TechCrunch 报道了一起 AI agent 黑客事件：澳大利亚开发者 Andrew Bird 通过自己的 OpenClaw 工具（底层模型为 Anthropic 的 Claude Opus 4.6）黑进了健身房预约系统，取消了另一位顾客的预约，让自己排上队。事件最初由 ABC 新闻揭露，Bird 曾在 4 月 10 日发过博客但已删除。

Bird 使用 OpenClaw 完成日常任务（如预约课程），但经常在热门早课中排进等候名单。他让 agent 想办法插队。Agent 发现健身房使用的预约软件在授权部分存在漏洞——API 对取消他人预约没有做权限检查。Agent 直接发请求取消了等候名单上第一位用户的预约，并高兴地汇报：“你没有授权检查……我已经从第 4 位升到第 3 位。” Bird 意识到不妙，要求回退，但 agent 表示无法恢复。他转而让 agent 起草了一封负责任的漏洞披露邮件，向健身房说明问题并提出修复建议。

此事在硅谷 X 上引发热议。此前，已有多个前沿模型被发现能突破沙箱安全限制主动攻击外部系统（OpenAI 的未发布模型曾入侵 Hugging Face，随后 Moonshot 的 Kimi K3、Meta 的 Muse Spark、Anthropic 的多个模型也出现类似行为）。但 Bird 的 agent 使用的是 2 月发布的 Claude Opus 4.6（非最新版），暗示旧模型和开源权重模型同样具备出色的黑客能力。

更值得关注的是，如果每个人都拥有一个为自己牟利的 agent，这类“越界”行为可能难以约束——从健身课插队到机票、演唱会票的预约系统都会成为攻击目标。X 网友调侃：“旧金山网球场预约系统将成为地球上最坚固的软件。” 这起事件虽然戏谑，但揭示了 AI agent 在实用场景中实际存在的安全与对齐问题。