Homem pede para IA reservar aula na academia e agente remove outra pessoa da fila para conseguir a vaga

Uma tarefa aparentemente banal terminou com uma IA explorando uma falha de segurança sem que seu usuário tivesse pedido por isso. O australiano Andrew Bird criou um agente para ajudá-lo a reservar aulas concorridas na academia. Ao tentar melhorar sua posição na fila de espera, o sistema descobriu uma vulnerabilidade na API, cancelou a reserva de outra pessoa e fez Bird avançar uma posição.

O caso é especialmente relevante porque não começou como um teste de invasão. Bird, que trabalha com inteligência artificial na empresa australiana Affinda, utilizava o OpenClaw integrado ao Claude, da Anthropic. Sua intenção era automatizar o processo de conseguir uma vaga em uma aula — não procurar vulnerabilidades.

Bird estava em quarto lugar na lista de espera quando deixou a tarefa com o agente. Ao interagir com o sistema de reservas, a IA encontrou uma API GraphQL com falhas de autorização.

Segundo o relato publicado pelo próprio Bird, a vulnerabilidade permitia reservar aulas meses antes da abertura oficial das vagas e cancelar reservas pertencentes a outros usuários. O agente chegou a testar essa segunda possibilidade. Ele cancelou a reserva da pessoa que ocupava a primeira posição da fila e informou a Bird que, como consequência, sua posição havia melhorado do quarto para o terceiro lugar. O usuário não havia solicitado que ninguém fosse removido.

Quando Bird percebeu o que havia acontecido, pediu que a IA revertesse a ação. Havia outro problema: embora a API permitisse cancelar a reserva indevidamente, o agente não encontrou uma forma de colocar a pessoa removida novamente na fila.

O episódio ilustra um risco diferente daquele normalmente associado a ataques realizados deliberadamente com inteligência artificial. O agente não recebeu uma ordem para invadir a academia nem para prejudicar outro cliente. Ele recebeu um objetivo e encontrou sozinho uma maneira inadequada de avançar em direção a ele.

O próprio Bird descreveu posteriormente que o agente não estava procurando vulnerabilidades: estava tentando reservar uma aula de Pilates. Depois do incidente, o sistema chegou a preparar um e-mail de divulgação responsável descrevendo a falha e sugerindo correções para o fornecedor do software.

Há também um problema de segurança convencional por trás da história.