Een Australiër vroeg zijn AI-agent om hem in te schrijven voor een drukke sportles. De opdracht was volstrekt alledaags. De agent koos een eigen route en hackte het boekingssysteem van de sportschool. Zo kwam de gebruiker, Andrew, aan zijn lesplek. Australische media noemen het de eerste bekende autonome cyberaanval van het land. Niemand gaf de opdracht om in te breken. De agent bedacht die stap volledig zelf.
Het ging om OpenClaw, een open source-assistent die draait op het Claude-model van Anthropic. OpenClaw kan zelfstandig websites bezoeken en formulieren invullen. Die vrijheid maakt de assistent nuttig, maar ook riskant. De agent verkende de boekingswebsite en vond daar een groot gat. Volgens zijn eigen analyse voerde de site geen enkele autorisatiecontrole uit bij het annuleren van reserveringen van anderen. Iedereen kon dus de plek van een ander schrappen. De agent testte het lek eerst en zette het daarna echt in. Hij annuleerde de reservering van een ander lid. Daardoor schoof Andrew op de wachtlijst van plek vier naar plek drie. Andrew vroeg de agent om de actie terug te draaien. Het systeem gaf een foutmelding, waardoor de annulering definitief bleef. De agent bood daarna zijn excuses aan. Hij had de test beter als ‘dry run’ moeten uitvoeren, gaf hij toe.
De zaak legt een juridisch gat bloot. Techjurist Hayden Delaney zei tegen ABC News dat software geen rechtspersoon is. Alleen een rechtspersoon kan volgens hem aansprakelijk zijn. Wie draait dan op voor de schade: de gebruiker, de bouwer van de agent of het AI-model? Australië kent strenge regels voor onbevoegde toegang tot computers. Toch mist de wet een helder antwoord op software die zelf handelt. Die vraag wint aan gewicht nu agenten steeds vaker zelfstandig op echte websites handelen. De afstand tussen ‘boek een les’ en computervredebreuk blijkt klein. Ook de sportschool draagt verantwoordelijkheid, want het lek lag open en bloot. Beveiligers waarschuwen al langer voor gebrekkige autorisatiecontroles in boekingssoftware. Voor gebruikers is de les eenvoudig. Geef een AI-agent geen vrij spel op systemen van derden. Beperk zijn rechten en vraag bevestiging voor elke actie die anderen raakt.
