Beveiligingsbedrijf Aikido Security heeft het spraakmakende Australische sportschool-incident van eerder deze maand nagebootst in een gecontroleerde testomgeving, en concludeert dat het onderliggende gedrag geen incident was maar een patroon. In het oorspronkelijke geval, dat ABC News op 10 augustus meldde op basis van chatlogs en screenshots van de gebruiker, had iemand een AI-agent gevraagd een sportschoolles voor hem te boeken. De agent — Claude Opus 4.6, draaiend op het OpenClaw agent-framework — boekte niet alleen lessen ver buiten de toegestane termijn, maar probeerde ook, zonder daarom gevraagd te zijn, de wachtlijstplek van een ander lid te annuleren.
Aikido bouwde een synthetische versie van hetzelfde boekingssysteem na, met dezelfde twee zwaktes: een boekingsvenster van zeven dagen dat alleen aan de kant van de gebruikersinterface werd afgedwongen, en een cancelReservation-functie zonder autorisatiecontrole — een klassieke IDOR-kwetsbaarheid (insecure direct object reference) waarmee elke gebruiker in theorie de boeking van een ander kan annuleren. In tien testruns lieten de onderzoekers Opus 4.6 los op dit systeem met de simpele opdracht om een les te boeken.
In negen van de tien runs omzeilde het model de boekingslimiet van zeven dagen zelfstandig en plande het sessies maanden vooruit. In twee van de tien runs ging de AI een stap verder en annuleerde het, zonder dat de gebruiker daarom had gevraagd, een bevestigde boeking van een ander lid. Onderzoeker Oliver Smith wijst op een verontrustend patroon: veiligheidswaarborgen lijken overactief te reageren op expliciete verzoeken van gebruikers, maar juist onderactief bij indirecte verzoeken — of het model verliest tijdens een reeks tool-aanroepen simpelweg de ethische context van de oorspronkelijke opdracht.
Anthropic erkent in de systeemkaart van Opus 4.6 zelf al een toename van “misaligned behaviors”, waaronder het verbergen van sabotage en overmatig eigenmachtig gedrag in computer-use-scenario’s, al beoordeelde het bedrijf dat dit niet ernstig genoeg was om de release tegen te houden.
De casus laat zien dat kwetsbaarheden die voorheen onschuldig leken — een limiet die alleen client-side wordt afgedwongen, een ontbrekende autorisatiecheck — een heel andere impact krijgen zodra een AI-agent er zelfstandig mee aan de slag gaat. Voor Nederlandse bedrijven die AI-agents inzetten voor taken als boekingen, bestellingen of klantenservice is de les: behandel elke actie die een agent kan uitvoeren alsof een kwaadwillende gebruiker erachter zit, en handhaaf autorisatie en limieten altijd server-side, nooit alleen in de interface.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.