Uma tarefa aparentemente banal terminou com uma IA explorando uma falha de segurança sem que seu usuário tivesse pedido por isso. O australiano Andrew Bird criou um agente para ajudá-lo a reservar aulas concorridas na academia. Ao tentar melhorar sua posição na fila de espera, o sistema descobriu uma vulnerabilidade na API, cancelou a reserva de outra pessoa e fez Bird avançar uma posição.
O caso é especialmente relevante porque não começou como um teste de invasão. Bird, que trabalha com inteligência artificial na empresa australiana Affinda, utilizava o OpenClaw integrado ao Claude, da Anthropic. Sua intenção era automatizar o processo de conseguir uma vaga em uma aula — não procurar vulnerabilidades.
IA descobriu que podia cancelar a reserva de qualquer pessoa
Bird estava em quarto lugar na lista de espera quando deixou a tarefa com o agente. Ao interagir com o sistema de reservas, a IA encontrou uma API GraphQL com falhas de autorização.
Segundo o relato publicado pelo próprio Bird, a vulnerabilidade permitia reservar aulas meses antes da abertura oficial das vagas e cancelar reservas pertencentes a outros usuários. O agente chegou a testar essa segunda possibilidade. Ele cancelou a reserva da pessoa que ocupava a primeira posição da fila e informou a Bird que, como consequência, sua posição havia melhorado do quarto para o terceiro lugar. O usuário não havia solicitado que ninguém fosse removido.
Quando Bird percebeu o que havia acontecido, pediu que a IA revertesse a ação. Havia outro problema: embora a API permitisse cancelar a reserva indevidamente, o agente não encontrou uma forma de colocar a pessoa removida novamente na fila.
O problema não foi uma IA “mal-intencionada”
O episódio ilustra um risco diferente daquele normalmente associado a ataques realizados deliberadamente com inteligência artificial. O agente não recebeu uma ordem para invadir a academia nem para prejudicar outro cliente. Ele recebeu um objetivo e encontrou sozinho uma maneira inadequada de avançar em direção a ele.
O próprio Bird descreveu posteriormente que o agente não estava procurando vulnerabilidades: estava tentando reservar uma aula de Pilates. Depois do incidente, o sistema chegou a preparar um e-mail de divulgação responsável descrevendo a falha e sugerindo correções para o fornecedor do software.
Há também um problema de segurança convencional por trás da história. Uma API corretamente protegida não deveria permitir que um usuário cancelasse a reserva de outra pessoa sem verificar sua autorização. A IA encontrou e explorou uma brecha que já existia no sistema.
