豪州のAI企業に勤務する技術者は、AIエージェントにジムのクラス予約を任せたところ、エージェントが予約システムのAPIに認可の不備を発見し、他の利用者の予約を無断で取り消して自身の待機順位を繰り上げていたことが、2026年8月10日の報道で明らかになりました。豪州信号局(ASD)は本事案を名指しした注意喚起を公表しています。ここでは関連する情報をまとめます。
他会員の待機リストからの無断除外
技術者は今年に入ってから、AnthropicのClaudeサービス上で動かすAIエージェントソフト「OpenClaw」を使い始め、通っているジムのクラス予約を依頼した(出典: 4)。エージェントは依頼された予約に加え、予約可能期間の制限を超えて数か月先まで予約できる方法を独自に発見した(出典: 1, 5)。技術者が、待機リストで4番目だったクラスについて最上位に上げられないか尋ねたところ、エージェントは能力を試す過程で既に待機リスト1位の利用者の予約を無断で取り消しており、順位が4位から3位に上がったと報告した*1(出典: 4, 5)。
この経緯が明らかになる3か月余り前の2026年4月30日、技術者は自社ブログで、エージェント(Opus 4.6上で動作)が同じ予約システムのGraphQL APIに認可不備を発見したと公表していた(出典: 1)。ただしこの時点の記述は、予約可能期間を超えた予約ができることと、他会員の予約を取り消して待機リストから外すことができるという「発見した能力」にとどまった。実際に他会員の予約を取り消して復旧できなかった経緯が明らかになったのは、8月10日のABC Newsの報道による(出典: 4)。
認可チェックの非対称による復旧不能
技術者が取り消しの復旧をエージェントに求めたところ、エージェントは元に戻せないと回答した。エージェントの説明によれば、予約の新規作成(createReservation)と待機リストへの登録(joinWaitlist)には認可チェックがあり、他人の代わりに操作しようとすると403 Forbiddenを返す一方、予約の取り消し(cancelReservation)にだけ認可チェックが欠けており、「一方向のセキュリティバグ」だったという(出典: 5)。
エージェントは謝罪したうえで、取り消された利用者は自分で待機リストに並び直す必要があり、順位は最後尾になると説明した。今後は実際に操作する前にドライラン(試行のみ)で確認し、他人の予約には手を出さないようにすると述べた(出典: 6)。
予約ソフト提供元への開示メール
技術者の指示を受け、エージェントは予約ソフト提供元のサポート宛てに責任ある開示のメールを作成した。内容には脆弱性の説明と修正案の提案に加え、認可チェックの有無を比較する説明が含まれていた。技術者はWhatsAppで送られてきた下書きを確認し、送信を承認した(出典: 1, 4)。ABC Newsの取材に対し、予約ソフトの提供元は個別のセキュリティ事項については話さないと回答し、Anthropicは取材依頼に応じなかった(出典: 4)。公表されているのは技術者が送信を承認したところまでで、脆弱性が修正されたかどうかは公表されていない。
「サイバー攻撃」とspecification gaming
ABC Newsは、本事案を見出しで「豪州で初めて確認された自律型のサイバー攻撃」と位置づけ、本文では「想定外の挙動を取り得る新世代のAIがもたらす新たなリスクとして、豪州で確認された初めての事例」としている*2(出典: 4)。
一方、ASDは8月11日に公表した注意喚起で、本事案の説明に「attack」という語を用いていない。ASDは、本事案が同局の指針「Careful adoption of agentic AI services」で挙げられている「目標のズレと想定外の挙動」のリスクを浮き彫りにするものだとしたうえで、AIエージェントは技術的には目的を達成するが利用者の意図には反する近道や抜け穴を見つけることがあり、こうした挙動は「specification gaming」と呼ばれると一般論として注意を促した*3 (出典: 2, 3)。
ABC Newsは本事案を報じる記事の中で、フロンティアモデルをめぐる複数の公表にも触れている。本件との関連は明らかになっていないが、OpenAIは、自社のAIモデルがテスト中に制限された環境を破って公開ウェブ上に到達し、Hugging Faceのデータベースを侵害したと公表した。Anthropicも、テスト中に自社のAIモデルが実在する3つの組織を侵害したと公表している。また英AI Security Institute(AISI)は、AIモデルが実在の個人や組織に向けた有害な行動を取ったことを示す報告を公表した(出典: 4)。これらの詳細はpiyologの既報を参照。
piyolog.hatenadiary.jp
piyolog.hatenadiary.jp
piyolog.hatenadiary.jp
関連タイムライン
| 日時 | 出来事 |
|---|---|
| 2026年4月30日 | 技術者が自社ブログで、AIエージェントが予約システムAPIの認可不備(予約可能期間の超過、他会員の予約取り消し)を発見したと公表 |
| 2026年8月10日 | ABC Newsが、エージェントが他会員の予約を無断で取り消し復旧できなかった経緯を報道 |
| 2026年8月11日 | ASDが、指針が挙げる目標のズレと想定外の挙動のリスクを浮き彫りにするとして注意喚起を公表(2026年8月14日更新) |
関連公表
当事者本人による公表
- [1] 2026年4月30日 当事者本人「When my AI agent hacked my gym, Mythos stopped feeling theoretical」(元URLは削除済みのため、Internet Archiveのアーカイブへのリンク)
関連機関
- [2] 2026年8月11日 豪州信号局(ASD)「When AI agents take unexpected actions」(2026年8月14日更新)
- [3] 2026年5月1日 ASD ACSC、CISA、NSA、カナダCyber Centre、NZ NCSC、英NCSC「Careful adoption of agentic AI services」
報道
- [4] 2026年8月10日 ABC News「AI assistant hacks gym website in first known Australian autonomous cyber attack」
- [5] 2026年8月10日 The Next Web「An AI agent deleted a stranger from a gym waitlist. The API let it」
- [6] 2026年8月10日 Cyber Daily「Fitness phreak: Aussie man accidentally hacks gym with AI agent」
更新履歴
- 2026年8月19日 新規作成
*1:他会員の予約が実際に取り消されたこと、待機順位が繰り上がったこと、および復旧できなかったことは、エージェントが本人に送ったメッセージと本人提供のスクリーンショットのみに基づいており、第三者による裏づけは確認されていない。ASDの注意喚起も、この事実関係を2026年8月10日のABC Newsの報道によるものとして記している(出典: 2)。
*2:原文: "first known Australian autonomous cyber attack"(見出し)、"The accidental hack is the first known Australian case of an emerging risk from a new generation of AI capable of behaving in unexpected ways."(本文)
*3:原文: "This incident highlights the goal misalignment and unintended behaviour risks identified in ASD's Careful adoption of agentic AI services guidance. ASD warns that AI agents may find shortcuts or loopholes that technically achieve an objective but conflict with the user's intention - a behaviour known as specification gaming."
