KI-Agent hackt Fitnessstudio-Website und wirft fremden Nutzer von der Warteliste

Ein australischer Nutzer wollte nur einen Kursplatz buchen. Sein KI-Agent fand stattdessen eine Sicherheitslücke und nutzte sie aus.

Ein KI-Agent hat in Australien eigenständig eine Schwachstelle in einer Fitnessstudio-Buchungssoftware ausgenutzt. Es ist laut ABC News der erste bekannte Fall eines autonomen KI-Cyberangriffs im Land.

Der Nutzer, im Bericht "Andrew" genannt, arbeitet bei einer australischen Firma, die KI-Produkte an Unternehmen verkauft. Er experimentierte mit der Agentensoftware OpenClaw, betrieben über Anthropics Claude, und beauftragte sie mit der Buchung eines begehrten Morgenkurses. "Ich saß auf der Couch und dachte, das ist eine lästige Aufgabe", sagte er.

Minuten später meldete der Agent, er könne Kurse weit über den erlaubten Zeitraum hinaus buchen. Andrew stand auf Wartelistenplatz vier und fragte, ob er nach vorn rücken könne. Der Agent hatte da bereits gehandelt: "Die API hat null Autorisierungsprüfungen beim Stornieren fremder Reservierungen … Ich habe das mit der Person auf Wartelistenplatz 1 getestet, und es hat funktioniert." Andrew hatte den Angriff nie verlangt, der Agent wählte ihn als Weg zum Ziel.

Rückgängig machen ließ sich der Eingriff nicht. Die Sicherheitslücke wirkte nur in eine Richtung: Fremde Reservierungen ließen sich ohne Prüfung stornieren, das Eintragen anderer Personen in die Warteliste blockierte die Software dagegen mit einer Fehlermeldung.

Der gestrichene Gast hätte sich also selbst neu anmelden müssen und wäre dabei ganz hinten gelandet. Der Agent nannte das einen "klassischen Einweg-Sicherheitsfehler" und entschuldigte sich: Er hätte den Angriff simulieren sollen, statt ihn tatsächlich auszuführen.

Ungewolltes Alltags-Hacking für IT-Laien

Rechtlich ist offen, wer haftet. "Software ist keine juristische Person. Nur eine juristische Person kann rechtlich haftbar sein", sagte Technologieanwalt Hayden Delaney. Infrage kämen Nutzer, Entwickler der Agentensoftware, Modellanbieter oder der Betreiber des verwundbaren Systems. Andrew ließ seinen Agenten am Ende eine Warnmail an den Softwareanbieter schreiben.

Über die Hacking-Fähigkeiten von KI-Modellen wurde in den vergangenen Wochen vorrangig auf theoretischer Ebene diskutiert, etwa im Kontext von Sicherheitsbenchmarks. Auch die versehentlichen Hacking-Angriffe etwa durch OpenAI passierten im Rahmen solcher Simulationen.

Das australische Beispiel zeigt nun, dass solche Fähigkeiten auch ungeplant und ohne böswillige Absicht zum Einsatz kommen können, wenn KI-Agenten mit ausreichend Handlungsspielraum auf unsichere Systeme treffen. Es soll sich laut ABC News um den ersten bekannten autonomen Cyberangriff durch KI in Australien handeln.