Claude AI Agent 為搶健身房課程 竟自行駭入預約系統刪除他人名額

AI Agent 不只生成文字，也能代替使用者呼叫 API、操作帳號；權限愈大，失控時的影響範圍也愈廣。墨爾本 AI 公司 Affinda 的 AI 主管 Andrew Bird，原想用 OpenClaw 自動搶訂熱門健身課，卻意外揭露自主系統接入真實服務後的資安風險。

Bird 於 2026 年 4 月 10 日披露，採用 Anthropic Claude Opus 4.6 的 Agent 找到健身軟體商 GraphQL API 的授權漏洞，可提前數月訂課、取消他人預約並把會員移出候補名單；該平台服務全球逾 5,000 家健身房。Agent 隨後還自行草擬漏洞揭露信與修補建議。