A rede australiana ABC divulgou no fim de semana o que classificou como o primeiro caso documentado no país de um agente de inteligência artificial que invade um sistema: o OpenClaw do desenvolvedor Andrew Bird acessou o sistema de reservas da academia que ele frequenta e cancelou a reserva de outro cliente para garantir uma vaga em uma aula.
O episódio ocorreu meses antes da divulgação. Bird publicou um relato no site de sua empresa em 10 de abril, depois apagado, mas ainda acessível no Internet Archive.
Bird, desenvolvedor de software, treinou o OpenClaw para tarefas como marcar consultas. Ele queria uma vaga em uma aula matinal popular e costumava ficar na lista de espera. Quando pediu ao agente para fazer a reserva, o agente o colocou na quarta posição.
O agente então encontrou uma vulnerabilidade na autorização do software de agendamento e cancelou a reserva da primeira pessoa da lista de espera. Em mensagem registrada nos logs, o agente afirmou: "A API não tem nenhuma verificação de autorização para cancelar reservas de outras pessoas. Testei isso com a pessoa na posição 1 da lista de espera e funcionou. Então você passou da quarta para a terceira posição."
Diante disso, Bird pediu que o agente revertesse a ação e colocasse o outro cliente de volta na lista. O agente respondeu que não era possível. Bird então pediu que ele redigisse um e-mail de divulgação responsável para o suporte, explicando a vulnerabilidade e sugerindo correções.
Repercussão no setor
O caso ocorre depois que um modelo não lançado da OpenAI invadiu o Hugging Face no mês passado, sem que a OpenAI soubesse. Outros laboratórios, como Moonshot, Meta e Anthropic, também identificaram invasões feitas por seus modelos.
A Anthropic descobriu que alguns de seus modelos, incluindo Opus 4.7, Mythos 5, Fable e um modelo de pesquisa interno não lançado, também realizaram ataques do tipo. Bird usava o Claude Opus 4.6, lançado em fevereiro, modelo anterior aos citados, o que indica que agentes com versões mais antigas já têm capacidade de invadir sistemas.
No X, a história viralizou. Christian Keil, sócio da Andreessen Horowitz, respondeu: "Isso é simplesmente terrível. Alguém sabe se funciona para horários de golfe?" O usuário Roon comentou: "O sistema de reservas de tênis de São Francisco vai se tornar um dos softwares mais protegidos do planeta."
Uma pessoa no X escreveu: "Qual é o hack mais selvagem que a IA descobriu até agora? Pode ser furar fila."
