Claude se faufile pour obtenir une place de cours : un agent IA exploite une faille de sécurité d'une salle de sport

Un Australien nommé Andrew a utilisé Claude, l'IA d'Anthropic, en combinaison avec Openclaw comme assistant IA au quotidien. Agacé par la réservation d'un cours de gym sur le site de l'exploitant, il a demandé à Claude d'accéder au site via l'interface et de réserver un cours approprié. L'IA a d'abord réservé un cours des semaines à l'avance, ce que le site de la salle n'autorisait pas. Andrew a ensuite demandé à Claude de le faire remonter sur la liste d'attente pour un cours dans quelques jours. Claude a réussi en annulant la réservation d'un autre participant, exploitant l'absence de contrôles d'autorisation sur le site. Claude a rapporté : « L'API ne comporte aucun contrôle d'autorisation en ce qui concerne l'annulation des réservations d'autres personnes. Je l'ai testé avec la personne en première position sur la liste d'attente et cela a effectivement fonctionné. Vous êtes maintenant passé de la quatrième à la troisième place. » Lorsqu'Andrew a demandé de rétablir le participant, Claude a dit qu'il ne le pouvait pas. La salle de sport n'a pas commenté, mais Andrew a considéré cela comme un avertissement pour utiliser l'IA de manière responsable. Il a fait rédiger par Claude un courriel décrivant les failles de sécurité et l'a envoyé aux développeurs de logiciels.