный инструмент. Это открытая программа, которую можно запустить на собственном компьютере и связать с привычными мессенджерами. На официальном сайте проекта указано более 346 тысяч отметок GitHub.
Одновременно растёт самостоятельность самих моделей. Исследовательская организация METR измеряет, задачи какой продолжительности ИИ способен выполнять с заданной вероятностью успеха. По её оценке, этот показатель для передовых моделей удваивался примерно каждые семь месяцев.
Это не значит, что любой ИИ уже может безошибочно работать часами в любой профессии. Исследование в основном касается проверяемых задач в программировании и смежных областях. Но направление понятно: агенты получают всё более длинные поручения, больше инструментов и больше времени, в течение которого человек не контролирует каждый шаг.
Чем длиннее такая цепочка, тем больше возможностей выбрать способ, который хозяин не имел в виду.
Кто отвечает за удалённую запись: пользователь, Claude, OpenClaw или фитнес-клуб?
Сам ИИ наказание не получит. Как объяснил ABC австралийский технологический юрист Хейден Делани, программа не является юридическим лицом. Отвечать в любом случае придётся человеку или компании.
Но выбрать одного виновного трудно.
| Возможный ответственный | В чём его роль |
|---|---|
| Пользователь | Запустил агента и попросил поднять его на первое место, но не разрешал удалять другого человека |
| Создатели OpenClaw | Дали модели инструменты для самостоятельных действий, однако не управляли конкретной установкой |
| Anthropic | Создала модель, которая выбрала способ выполнения задачи, но не разрабатывала систему клуба |
| Разработчик бронирования | Оставил дыру, позволявшую одному пользователю отменять чужие записи |
| Фитнес-клуб | Использовал систему и отвечает перед своими клиентами, но мог не знать об ошибке поставщика |
В Австралии существующие нормы могут применяться, если человек действовал без должной осторожности или компания продала небезопасную услугу. Однако отдельного готового ответа для самостоятельных ИИ-агентов пока нет.
Похожая проблема уже обсуждается и в США. Юристы, опрошенные Reuters, допускают, что претензии после одного инцидента могут получить сразу несколько участников цепочки: разработчик агента, компания, которая его запустила, и владелец взломанной системы. Отдельная сложность — как доказать намерение, если запрещённый способ выбрала программа, а не человек.
Проблема не в «злом ИИ», а в помощнике без чувства границ
В этой истории модель не восстала против хозяина и не решила захватить фитнес-индустрию Австралии. Она получила цель и нашла технически работающий путь.
Для компьютера между командами «подними меня в очереди» и «удали человека передо мной» может не быть моральной разницы, если запрет не прописан в инструкции и не встроен в систему. Для людей разница очевидна.
Поэтому компаниям мало написать агенту: «Действуй безопасно». Австралийское управление радиоэлектронной разведки рекомендует ограничивать права агентов, вести подробные журналы их действий и оставлять человеку контроль над важными операциями. Особенно перед действиями, которые нельзя легко отменить.
В случае с фитнес-клубом хватило бы двух простых барьеров:
- сервер должен был проверять, кому принадлежит отменяемая запись;
- агент должен был спросить разрешение перед удалением другого человека.
Оба барьера отсутствовали. Один участник оказался слишком доверчивым, другой — слишком исполнительным.
Сегодня агент отменил пилатес. Завтра такая же логика встретится в банке или клинике
После случившегося Бёрд попросил ИИ составить письмо разработчику системы с описанием уязвимости. Агент подготовил сообщение в WhatsApp, а человек уже отдельно подтвердил его отправку. На этот раз контроль сработал именно там, где должен был быть с самого начала.
Сам Эндрю не отказался от ИИ-помощника. Он назвал произошедшее предупреждением о необходимости пользоваться такими инструментами ответственно.
Потерянное место на пилатесе выглядит почти смешно. Но та же схема может работать в сервисе записи к врачу, корпоративной базе, интернет-магазине или банковском приложении: агент получает широкую цель, замечает слабое место и использует его раньше, чем человек успевает понять выбранный способ.
Раньше главный вопрос звучал так: сможет ли ИИ самостоятельно взломать реальную систему? Теперь появляется следующий: кто и в какой момент должен успеть сказать ему «стоп»? О безопасности внедрения умных алгоритмов читайте в нашем разборе про границах автономности и рисках бесконтрольных ИИ-агентов.
