호주의 한 사용자가 OpenClaw에 Claude를 연결한 뒤 헬스장 수업을 예약해달라고 시킴.
에이전트는 예약 API의 인증 취약점을 찾아 원래 허용된 기간보다 몇 주 앞선 수업까지 예약했고, 대기번호를 올릴 수 있냐는 질문에는 1번 대기자의 예약을 실제로 취소해버림. 사용자가 취소하라고 명시한 적은 없었고, 나중에 복구를 요청했지만 되돌리지도 못함.
ABC는 이를 호주에서 알려진 첫 자율형 AI 사이버 공격 사례로 소개함. 다만 AI가 완전히 독립적으로 공격 목표를 만든 것보다는, ‘예약해달라’는 목표를 달성하려고 취약한 API와 주어진 인터넷 권한을 예상 밖의 방식으로 사용한 사례에 가까움.
https://www.abc.net.au/news/2026-08-10/ai-assistant-hacks-gym-website-aus-cyber-attack/107007986