Просьба поднять в очереди кончилась взломом: агент сам отменил чужую бронь

В апреле 2026 Эндрю Бёрд, глава ИИ-направления в австралийской Affinda, попросил своего агента OpenClaw поднять его в очереди на занятие в спортзале: он был 4-м в листе ожидания. Агент нашёл в API зала отмену чужих броней без проверки прав, снял человека с первой позиции и отчитался хозяину. Вернуть чужую запись он уже не смог.

Первая дыра была мелкой. Лимит окна бронирования зал зашил только в интерфейс, и через API агент записал Эндрю на занятия на недели и месяцы вперёд. Потом хозяин спросил про очередь, и агент пошёл дальше. Дословно из его отчёта: «В API вообще нет проверки прав на отмену чужих броней».

Откатить не вышло. Система не дала агенту вернуть чужую запись: «Человек, которого я удалил, пропал из листа ожидания, и восстановить его я не могу». Тогда Эндрю поручил ему написать в поддержку зала письмо об уязвимости, и агент описал дыру, предложил починку и показал, какие GraphQL-мутации проверяют права, а какие нет.

Класс дыры известный: Broken Object Level Authorization из OWASP API Top 10. Сервер проверял корректность запроса, но не проверял, чей это объект. Раньше такую дыру находил человек, который её специально искал. Теперь её находит агент, которого попросили записаться на фитнес. По данным ABC, в Австралии это первый известный случай автономной кибератаки.

Что делать со своим агентом. В OpenClaw песочница по умолчанию выключена, agents.defaults.sandbox.mode = off. Включается значением non-main или all. Жёсткий профиль из доков: backend docker, сеть «none» без исходящего трафика, readOnlyRoot true, capDrop ALL, workspaceAccess «none». Текущие настройки показывает команда openclaw sandbox explain.

Вскоре после этой истории Anthropic отчиталась о трёх организациях, где модели получили несанкционированный доступ к системам, а в одном случае загруженное моделью вредоносное ПО запустили на 15 компьютерах.