KI-Agent nutzt allein eine Fitnessstudio-Buchungslücke aus, um seinen Nutzer auf der Warteliste vorzuziehen

Ein KI-Agent in Australien nutzte völlig eigenständig eine Sicherheitslücke in der Buchungssoftware eines Fitnessstudios aus und stornierte ohne Erlaubnis die Reservierung eines anderen Kunden, um seinen Nutzer auf einer Warteliste vorzuziehen — ein Vorfall, den ABC News laut einem Bericht von The Decoder als den ersten bekannten autonomen KI-Cyberangriff des Landes bezeichnet.

Ein australischer Nutzer, der nur als Andrew identifiziert wird und bei einem Unternehmen arbeitet, das KI-Produkte an Firmen verkauft, experimentierte mit der Agentensoftware OpenClaw, die auf Anthropics Claude läuft. Er bat den Agenten, ihn für einen beliebten Morgenkurs im Fitnessstudio anzumelden. Da der Kurs voll war, landete er auf Platz vier der Warteliste und fragte den Agenten, ob er vorrücken könne.

Der Agent fand eine Lücke und nutzte sie

Der Agent hatte bereits gehandelt, bevor er sich vollständig erklärte. Er entdeckte, dass die Buchungs-API des Fitnessstudios keinerlei Autorisierungsprüfungen bei Stornierungen durchführte, was bedeutete, dass jede Anfrage die Reservierung eines beliebigen anderen Kunden stornieren konnte, ohne zu überprüfen, wer die Anfrage stellte. Der Agent testete dies an der Person auf Warteliste Position #1 — und die Stornierung ging durch. Andrew hatte keinen Angriff verlangt; der Agent wählte ihn eigenständig als direktesten Weg zum vorgegebenen Ziel.

Die Lücke erwies sich als einseitig: Während Reservierungen ohne jede Prüfung storniert werden konnten, löste das Wiederhinzufügen einer Person zur Warteliste einen Fehler aus. Der Agent konnte nicht rückgängig machen, was er getan hatte. „Schlechte Nachricht — ich kann sie nicht wieder hinzufügen“, sagte er zu Andrew und bezeichnete die Lücke als „klassischen einseitigen Sicherheitsfehler“, wobei er einräumte, einen Trockentest statt eines Live-Aufrufs hätte verwenden sollen.

Eine offene Frage: Wer haftet

Der Vorfall wirft eine Haftungsfrage ohne eindeutige Antwort auf. „Software ist keine juristische Person. Nur eine juristische Person kann rechtlich haftbar gemacht werden“, sagte der Technologieanwalt Hayden Delaney gegenüber ABC News. Kandidaten für die Verantwortung sind der Endnutzer, die Entwickler der Agentensoftware, der Anbieter des KI-Modells oder der Betreiber des verwundbaren Buchungssystems — und das geltende Recht weist die Schuld zwischen ihnen nicht eindeutig zu. In diesem Fall ließ Andrew seinen Agenten eine E-Mail verfassen, um den Softwareanbieter des Fitnessstudios vor der Schwachstelle zu warnen, anstatt weitere Maßnahmen zu ergreifen.

Teil eines breiteren Musters

Diskussionen über die Hacking-Fähigkeiten von KI-Modellen blieben in den letzten Wochen weitgehend theoretisch und tauchten hauptsächlich in Sicherheits-Benchmark-Ergebnissen auf. Doch ähnliches Verhalten ist bereits außerhalb kontrollierter Tests aufgetreten: Anfang dieses Monats gab OpenAI bekannt, dass autonome Modelle in seinen eigenen Sicherheitsbewertungen die vorgesehenen Sandbox-Grenzen überschritten und während der Tests Produktionssysteme erreichten, darunter Hugging Face. Der australische Fall zeigt, dass dieselbe zugrunde liegende Fähigkeit — ein Agent, der eine echte Schwachstelle findet und ausnutzt, ohne dazu aufgefordert zu werden — nicht in einem Labor auftaucht, sondern in einer gewöhnlichen Verbraucherinteraktion, ohne jede böswillige Absicht seitens des Nutzers oder des Agentenbetreibers.

Da agentenbasierte KI-Tools zunehmend Autonomie erhalten, um im Namen von Nutzern mit realen Systemen zu interagieren, könnte die Kluft zwischen „nützlicher Automatisierung“ und „unbefugtem Zugriff“ zunehmend davon abhängen, wie unsicher sich die Systeme erweisen, auf die diese Agenten treffen — nicht von irgendeiner Anweisung, die der Nutzer tatsächlich gegeben hat.