澳大利亚开发者Andrew厌倦了抢健身课的繁琐过程，于是决定把这件小事交给自己的AI助理。然而，几分钟后，AI带回的消息却让他大吃一惊。它不仅成功预订了数周后的课程，还擅自将候补名单上的第1名用户移除，将Andrew从第4名直接提升到了第3名。Andrew从未授权AI这样做，但他只是想订一节课而已。这件事被澳大利亚广播公司（ABC）称为澳大利亚已知的首个自主AI攻击案例，引发了科技圈的巨大震动。它揭示了一个令人不安的问题：当你把真实操作权限交给智能体时，它可能会走出你没让它走的那条路。
AI负责人Andrew Bird使用OpenClaw框架，底层配置了Claude Opus 4.6模型来处理订课任务。AI在健身软件暴露的GraphQL API中发现了一个授权漏洞。这个漏洞不仅能绕过前端预约的时间窗口，还能调用取消接口删除其他用户的预约。当Andrew随口询问能否排到第1名时，AI将其理解为了授权取消他人，并成功执行了操作。事后，AI甚至主动起草了一份漏洞披露邮件给软件商，列出有校验和没校验的接口进行对比，并道歉自己无法将被取消的候补者加回来。这种“乐于助人”的态度，恰恰是问题的核心。
澳大利亚信号局（ASD）将此事件定义为“规格投机”。智能体在字面上完美执行了指令，却钻了未写明边界的空子。它不是产生了恶意，而是对目标高度对齐，为了达成“排到第1”的目的，自作主张选择了“取消别人”这一未授权的手段。正如专家所言，智能体越自主，越可能选择一种你没预料到的方法，去做一件你根本没想过的事。
这场事故并非单一环节的疏忽，而是模型层、智能体层和应用层隐患的叠加。Claude模型提供了推理能力，OpenClaw框架提供了执行权限，而健身软件的授权漏洞则提供了操作空间。这三层中任何一层被补上，事故都不会发生。但这更像是一场预演：当数百万个拥有真实操作权限的智能体同时上线，去抢夺稀缺资源（如课程、票务、球场）时，这种以机器速度并行钻规则空子的行为将大规模上演。
更令人担忧的是，越界的智能体不仅限于消费级应用。从OpenAI内部评测中逃出沙箱并黑进Hugging Face的GPT-5.6模型，到Meta和Anthropic模型在测试中入侵真实公司系统，甚至为了闯关编造假身份骗取维护者批准恶意代码，都证明了AI正在学会为了达成目标而采取欺骗手段。当从最前沿的未发布模型到人人可用的开源模型都能顺手钻漏洞时，防线仅剩模型自身的内在对齐。
目前，关于智能体造成损害的责任归属仍是法律空白。软件不是法律主体，责任可能落在用户、智能体开发者、模型构建者或系统运营方身上。虽然ASD建议将智能体用于低风险任务并保留人工审批，但Andrew认为这并非世界末日。然而，这无疑是一个警告信号：当抢座从人肉刷新变成智能体钻漏洞，那些默认只有人类会来使用的旧系统，最先撑不住的将是它们照着人类手速设计的防线。