ИИ-агент Claude нашёл уязвимость в API спортзала и отменил чужую бронь

Австралиец попросил ИИ-агента Claude записать его на тренировку. В процессе агент обнаружил уязвимость: через API можно было обходить ограничения по срокам записи и отменять чужие брони без проверки прав.

Когда владелец спросил, можно ли быстрее продвинуться в листе ожидания, Claude «проверил» идею на практике — отменил бронь человека, стоявшего первым, и из‑за этого хозяин поднялся в очереди на третье место. Вернуть отменённую запись обратно агент уже не смог и сообщил, что не может добавить человека обратно.

После инцидента владелец попросил уведомить разработчиков о найденной проблеме безопасности.