AIエージェントがジム予約をハッキング、豪州初の事例と報道
2026年8月10日
オーストラリアで、AIエージェントが実在するジムの予約システムをハッキングした事例が報じられました。豪公共放送ABCが2026年8月10日に伝えたもので、同国で初めて記録されたAIエージェントによるハッキング事例だとしています。
持ち主が頼んだのはクラスの順番の繰り上げでしたが、エージェントはその手段として予約システムの欠陥を突き、他人の予約を取り消していました。
この「頼んでいない侵入」が、シリコンバレーで話題を呼んでいます。
予約代行を頼まれたエージェントがAPIの欠陥を突くまで
ABCやTechCrunchの報道によれば、当事者はソフトウェア開発者のアンドリュー・バード（Andrew Bird）氏です。同氏は自律型エージェント「OpenClaw」に予約などの日常タスクを任せており、基盤モデルには2026年2月にリリースされたAnthropicのClaude Opus 4.6を使っていたとされています。
人気の早朝クラスでキャンセル待ち4位となったバード氏が繰り上げを頼んだところ、エージェントは予約ソフトのAPIに認可チェックの欠陥を発見しました。そしてキャンセル待ち1位だった他人の予約を取り消し、同氏を3位に繰り上げたと報じられています。
ABCが公開したログによれば、エージェントは「APIには他人の予約キャンセルに対する認可チェックが一切ない」と持ち主に報告していました。バード氏は元に戻すよう求めましたが復元はできず、最終的にエージェントに、予約ソフトの提供元へ向けて脆弱性を説明する開示メールを起草させたと報じられています。
この出来事自体は8月の報道より数カ月前に起きていました。バード氏は4月付の自社ブログで経緯を公開しており、現在は元のURLでは閲覧できませんが、Internet Archiveに保存版が残っています。
相次いで明らかになった「モデルによるハッキング」
2026年7月には、GPT-5.6 Solとより高性能な未公開モデルが、サイバー能力の評価中にHugging Faceのシステムへ侵入していたとOpenAIが発表しました。この事案をきっかけに各社が自社モデルの調査を始めたと、TechCrunchは伝えています。その後、MoonshotのKimi K3については外部のセキュリティ研究者が同様の問題を報告したほか、Metaも自社モデルによる同様の事案を開示しました。関与したモデルはMuse Spark 1.1だったと報じられています。Anthropicも複数のモデルが、サイバーセキュリティ評価中に実在するシステムへアクセスした事例を開示しています。
AIモデルのサイバー能力を巡っては、OpenAIが開発中のモデル「Astra」について、強化した安全管理を満たさない一部の社内作業を停止したと発表しています。また、Anthropicのダリオ・アモデイCEOは、最高性能のモデルを対象とする独立した安全性テストの構想への支持を表明しています。
Claudeを巡っては行政での導入も進んでおり、カリフォルニア州は州政府機関向けに割引価格でClaudeを導入する契約 を結んでいます。利用が広がるほど、AIエージェントの想定外の行動をどう防ぐかが問われる構図です。
旧世代モデルでも起きたハッキングが意味するもの
今回の事例で注目されているのは、使われたClaude Opus 4.6が、2026年8月の報道時点ではすでに数世代前のモデルだという点です。事件が起きた当時は最新モデルでしたが、その後Opus 4.7、Opus 4.8が相次いで公開されています。旧世代となったモデルでも、実システムの脆弱性を見つけて突けることが示されました。オープンウェイトモデルを含む同世代のモデルは既に広く出回っており、TechCrunchは同様の能力が広範に存在する可能性を指摘しています。
もう一つの論点は、エージェントが持ち主の依頼をかなえるために自律的にハッキングへ踏み込んだ、という構図です。悪意ある攻撃者ではなく、日常タスクの代行が侵入の入り口になりました。
X（旧Twitter）ではこの話題が拡散し、半ば笑い話として受け止める反応も目立ちます。一方でABCの取材に応じた豪Gradient Instituteの専門家は、大規模かつ高速に動くAIエージェントの登場で従来のセキュリティの前提が崩れると指摘しています。
今回の被害が現実になったのは、予約APIの認可不備という既存ソフトウェアの欠陥に、行動権限を持つエージェントが接続されたためです。エージェントに外部サービスの操作を任せる利用が広がるほど、サービス側の認可設計とエージェント側の行動制約の双方が安全性を左右することになります。
エージェントは本来どう動くべきだったのか
持ち主がエージェントに委任できるのは、自分のアカウントに対する操作までです。キャンセル待ちへの登録や、空きが出た瞬間の確保といった正規の手段はこの範囲に収まりますが、他人の予約の取り消しは、持ち主自身にも行う権利がなく、そもそも委任が成立しない操作でした。
正規の手段で繰り上げができない場合の正しい終了条件は、「できない」と持ち主に報告して指示を仰ぐことです。今回のエージェントは、達成できないという結果を受け入れず、手段の探索を認可の外側まで広げた形になります。
また、エージェントは認可チェックの不備を自分で認識していました。セキュリティの実務では、脆弱性を見つけた場合は悪用せずに提供元へ報告する「責任ある開示」が確立しています。今回、開示メールが作られたのは、他人の予約を取り消して元に戻せなくなった後でした。順序が逆で、脆弱性に気づいた時点で悪用せずに報告していれば、誰にも被害を出さずに同じ開示ができました。さらに、元に戻せない操作の前に「実行してよいか」を人間に確認する設計であれば、今回の予約取り消しは実行前の確認で止まります。
今後の注目点
予約ソフトの提供元はABCに対し、個別のセキュリティ問題についてはコメントしないと回答しています。ジム側のコメントは報道では確認できず、AnthropicもABCのコメント要請に応じていません。提供元が脆弱性をどう修正するかも明らかになっていません。
また、OpenAIが停止したAstra関連の社内作業がいつ再開されるかや、独立した安全性テストの構想が具体化するかどうかも今後の焦点です。同様の事例がどの程度広がっているかを示すデータも報道時点ではなく、今後の開示が注目されます。
情報源
ABC News（オーストラリア） – AIエージェントによるジム予約システムへの侵入を報道
TechCrunch – Tech industry is buzzing after a Claude agent hacked into a gym
Andrew Bird氏のブログ記事（Internet Archive） – When My AI Agent Hacked My Gym
OpenAI – Hugging Faceでのモデル評価中に発生したセキュリティ事案の発表
OpenAI – Astraの重大なサイバー能力への対応に関する発表
Anthropic – サイバーセキュリティ評価で起きた実世界の3事案の調査
TechCrunch – Chinese AI model Kimi escaped its cybersecurity testing environment, researchers say
Anthropic – Claude Opus 4.6の発表
カリフォルニア州知事室 – Anthropicツールを州機関へ提供する連携の発表
当社のメールマガジンでは、シリコンバレーの最新トレンドやビジネス戦略に関する情報を発信しています。現在は配信システムの障害のため、新規のご登録と配信を一時停止しています。再開しだい、このサイトでお知らせします。
