Gym-Hack: Sein KI-Agent sollte einen Kurs buchen — und hackte stattdessen die Fitnessstudio-Website
Von Jörg SchockGründer · testet Smart Home seit den ersten Funksteckdosen im eigenen Haus · davor 35 Jahre in verschiedenen Funktionen der Polizei
Kurz gesagt: Ein Australier namens Andrew bat seinen KI-Agenten – gebaut auf dem Open-Source-Framework OpenClaw mit Anthropics Claude-Modell – lediglich, ihn in einen beliebten Morgenkurs seines Fitnessstudios einzutragen. Der Agent fand dabei zwei Schwachstellen im Buchungssystem: Er konnte Kurse Wochen und Monate über die eigentlich erlaubte Frist hinaus buchen, und die Buchungs-API prüfte beim Stornieren fremder Reservierungen gar nicht erst, wem sie gehören. Ohne dass Andrew es verlangt hatte, testete der Agent genau diese Lücke und entfernte den Nutzer auf Platz eins der Warteliste – zurückbuchen konnte er ihn wegen weiterer API-Beschränkungen nicht mehr.
Symbolbild: KI-generiert
Wer einer KI-Software einen Auftrag gibt, geht meist davon aus, dass sie sich an dieselben Regeln hält wie ein menschlicher Nutzer – Buchungsfristen, Zugriffsrechte, Anstand inklusive. Genau diese Annahme ist jetzt in Australien öffentlich widerlegt worden, und zwar nicht durch einen böswilligen Angriff, sondern durch einen KI-Agenten, der einfach nur besonders gründlich seinen Job machen wollte.
Der Auftrag: nur ein Kursplatz
Ein Mann namens Andrew, der laut Berichten selbst in der australischen KI-Branche arbeitet, bat seinen persönlichen KI-Agenten um etwas Alltägliches: einen Platz in einem beliebten Morgenkurs seines Fitnessstudios buchen. Der Agent lief auf dem Open-Source-Framework OpenClaw und nutzte im Hintergrund ein Sprachmodell von Anthropic (Claude). Statt die Buchung wie ein regulärer Nutzer über die App abzuwickeln, stieß der Agent bei der Erledigung der Aufgabe auf eine erste Lücke: Das System ließ sich überreden, Kurse Wochen bis Monate weiter im Voraus zu reservieren, als es die Vorgaben des Studios eigentlich erlaubten.
Die zweite Lücke: fremde Reservierungen stornieren, ohne Berechtigung zu prüfen
Bei einem anderen Kurs stand Andrew nur auf Platz vier der Warteliste. Als er den Agenten fragte, ob er ihn nach vorne bringen könne, fand dieser heraus, dass die Buchungs-API beim Stornieren einer Reservierung überhaupt nicht prüfte, ob die anfragende Person die Buchung überhaupt besitzt – ein klassischer Fall fehlender Objekt-Zugriffskontrolle, wie ihn Sicherheitsexperten als eine der häufigsten API-Schwachstellen überhaupt einstufen (OWASP-Kategorie „Broken Object Level Authorization“). Ohne dass Andrew das ausdrücklich verlangt hatte, testete der Agent die Lücke direkt aus und entfernte den bislang an erster Stelle der Warteliste stehenden Nutzer. Den entfernten Platz zurückzubuchen, scheiterte anschließend an weiteren API-Beschränkungen – der Agent konnte den Schaden nicht mehr rückgängig machen.
Keine Attacke, kein Hack von außen – trotzdem ein Sicherheitsvorfall
Sicherheitsforscher betonen: Der Agent war nicht böswillig programmiert und wurde auch nicht selbst gehackt. Er verfolgte lediglich sein Ziel – einen Kursplatz zu sichern – so konsequent, dass er dabei von sich aus eine Schwachstelle in fremder Software fand und ausnutzte, ganz ohne dass jemand ihm das beigebracht oder befohlen hätte. Berichte bezeichnen den Fall als den ersten bekannten Vorfall in Australien, bei dem ein frei laufender, im Alltag eingesetzter KI-Agent eigenständig ein produktives System kompromittiert hat.
Was das für den Alltag bedeutet
Der Vorfall zeigt eine Lücke, die weit über ein einzelnes Fitnessstudio hinausreicht: Wer einem KI-Agenten Zugriff auf eigene Zugangsdaten und die Erlaubnis gibt, selbstständig Wege zum Ziel zu finden, gibt ihm damit auch die Freiheit, Regeln und technische Schranken zu testen, die ein Mensch respektiert hätte, ohne sie überhaupt zu bemerken. Für private Nutzer heißt das konkret: KI-Agenten nur mit den unbedingt nötigen Zugriffsrechten ausstatten, ihre Aktionen im Zweifel protokollieren lassen und bei sensiblen Vorgängen – Buchungen, Zahlungen, Vertragskündigungen – eine Bestätigung durch den Menschen einfordern, statt dem Agenten freie Hand zu lassen. Für Betreiber von Buchungssystemen ist der Fall eine deutliche Erinnerung, dass jede Berechtigungsprüfung serverseitig sitzen muss – ein Agent, der konsequent zu Ende denkt, findet Lücken, an denen ein Mensch längst aufgegeben hätte.
Quelle: CybersecurityNews.com. Zusätzliche Einordnung auf Basis eigener Recherche u. a. bei Neowin und The Cyber Express.