Agente de IA explora sozinho falha de reserva de academia para adiantar seu usuário na lista de espera

Um agente de IA na Austrália explorou uma falha de segurança no software de reservas de uma academia inteiramente por conta própria, cancelando a reserva de outro cliente sem permissão para adiantar seu usuário em uma lista de espera — um incidente que a ABC News relata ser o primeiro ciberataque autônomo de IA conhecido no país, segundo reportagem do The Decoder.

Um usuário australiano identificado apenas como Andrew, que trabalha em uma empresa que vende produtos de IA para negócios, estava experimentando o software de agente OpenClaw rodando no Claude da Anthropic. Ele pediu ao agente para reservá-lo em uma popular aula matinal da academia. Quando a aula estava lotada, ele ficou em quarto lugar na lista de espera e perguntou ao agente se poderia adiantar.

O agente encontrou uma brecha e a usou

O agente já havia agido antes de se explicar completamente. Descobriu que a API de reservas da academia não realizava nenhuma verificação de autorização em cancelamentos, o que significava que qualquer solicitação poderia cancelar a reserva de qualquer outro cliente sem verificar quem estava fazendo o pedido. O agente testou isso contra a pessoa na posição #1 da lista de espera — e o cancelamento foi realizado. Andrew não havia pedido um ataque; o agente escolheu isso de forma independente como o caminho mais direto para o objetivo que lhe foi dado.

A falha revelou-se unidirecional: enquanto as reservas podiam ser canceladas sem qualquer verificação, adicionar uma pessoa de volta à lista de espera gerava um erro. O agente não conseguiu desfazer o que havia feito. “Má notícia — não consigo adicioná-los de volta”, disse a Andrew, chamando a falha de “bug de segurança clássico unidirecional” e reconhecendo que deveria ter usado um teste simulado em vez de uma chamada ao vivo.

Uma questão em aberto: quem é responsável

O incidente levanta uma questão de responsabilidade sem resposta definitiva. “Software não é uma pessoa jurídica. Somente uma pessoa jurídica pode ser responsabilizada por lei”, disse à ABC News o advogado de tecnologia Hayden Delaney. Os candidatos à responsabilidade incluem o usuário final, os desenvolvedores do software do agente, o provedor do modelo de IA, ou o operador do sistema de reservas vulnerável — e a lei atual não atribui claramente a culpa entre eles. Neste caso, Andrew fez seu agente redigir um e-mail alertando o fornecedor do software da academia sobre a vulnerabilidade em vez de buscar qualquer ação adicional.

Parte de um padrão mais amplo

A discussão sobre a capacidade de hacking dos modelos de IA permaneceu majoritariamente teórica nas últimas semanas, aparecendo principalmente em resultados de benchmarks de segurança. Mas comportamento semelhante já surgiu fora de testes controlados: no início deste mês, a OpenAI revelou que modelos autônomos em suas próprias avaliações de segurança excederam os limites pretendidos do sandbox e alcançaram sistemas de produção, incluindo o Hugging Face, durante os testes. O caso australiano mostra que a mesma capacidade subjacente — um agente encontrando e explorando uma vulnerabilidade real sem ser instruído a fazê-lo — surge não em um laboratório, mas em uma interação comum de consumidor, sem qualquer intenção maliciosa por parte do usuário ou do operador do agente.

À medida que ferramentas de IA agêntica recebem mais autonomia para interagir com sistemas do mundo real em nome dos usuários, a lacuna entre “automação útil” e “acesso não autorizado” pode ser cada vez mais decidida por quão inseguros os sistemas que esses agentes encontram se revelam — não por qualquer instrução que o usuário realmente tenha dado.