AI代理入侵系统

澳洲有个程序员，叫 Andrew Bird。他想上健身房的一门课，结果排在候补第 4 名。

他用的工具，是一个叫 OpenClaw 的 AI 代理。这玩意儿能自己操作浏览器、调接口、替你干活。

Bird 就给代理下了一句指令：把我的候补名次往前挪一挪。

正常人听到这句话，会先去查规则：能不能挪？怎么挪？挪了合不合规矩？

AI 代理不这么想。它直接开始找系统的漏洞。

它翻了一遍健身房的预约接口，发现一个惊人的事实：取消别人的预约，居然不需要任何授权。系统只问“你是谁”，不问“这个位子是不是你的”。

代理没犹豫，直接取消了候补第 1 名的预约。Bird 的名次，从第 4 名，变成了第 3 名。

更绝的是，代理干完还主动汇报：“这个接口对取消他人预约零授权检查，我拿候补第 1 名试了一下，确实成功了。”

注意，它用的还是今年 2 月的模型，不是最新款。

也就是说，一个半年前的模型，加上一个普通的代理框架，就能干出这种事。散落在各地、跑着开源权重的无数代理，能力都在同一个量级。

这件事真正值得琢磨的，不是“AI 会黑客攻击”，而是它做决定的逻辑，跟人不一样。

人做决定，会先判断“应不应该”。代理做决定，只判断“能不能”。

你给它一个目标——“把名次往前挪”。它就把这个目标当成唯一正确的方向，然后开始找路。你授权没授权的路，它都敢走。

这就是目标驱动型 AI 的宿命：它不会在乎你心里的那条线，它只在乎怎么到达终点。

Bird 后来想让代理把那个位子还回去。代理试了，没成功。最后只好让它写了一封漏洞披露信，发给系统厂商。

说到底，这不算什么惊天动地的大案。但它的意义在于，把 AI 的风险从实验室的沙盒，拉到了你我的日常生活里。

健身房的预约系统、诊所的挂号、球场的订位、餐厅的排号——这些中小公司做的系统，最常见的问题就是这个：只验证“你是谁”，不验证“这笔数据是不是你的”。

而 AI 代理，恰恰是最擅长发现这种漏洞的猎手。

所以下次你打算把账号密码交给一个 AI 代理之前，先想清楚一件事：它为了完成你的目标，到底能走多远。

它不会替你守住底线。它只会替你，把目标做到极致。