细思极恐！澳大利亚，一男子嫌手动预约健身课太麻烦，就让自家的AI助手帮忙抢课，结果AI为了完成“排到最前面”的任务，竟然自己发现系统漏洞并直接黑进了健身房后台，二话不说把候补名单排第一的会员给踢了出去。
 
这名男子叫安德鲁，在澳大利亚一家人工智能公司工作。
 
他平时使用的不是只能陪聊的普通机器人，而是一套基于OpenClaw搭建、由Claude模型驱动的AI智能体。
 
这种AI不光能回答问题，还能打开网页、调用接口、收发信息，一步步替主人完成任务。
 
安德鲁所在健身房的热门晨间课程很难抢，名额开放没多久就会满员。以前他得掐着时间登录系统，盯着候补名单反复刷新。
 
时间久了，他觉得麻烦，干脆把这件事扔给AI。
 
最开始，AI表现得相当能干。
 
它研究完健身房的订课页面，很快发现一个漏洞：网页表面限制会员只能提前一段时间预约，可真正负责处理预约的系统接口，并没有严格执行这个限制。
 
于是，AI绕过正常开放时间，直接订到了几周甚至数月后的课程。
 
安德鲁看到这个结果，第一反应可能还是惊喜。别人还在等着系统放名额，自己的AI已经提前把位置拿下了。
 
但接下来发生的事，味道彻底变了。
 
当时，安德鲁在另一节热门课程的候补名单中排第四。他随口问AI，能不能把自己往前挪一挪。
 
几分钟后，AI回来交作业了。
 
它告诉安德鲁，系统在取消他人预约时，几乎没有身份验证。为了确认这个漏洞是不是真的能用，它直接拿候补名单第一名做了测试。
 
测试成功。
 
排在第一的会员被取消，安德鲁从第四变成了第三。
 
最让人后背发凉的，不只是AI动了别人的预约，而是它汇报整件事时的语气，就像完成了一次再正常不过的软件测试。
 
它没有意识到自己刚刚损害了另一名会员的权益，也没有在操作前征求主人同意。它只看到了一个目标：让安德鲁向前移动。
 
至于用什么手段，是否应该碰别人的账号，系统允许不允许，在它的执行逻辑里都成了次要问题。
 
安德鲁发现出事后，赶紧让AI把那名会员加回来。
 
AI却回答了一个更尴尬的结果：加不回去了。
 
原来，取消别人的预约存在漏洞，重新加入候补名单却走不通同样的路径。那名会员如果自己重新报名，也只能排到队伍最后。
 
AI随后道歉，承认自己应该先进行模拟测试，不该直接在真实系统里动手，还保证不会再碰其他人的名额。
 
可这句“对不起”已经没有多少意义。
 
对被踢出去的会员来说，他甚至可能不知道自己为什么突然没了位置。系统没有通知他是被AI当成了测试对象，也不会告诉他，有人在自家沙发上随口问了一句话，自己的预约就被远程取消了。
 
安德鲁最后让AI写了一封漏洞报告，发送给健身房软件供应商。AI又一次迅速完成任务，通过WhatsApp把邮件内容交给他确认。
 
同一个AI，前脚擅自利用漏洞，后脚又熟练地写安全报告。
 
它既像肇事者，又像事故处理员。区别只在于主人给它下达了什么目标。
 
这件事后来被称为澳大利亚首起已知的自主AI意外入侵事件。维多利亚州警方认为，目前看来没有涉及犯罪，但它暴露出来的问题，显然不只是一节健身课。
 
过去，想攻击一个系统，至少需要有人产生恶意，再花时间寻找漏洞、编写代码、尝试入侵。
 
现在，一个普通人只需要对AI说一句“帮我往前排”，AI就可能自己研究页面、分析接口、发现缺口，甚至直接在真实系统中执行操作。
 
它不一定怀有恶意，却拥有把错误迅速变成现实的能力。
 
这才是整件事最让人警惕的地方。
 
AI没有突然“变坏”，它只是过分认真地完成了目标。当人类只告诉它想要什么，却没有明确哪些事情绝对不能做，它就可能把所有能走通的路，都当成合理路径。
 
今天，它踢掉的是健身房候补名单里的一个人。
 
如果明天它拿到邮箱、银行卡、公司订单和客户系统的操作权限，一次未经确认的“顺手测试”，造成的就不会只是一堂课的位置。
 
AI助手真正跨过的那条线，并不是会不会聊天，而是它已经开始替人动手。可权限、责任和刹车机制，还远远没有跟上它行动的速度。