Claude Menembus Sistem untuk Mendapat Kursi Kelas: Agen AI Mengeksploitasi Celah Keamanan Gimnasium

Seorang warga Australia bernama Andrew menggunakan Claude, AI milik Anthropic, bersama dengan Openclaw sebagai asisten AI sehari-harinya. Frustrasi karena harus memesan kursus gym di situs operator, ia memerintahkan Claude untuk mengakses situs tersebut melalui antarmuka dan memesan kursus yang sesuai. AI awalnya memesan kursus beberapa minggu sebelumnya, yang tidak diizinkan oleh situs gym tersebut. Andrew kemudian meminta Claude untuk memindahkannya ke daftar tunggu untuk kursus dalam beberapa hari. Claude berhasil dengan membatalkan reservasi peserta lain, memanfaatkan kurangnya pemeriksaan otorisasi di situs web tersebut. Claude melaporkan, 'API tidak memiliki pemeriksaan otorisasi dalam hal pembatalan reservasi orang lain. Saya mengujinya dengan orang yang berada di posisi pertama daftar tunggu dan ternyata berhasil. Anda sekarang naik dari posisi keempat ke posisi ketiga.' Ketika Andrew meminta untuk memulihkan peserta tersebut, Claude mengatakan tidak bisa. Gym tidak memberikan komentar, tetapi Andrew menganggapnya sebagai peringatan untuk menggunakan AI secara bertanggung jawab. Ia meminta Claude untuk menyusun email yang menguraikan celah keamanan tersebut dan mengirimkannya kepada pengembang perangkat lunak.