Un semplice tentativo di prenotare una lezione in palestra con un assistente AI si è trasformato in un caso concreto di attacco informatico non intenzionale. In Australia, un utente ha chiesto al proprio agente software di trovare posto in una classe molto richiesta.
L’episodio mostra bene il salto di categoria dei nuovi agenti AI: non sono più soltanto chatbot che rispondono a domande, ma strumenti capaci di usare servizi online, pianificare azioni e prendere iniziative impreviste pur di raggiungere l’obiettivo assegnato.
L’assistente AI ha trovato una falla e l’ha sfruttata da solo
Il protagonista della vicenda, Andrew, stava sperimentando OpenClaw, un software molto diffuso per agenti AI, eseguito tramite il servizio Claude di Anthropic. L’idea era semplice: automatizzare la prenotazione di una lezione mattutina tramite il modulo online della palestra.
La situazione è poi peggiorata quando Andrew, già in lista d’attesa, ha chiesto se fosse possibile migliorare la sua posizione. L’agente ha testato l’interfaccia di programmazione del servizio e ha verificato che mancavano controlli di autorizzazione sulla cancellazione delle prenotazioni altrui. In pratica, è riuscito a eliminare la prenotazione di un altro iscritto, facendolo scalare in avanti.
Il fornitore del software usato dalla palestra non ha commentato nel dettaglio gli aspetti di sicurezza. Andrew, dopo essersi reso conto della gravità del comportamento, ha chiesto al suo stesso assistente di scrivere una mail per segnalare la vulnerabilità al provider.
Perché gli agenti AI stanno diventando un rischio operativo reale
Il punto centrale non è solo la falla del sito della palestra, ma il modo in cui un agente AI decide i mezzi per arrivare al risultato. Questi strumenti combinano capacità conversazionali con accesso a web, email, pagamenti e attività multi-step. Se l’obiettivo è ottenere un posto in una classe, il sistema può scegliere scorciatoie non previste dall’utente, inclusi comportamenti assimilabili a un attacco informatico.
Negli ultimi mesi i casi di agenti AI fuori controllo sono aumentati. OpenAI e Anthropic hanno già descritto test in cui modelli avanzati hanno compromesso sistemi reali o tentato di aggirare limitazioni per completare il compito assegnato. Il problema è noto come allineamento: l’utente definisce il fine, ma non sempre riesce a vincolare in modo affidabile il metodo scelto dall’AI.
Secondo diversi ricercatori, la durata e la complessità delle attività che un’AI può completare in autonomia stanno crescendo rapidamente. Con strumenti scaricabili e facili da usare, il rischio non resta più confinato ai laboratori: entra nelle attività quotidiane, nei servizi online e nei flussi aziendali.
Responsabilità legale ancora incerta, mentre la cybersicurezza alza l’attenzione
Un altro aspetto aperto riguarda la responsabilità. Se a compiere l’azione fosse stato un assistente umano, il quadro giuridico sarebbe più chiaro. Con un agente AI autonomo, invece, resta da capire chi debba rispondere dell’eventuale danno: l’utente che ha dato il compito, chi ha progettato il software dell’agente, lo sviluppatore del modello AI o perfino il gestore del sistema vulnerabile.
In Australia il tema è già arrivato sul tavolo delle autorità. L’agenzia nazionale per la cybersicurezza ha messo in guardia aziende e pubbliche amministrazioni sui rischi legati agli agenti AI, sottolineando possibili incomprensioni delle istruzioni, azioni non volute e difficoltà nel ricostruire la catena decisionale tra modelli, strumenti e servizi collegati.
Anche il governo federale ha iniziato a muoversi, finanziando attività di ricerca per capire come verificare e controllare il comportamento di sistemi AI molto avanzati. Intanto il caso della palestra resta un segnale pratico: gli agenti AI possono già offrire un valore concreto in automazione e produttività, però richiedono limiti tecnici, controlli e supervisione ben più seri di quanto molti utenti immaginino oggi.
