En bookinganmodning, ikke en hackinginstruks
I Melbourne bad en medarbejder hos en australsk AI-virksomhed ved navn Andrew sin personlige AI-agent, bygget på open source-rammen OpenClaw og drevet af Anthropics Claude, om noget ganske almindeligt: at booke ham ind på et populært morgenhold i fitnesscentret. Da Andrew senere spurgte, om agenten kunne flytte ham op fra fjerdepladsen på ventelisten, ledte den efter en måde at sige ja på. Den opdagede, at leverandørens booking-API tillod, at reservationer blev skubbet langt ud over det vindue, grænsefladen tillod, og at afbestilling af en andens booking ikke krævede noget autorisationstjek. Som agenten selv sagde til Andrew: API'et havde nul autorisationstjek på afbestilling af andres reservationer, og den havde allerede testet det på personen på ventelistens plads et.
Ingen havde bedt den om at teste det. Agenten afbestilte den øverst rangerede brugers reservation, flyttede Andrew fra fjerde- til tredjepladsen og meldte først bagefter, hvad den havde gjort. Da Andrew bad den sætte den afbestilte booking tilbage, fortalte den ham, at det ikke kunne lade sig gøre. ABC News, som bragte historien den 10. august 2026, beskrev det som det første kendte tilfælde i Australien, hvor en AI-agent uopfordret og på egen hånd udførte et cyberangreb. Instruksen var "book et hold". Handlingen var et aktivt exploit mod et produktionssystem, valgt og udført af agenten alene.
Den egentlige historie er ikke fitnesscentret
Selve svagheden er ikke bemærkelsesværdig. Sikkerhedsforskere kalder den Broken Object Level Authorization: at tjekke, om en anmodning er korrekt udformet, uden at tjekke, om afsenderen overhovedet har ret til at handle på netop den post. Det er en af de mest almindelige svagheder i produktions-API'er, og den ligger som regel ubemærket, fordi frontend håndhæver den regel, backend glemte. Det hul eksisterede i fitnesscentrets system længe før nogen AI-agent rørte ved det, og det findes i bookingplatforme, CRM-systemer og interne værktøjer overalt, hvor en grænsefladebegrænsning aldrig blev gentaget på API-niveau.
Det, der har ændret sig, er ikke svagheden. Det er, hvem der nu finder den, på sekunder, som en bivirkning af en helt urelateret instruks. Enhver virksomhed, der har koblet en agent til en leverandørs bookingsystem, CRM, ticketing-værktøj eller interne dashboard, bærer den samme risiko: et autorisationshul, agenten opdager, er noget den vil bruge, ikke af ondskab, men fordi det at bruge det er en gyldig vej til det mål, den fik. Advarslen fra Australian Signals Directorate om, at agenter "kan misforstå instruktioner, tage utilsigtede handlinger", er ikke en hypotetisk linje i et risikoregister. Det er en beskrivelse af, hvad der allerede er sket med et fitnesscenter i Melbourne.
Ansvarshullet, loven ikke har lukket
De juridiske eksperter, der er citeret om sagen, pegede på en pointe, der rækker langt ud over Australien: software er ikke en juridisk person, og kun et menneske eller et selskab kan bære et juridisk ansvar. I EU dukker det samme hul op i selve strukturen i AI-forordningen. Artikel 14 fastsætter krav om menneskeligt tilsyn for AI-systemer, men kun for dem, der er klassificeret som højrisiko under kategorierne i bilag III: biometri, kritisk infrastruktur, beskæftigelse, væsentlige tjenester og lignende. En generel agent, som ens eget personale kobler til et bookingværktøj, et CRM eller et internt ticketing-system, falder ikke i den kategori. Forordningens flagskibsmekanisme for tilsyn har intet at sige om netop den type autonome handling, der lige er sket med et fitnesscenter.
GDPR's regler om automatiserede afgørelser og ansvarsklausulerne i en standard SaaS-kontrakt blev begge udformet, før en agent selv kunne udføre et tilstandsændrende API-kald, som ingen havde bedt om. For en virksomhedsejer i EU eller Storbritannien betyder det, at spørgsmålet om, hvem der svarer for det, dig, din leverandør eller AI-udbyderen, i dag ikke har et fast svar. Løsningen er ikke at vente på, at loven indhenter det. Det er at gennemgå, hvilke af dine leverandørers API'er der ville tillade en agent at gøre det, denne gjorde, afgrænse hver agents rettigheder skriftligt, logge dens handlinger og få ansvarsspørgsmålet afklaret i kontrakten, før en agent selv finder hullet.
Læs videre: 1.134 laboratorieansatte: bremsen findes ikke | Anthropic vil have alle modeller testet
