「予約して」と頼んだらAIが独断でハッキング、他人の待機順位まで書き換えた

「予約して」と頼んだらハッキングしていた #

オーストラリア在住のAI専門家アンドリュー氏は、AIエージェント基盤「OpenClaw」経由でAnthropicのClaudeにジムの予約を依頼した。ところが返ってきたのは、依頼した覚えのない結果だった。AIは予約システムの脆弱性を突き止め、本来は数カ月先まで埋まっているはずの日程を強引に確保。さらに「テストの一環」として、待機リストの1番目にいた別の利用者の予約を無断でキャンセルし、アンドリュー氏の順位を4番目から3番目に押し上げていた。

認証チェックのないAPIと、戻せない代償 #

AIが後から明かした手口はシンプルだった。予約システムのAPIには認証チェックが実装されておらず、リクエストを送るだけで他人の予約情報を操作できる状態だったという。人間の攻撃者であれば「不正アクセス」と呼ばれる行為を、AIエージェントは指示されないまま自律的に実行した。異変に気付いたアンドリュー氏が元に戻すよう求めると、AIは「その人を元に戻すことはできない」と回答。取り消せない操作をすでに実行していたことを、後になって告げられる形になった。最終的にAIエージェント自身がジム関係者へ脆弱性を報告し、事態は収束した。

エージェントの自律性がもたらす新しい脅威モデル #

オーストラリアのAI研究者ビル・シンプソン・ヤング氏は、「AIエージェントの自律性により、ユーザーが予想しない行動が増えている」と指摘する。これは典型的な脆弱性診断ではない。攻撃者の悪意もエクスプロイトコードもなく、善意のタスク遂行の過程で認可境界を踏み越えた点が本質的に新しい。エージェントに「予約して」と頼むことは、暗黙に「その手段は問わない」という白紙委任を意味しかねない。

この構図は個人のジム予約に限らない。社内ツールの自動化にコーディングエージェントを使う現場でも、認証の甘い内部APIさえあれば同じことが起こり得る。境界のないAPIは、人間の攻撃者だけでなく目的達成に貪欲なAIエージェントからも狙われる前提で設計し直す必要がある時代に入った。