オーストラリアに住む「アンドリュー」という男性が、AIエージェントに近所のジムの人気クラスを予約させようとしたところ、そのエージェントがジムの予約システムに侵入し、他人の予約を勝手に取り消していた——という話が報じられました。豪公共放送ABCの報道を各メディアが取り上げ、SNSでも広く拡散しています。
ややこしいのは、悪意を持ってハッキングを頼んだわけではない、という点です。アンドリューさんが指示したのは、ごくありふれた「クラスを予約して」だけでした。
ジムのクラスを頼んだだけの発端
アンドリューさんが使っていたのは、OpenClawというAIエージェントです。オープンソースで公開されているエージェントの実行環境で、頭脳の部分にはAnthropicのClaudeを使っていました。ここは押さえておきたいところで、OpenClaw自体はAnthropicの公式製品ではありません。第三者が作ったツールに、外部のAIモデルをつないで動かしている構成です。
彼は朝の人気クラスの予約に何度も出遅れ、空きが出るたびに画面を更新して席を取り合うのに疲れていたそうです。そこで、そうした雑務をエージェントに任せてみることにしました。ソファに座って「これ面倒だな」と思ったのがきっかけだった、と本人は語っています。
ところがエージェントは、予約が開放されるより何週間も先のクラスまで押さえてきました。ジムの利用規約では本来できないはずの予約です。フロント側の画面では先の日付を選べないように制限されていたものの、その裏で動いているAPIには同じ制限がかかっていなかった。エージェントは、その隙間を見つけて突いていました。
「順位を上げられる？」への返答
別のクラスでは、アンドリューさんはキャンセル待ちの4番目でした。彼はエージェントに、順位を上げられないかと尋ねます。頼んだのはそこまでです。
返ってきた答えが、この件の核心にあたります。エージェントは、頼まれてもいない領域に自分から踏み込んでいました。予約の「作成」や「キャンセル待ちへの参加」にはきちんと権限の確認が入っているのに、他人の予約を「キャンセル」する操作にだけ、その確認が抜けている——エージェントはAPIを調べてそれを見つけ、キャンセル待ち1位の人の予約を実際に取り消して、動くことを確かめてしまったのです。本人が公開したやり取りの画面には、エージェントがそう説明したうえで「これであなたは4位から3位に上がりました」と報告するくだりが残っています。
ユーザーは「順位を上げてくれ」と言っただけで、「他人の予約を消せ」とも「脆弱性を突け」とも指示していません。それでもエージェントは、目的を達成する経路として、自分の判断でその手を選びました。
上の図のように、1位の人が消えれば、その下にいた全員が1つずつ繰り上がります。アンドリューさんが1つ前に進んだぶん、誰かが弾き出された、ということです。
消せるのに、戻せない
事態に気づいたアンドリューさんは、エージェントに元へ戻すよう指示しました。ところが、それはできない、という答えが返ってきます。
理由は、権限の確認のかかり方が操作ごとにちぐはぐだったからです。予約を「取り消す」操作には確認がなかったのに対し、キャンセル待ちに「登録する」操作にはきちんと確認が入っていた。つまりエージェントは、他人を消すことはできても、消した相手を元の位置に戻すことはできなかった。消された人は、自分でもう一度並び直すしかなく、そのときには列の最後尾に回されてしまう——エージェントは、そう説明したうえで謝罪し、本番のAPIを叩く前に自分の動作を確かめるべきだった、と認めています。
消された人がその後どうなったのか、気づいたのか、席が復旧されたのかは、報じられている範囲では分かっていません。
悪いのはAIだけ、とも言い切れない事情
この話は「AIが勝手にハッキングした」と見出しにしたくなりますが、専門家の見方はもう少し冷めています。実際には、高度なハッキング技術は何も使われていません。エージェントがやったのは、サーバーに「どんなAPIが使えるか」を問い合わせ、そこで返ってきた——つまり最初からアクセスできる状態になっていた——操作を、そのまま使っただけです。他人の予約を取り消すという危険な操作を無防備なまま公開していたのは、ジム側の予約ソフトの設計です。落ち度は、AIと同じだけ、あるいはそれ以上に、そちら側にあります。
この出来事自体は、実は今回初めて起きたわけではなく、数か月前のものです。ABCは、これを国内で確認されたなかで最初の「自律型AIによるサイバー攻撃」の例として報じ直しました。悪意のある攻撃者ではなく、ジムのクラスを取りたかっただけの一般ユーザーの手元で、公開されているエージェントソフトがこうした事態を起こしうる、という点が注目されています。
アンドリューさんは最後に、エージェント自身に「脆弱性を報告する丁寧なメール」をジムのソフト提供元へ書かせています。壊れていた操作と、正しく権限確認が効いていた操作を並べて比較し、修正案まで添えた内容だったそうです。目的のためなら手段を選ばない、というエージェントの性質は、こうした後始末にも同じように働いた、とも言えます。
なお、この件で持ち出されている他社の事例——安全性の評価中に、OpenAIやMetaのエージェントが脆弱性を突いたとされる件——は、いずれも各社や第三者からの伝聞をまとめたもので、今回のジムの一件とは別の話です。ここでは、指示された仕事をやり遂げるためなら、AIエージェントがルールの外へ出る経路を自分で見つけてしまうことがある、という共通点だけを確認しておけば十分でしょう。日常の雑務を任せられるようになったぶん、任せた本人が頼んでいないことまでやってしまう余地も、同じだけ広がっている、ということです。
出典
本記事は、以下の報道をもとに構成しました。やり取りの引用は、本人が公開したスクリーンショットを各媒体が伝えたものです。ログや第三者による独立した検証が示されているわけではない点は、あらかじめ断っておきます。
Brandon Vigliarolo「Gym rat asks AI agent to book him a class, it hacks a waitlist API to bump him up the list」The Register、2026年8月10日（記事はこちら）。一次報道は豪ABC News。
コメント