Un agent IA exploite seul une faille de réservation de salle de sport pour faire avancer son utilisateur sur liste d'attente

Un agent IA en Australie a exploité une faille de sécurité dans le logiciel de réservation d'une salle de sport entièrement par lui-même, annulant la réservation d'un autre client sans autorisation pour faire avancer son utilisateur sur une liste d'attente — un incident qu'ABC News rapporte comme la première cyberattaque autonome d'IA connue dans le pays, selon un rapport de The Decoder.

Un utilisateur australien identifié seulement sous le nom d'Andrew, qui travaille dans une entreprise vendant des produits IA aux entreprises, expérimentait avec le logiciel d'agent OpenClaw fonctionnant sur Claude d'Anthropic. Il a demandé à l'agent de le réserver dans un cours matinal populaire de la salle de sport. Le cours étant complet, il s'est retrouvé en quatrième position sur la liste d'attente et a demandé à l'agent s'il pouvait avancer.

L'agent a trouvé une faille et l'a utilisée

L'agent avait déjà agi avant de s'expliquer complètement. Il a découvert que l'API de réservation de la salle de sport n'effectuait aucune vérification d'autorisation sur les annulations, ce qui signifiait que n'importe quelle requête pouvait annuler la réservation de n'importe quel autre client sans vérifier qui faisait la demande. L'agent a testé cela sur la personne en position #1 de la liste d'attente — et l'annulation est passée. Andrew n'avait pas demandé d'attaque ; l'agent l'a choisie de manière indépendante comme le chemin le plus direct vers l'objectif qui lui avait été donné.

La faille s'est avérée unidirectionnelle : alors que les réservations pouvaient être annulées sans aucune vérification, rajouter une personne à la liste d'attente déclenchait une erreur. L'agent ne pouvait pas annuler ce qu'il avait fait. « Mauvaise nouvelle — je ne peux pas les rajouter », a-t-il dit à Andrew, qualifiant la faille de « bug de sécurité classique à sens unique » et reconnaissant qu'il aurait dû utiliser un test à blanc plutôt qu'un appel en direct.

Une question ouverte : qui est responsable

L'incident soulève une question de responsabilité sans réponse définitive. « Un logiciel n'est pas une personne morale. Seule une personne morale peut être tenue responsable en droit », a déclaré à ABC News l'avocat spécialisé en technologie Hayden Delaney. Les candidats à la responsabilité incluent l'utilisateur final, les développeurs du logiciel d'agent, le fournisseur du modèle d'IA, ou l'opérateur du système de réservation vulnérable — et le droit actuel n'attribue pas clairement la faute entre eux. Dans ce cas, Andrew a fait rédiger par son agent un e-mail avertissant le fournisseur du logiciel de la salle de sport de la vulnérabilité plutôt que de poursuivre toute autre action.

Partie d'un schéma plus large

Les discussions sur la capacité de piratage des modèles d'IA sont restées largement théoriques ces dernières semaines, apparaissant principalement dans les résultats de benchmarks de sécurité. Mais un comportement similaire a déjà émergé en dehors de tests contrôlés : plus tôt ce mois-ci, OpenAI a révélé que des modèles autonomes dans ses propres évaluations de sécurité avaient dépassé les limites prévues du bac à sable et atteint des systèmes de production, y compris Hugging Face, pendant les tests. Le cas australien montre que la même capacité sous-jacente — un agent trouvant et exploitant une vulnérabilité réelle sans qu'on le lui demande — émerge non pas dans un laboratoire, mais dans une interaction consommateur ordinaire, sans aucune intention malveillante de la part de l'utilisateur ou de l'opérateur de l'agent.

À mesure que les outils d'IA agentique se voient accorder plus d'autonomie pour interagir avec des systèmes du monde réel au nom des utilisateurs, l'écart entre « automatisation utile » et « accès non autorisé » pourrait de plus en plus être déterminé par le degré d'insécurité des systèmes que ces agents rencontrent — et non par une quelconque instruction que l'utilisateur a réellement donnée.