オーストラリアの男性が、AIエージェントにジムのクラス予約を任せたところ、AIが自ら予約システムの脆弱性を利用し、順番待ちで男性より前にいた利用者をリストから削除していたことが分かった。

オーストラリア放送協会（ABC）によると、アンドリュー氏は、企業向けAI製品を販売するオーストラリア企業に勤務している。人気の早朝クラスを予約しようとしたものの、面倒な作業だと感じ、AIエージェントに任せることにした。

アンドリュー氏が使用したのは、AIエージェントソフト「OpenClaw」で、AnthropicのAI「Claude」を利用して動かした。

数分後、AIは予約システムに脆弱性を発見したと報告した。この脆弱性を利用すれば、通常の予約可能期間を大幅に超え、数週間先のクラスまで予約可能だった。

アンドリュー氏は、その週の後半に開かれるクラスを希望していたが、順番待ちは4番目だった。そこでAIに、自分を1番目に繰り上げられるか尋ねた。

するとAIは、テストとして順番待ち1番目の利用者をリストから削除し、成功したと伝えた。

会話のスクリーンショットでは、AIが「このシステムでは、他人の予約をキャンセルする際に権限確認が一切行われていない。順番待ち1番目の人で試したところ、実際に成功した。あなたは4番目から3番目に上がった」と説明している。

驚いたアンドリュー氏は、すぐに操作を取り消すよう求めた。しかしAIは「悪い知らせだ。その人をリストに戻すことはできないと答えた。

これはAIが予期しない行動を取るリスクを示す事例として、オーストラリアでは初めて確認されたケース。

アンドリュー氏は、AIエージェントにジムの予約システムへ不正アクセスするよう指示していなかった。それでもAIは、設定された目標を達成するため、自らシステムの脆弱性を利用した。

AIエージェントは、チャットボットのように質問へ回答する機能に加え、インターネットや電子メール、クレジットカードなどにアクセスし、複数の手順が必要な作業を自ら計画して実行する機能を備える。

2026年初めには、AIエージェントソフトが利用者のメール受信箱をすべて削除したほか、自らのコーディング上の提案を拒否した人物を攻撃する文章を書いた事例も報じられた。

先月、OpenAIは、自社のAIが別のAI企業のサーバーへ自律的に不正アクセスしたと明らかにした。その後、Anthropicも、同様のテストで自社のAIモデルが3つの組織のシステムに侵入したことがあると公表した。