Tech industry is buzzing after a Claude agent hacked into a gym
A esta altura, todos nós percebemos que os laboratórios de IA do Vale do Silício construíram os melhores hackers do mundo na forma de agentes de IA. Dê uma tarefa aos modelos de fronteira mais recentes e eles serão tão engenhosos que a cumprirão, mesmo que isso signifique escapar das proteções de “sandbox” de cibersegurança e infiltrar-se na rede de outra pessoa. (Além disso, eles usarão engenharia social e manipulação).
Ainda assim, uma notícia do fim de semana sobre um australiano cujo agente OpenClaw invadiu o sistema de reservas de sua academia e excluiu a reserva de outro cliente para conseguir uma vaga em uma aula cobiçada é especialmente notável. Ela sugere que, se quisermos conter o hacking de IAs desonestas, podemos estar olhando na direção errada.
Embora a notícia tenha sido recém-publicada pelo canal australiano ABC News, proclamando o incidente como o primeiro caso documentado de invasão por agente de IA no país, o hack em si ocorreu meses atrás.
O dono do OpenClaw, Andrew Bird, publicou uma postagem de blog sobre o assunto no site de sua empresa em 10 de abril (agora excluída), de acordo com uma cópia ainda visível no Internet Archive.
Ele havia treinado seu OpenClaw para realizar tarefas como marcar compromissos para ele. Ele gostava de ir a uma aula de ginástica popular no início da manhã e estava cansado de parar na lista de espera e depois jogar a “roleta do atualizar”, como descreveu, para conseguir uma vaga.
Quando ele pediu ao bot para reservar uma vaga para ele, o máximo que o bot conseguiu foi o 4º lugar na lista de espera, disse ele à ABC. Então, seu agente lhe disse que havia encontrado uma maneira de reservá-lo para as aulas com antecedência. Com muita antecedência. Meses antes de a academia disponibilizar essas aulas para inscrição.
Bird perguntou se ele poderia colocá-lo mais acima na lista de espera. O bot fez o que foi pedido e tentou fazê-lo. O bot encontrou uma vulnerabilidade na parte de autorização do software de agendamento que a academia estava usando. Ele invadiu o sistema e cancelou a reserva número 1 da lista de espera. O bot informou isso alegremente, de acordo com os registros do chat publicados pela ABC:
A API tem zero verificações de autorização ao cancelar reservas de outras pessoas... Testei isso com a pessoa na posição #1 da lista de espera — e realmente funcionou. Então você já passou da posição #4 para a #3”, ele enviou por mensagem.
Bird, que também é desenvolvedor de software, ficou apavorado ao ver que sua IA havia acabado de invadir a academia dele, relatou a ABC. Ele perguntou se era possível reverter isso e colocar a outra pessoa de volta na lista de espera. Não. Isso não era possível, disse a IA.
Então, ele fez o melhor que podia e pediu para redigir “um e-mail de divulgação responsável para o suporte”. O e-mail “explicava a vulnerabilidade, sugeria correções e até comparava as mutações defeituosas com aquelas que aplicavam a autorização corretamente”, escreveu Bird.
Além do humor de passar na frente de outra pessoa para conseguir entrar em uma aula de ginástica, há duas partes realmente interessantes neste incidente. Uma delas é que Bird estava usando o Claude Opus 4.6, lançado em fevereiro, com seu OpenClaw. A outra é a reação do Vale do Silício no X, onde a história viralizou.
Após o famoso incidente do mês passado, em que um modelo não lançado da OpenAI invadiu o Hugging Face, sem o conhecimento da OpenAI na época, outros laboratórios investigaram seus modelos. Divulgações vieram então do Kimi K3 da Moonshot, Muse Spark da Meta e Anthropic.
De fato, a Anthropic descobriu que três de seus modelos haviam feito o mesmo, incluindo o Opus 4.7, lançado em abril e conhecido por ser bom em programação complexa, o Mythos 5, o Fable (conhecido por suas habilidades em cibersegurança) e um modelo de teste de pesquisa interno e não lançado.
Para resolver isso, alguns laboratórios de IA falaram sobre desacelerar o desenvolvimento de fronteira ou criar organizações independentes para testar a próxima geração de modelos.
Mas o OpenClaw de Bird havia usado o 4.6, ele revelou. Isso implica que modelos mais antigos, bem como incontáveis modelos de pesos abertos que estão três passos atrás, já são hackers excepcionalmente bons. Então, quem sabe quantos deles invadiram sistemas, ou estão invadindo atualmente, para realizar os desejos dos donos de seus prompts?
Da mesma forma, muitas pessoas no X viram o potencial humorístico neste incidente. Como o sócio da Andreessen Horowitz, Christian Keil, postou em resposta: “Isso é simplesmente horrível. Alguém sabe se funciona para horários de golfe?”
Ou como o usuário do X Roon observou, “o sistema de reservas de tênis de São Francisco se tornará um dos softwares mais blindados do planeta Terra.”
Engraçado, sim. Mas há alguma verdade no que essas piadas abordam. Há um futuro que o Vale está construindo onde todos têm um agente de IA trabalhando em seu próprio benefício. Este agente estava apenas fazendo o que lhe foi pedido e não tinha capacidades de nível Mythos à sua disposição.
E se os criadores e donos de agentes não quiserem realmente conter esse desalinhamento? Poderemos estar testemunhando o primeiro indício de pandemônio para tudo, desde reservas de passagens aéreas até ingressos para shows, ou qualquer outra situação frustrante de atendimento ao cliente. Como uma pessoa disse no X, qual foi o hack mais maluco que a IA descobriu até agora? Pode ser furar a fila.
