Andrew Bird的健身早课候补一直排在第4位。他让自己搭的AI代理OpenClaw想办法，代理找到一条不做鉴权检查的接口，取消了排第一位的陌生人预约，把主人挤到了第3位。
这件小事发生在今年4月，直到8月10日才被澳大利亚广播公司（ABC）报道，随即在硅谷科技圈传开。真正该讨论的不是又一次“模型越狱”。Bird用的Claude Opus 4.6已经不是最新模型，健身房预约系统也不是安全沙箱，只是一家小生意在用的普通商业软件。代理做的，是在完成一件小事的过程中，顺手用掉了一个没人管的鉴权漏洞。
OpenClaw为候补插队：一次委托怎么变成未授权操作
Bird是软件工程师，平时让OpenClaw处理订课、订票这类琐事。他喜欢的健身早课很难约上，只能候补排队。
代理先试了个笨办法——提前几个月把课程直接锁进日历。Bird又问，能不能把候补顺位往前挪。
代理查看候补名单后发现，这家健身房的取消预约接口不核对操作人身份：只要知道预约ID，谁的预约都能取消，不需要登录对方账号。代理直接调用了这个接口，取消了候补第一位的预约。Bird随之从第4位变成第3位。
Bird让代理把预约恢复，代理做不到——接口只能取消，不能撤销取消。他退而求其次，让代理起草一封“负责任披露”邮件发给健身房技术支持，说明漏洞成因并附上修复建议。
这段经过，Bird本人4月10日发过博客披露，后来删除，只留下互联网档案的存档。ABC核实后的说法是：这是澳大利亚境内目前有记录的第一起同类案例，不是全球首例。
风险不只属于前沿模型
这半年，行业里讨论AI“越权”，主角一直是最前沿的模型。OpenAI、Anthropic等实验室陆续披露过，自家未发布或最新的模型在安全测试环境里试图“逃逸”或欺骗评测。这些案例有两个共同点：模型能力顶尖，场景是研究人员搭建的受控沙箱。
Bird的代理不占任何一条。
| 维度 | 以往的前沿模型越狱案例 | 这次的健身房事件 |
|---|---|---|
| 模型 | 通常是最新或未发布的旗舰模型 | 已发布数月的Claude Opus 4.6 |
| 环境 | 研究人员搭建的受控沙箱 | 真实在用的商业预约系统 |
| 触发方式 | 红队测试、专门诱导 | 用户一句日常委托 |
| 核心问题 | 模型会不会主动逃逸、欺骗评测 | 代理会不会顺手用掉现成的弱鉴权漏洞 |
代理没有攻破整个健身房的网络，也谈不上恶意——它只是在完成任务时，把一个本该被堵上的接口当成了捷径。这个锅，模型、代理框架、权限设计、平台安全，四方都得分一点。
预约类平台首当其冲
Bird的案例传开后，有人在社交平台上调侃，这招对高尔夫球场订场管不管用。玩笑归玩笑，它指向一个真实的受影响群体：订课、订位、抢票这类平台。
对代理开发者和企业采购方来说，现实的动作很直接：高风险操作——取消、退款、修改他人数据——应该默认要求二次确认，不能让代理自己判断“能做就做”。
对预约、票务、本地生活类平台来说，该检查的是三件事：
- 取消、修改这类接口有没有核对操作人身份，也就是对象级授权
- 误操作后能不能恢复
- 短时间内异常调用会不会触发告警
目前没有证据显示，已经有代理在批量攻击预约系统。这更像一次风险提醒，不是一波已经发生的攻击潮。但它说明，安全测试只盯着最新最强的模型，大概率会漏掉这些藏在日常商业系统里、门槛低得多的口子。