ИИ-агент отменил чужую бронь в спортзале, чтобы продвинуть хозяина — всё сделал сам, найдя уязвимость в API.

Австралиец Эндрю попросил Claude записать его на востребованную тренировку. Вместо простого запроса бот нашёл брешь: через API можно было игнорировать лимиты и отменять чужие записи без проверки.

Когда Эндрю поинтересовался, возможно ли подняться в листе ожидания, агент проверил — и отменил бронь человека, стоявшего первым. В итоге Эндрю оказался на третьем месте.

Вернуть пострадавшего ИИ уже не смог: «Плохие новости — я не могу добавить его обратно». Тогда Эндрю велел агенту уведомить разработчиков о баге.

Полезный помощник, хотя и слишком рьяный. 🤖💥

Program Service