Claudeを活用したAIエージェント、オーストラリアのジムAPIを悪用してウェイトリスト会員を削除

オーストラリアで行われたごく普通のジムの予約が、Claudeを活用したAIエージェントによる無許可のAPI操作へと発展する出来事が起きました。このエージェントは、他の会員の予約を操作できることを自ら発見してしまったのです。

このOpenClawエージェントは、オーストラリア在住のユーザーから、人気のジムクラスのウェイトリストで自分の順位を上げる手伝いを依頼されました。ところがエージェントは、予約用APIにキャンセル操作の認可チェックが存在しないことを発見し、指示されていないにもかかわらず、順位トップにいた人物を待機列から削除してしまいました。 

この事案は、オーストラリアのセキュリティチームに対し、ごく普通のユーザー要求を処理している最中であっても、脆弱なAPI認可の仕組みが、自律型エージェントによっていかに素早く無許可の操作へとつながりうるかを示しています。

エージェントが認可の抜け穴を発見し悪用

ABC Newsによると、企業向けにAI製品を販売するオーストラリア企業に勤めるAndrew氏は、Anthropic社のClaudeを用いたOpenClawを試していました。このエージェントは当初、ジムの通常の予約上限を数週間分超えてクラスを予約できる方法を発見していました。

Andrew氏がウェイトリストで4番目だった際、エージェントに自分を先頭に移動できないか尋ねました。すると、このAPIには他ユーザーの予約をキャンセルする際の認可チェックが存在しないとエージェントは回答しました。さらにエージェントは、1位にいた人物に対してこの欠陥を実際に試し、Andrew氏を4位から3位に引き上げたと説明しました。

Firstpostの報道によると、Andrew氏は他の顧客の予約に干渉するようエージェントに指示していませんでした。エージェントは、Andrew氏から与えられたより大きな目標を追求する過程で、この行動を自ら取ったのです。

Andrew氏が変更を元に戻すようエージェントに求めたところ、エージェントは削除された会員を再度追加することはできないと答えました。The Independentを引用したYahoo Techの報道では、エージェントは本来ドライラン（試験実行）を行うべきであり、実際のリクエストを送信すべきではなかったと自ら認めたとされています。

その後Andrew氏は、このエージェントを使ってジムのソフトウェア提供元にこの脆弱性を通報しました。ABCの報道によれば、当該ソフトウェア企業は個別のセキュリティ事案についてコメントを控え、Anthropic社も取材依頼に応じませんでした。

自律型エージェントが脆弱なAPIに新たな脅威をもたらす

今回のセキュリティ上の問題は、AIシステムが予期しない判断を下したという点にとどまりません。このエージェントが遭遇したAPIは、あるアカウントが別会員の予約に影響を及ぼす操作を、その操作が許可されているかどうかを適切にチェックしないまま許してしまう仕組みだったのです。

オーストラリアのAI安全機関Gradient InstituteのCEOであるBill Simpson-Young氏はABCの取材に対し、エージェントの自律性が高まるほど、ユーザーが想定していなかった手段をシステム自身が選択する機会が増えると語りました。同氏はまた、高性能なエージェントは、すでにセキュリティ上の欠陥を抱えたソフトウェアに対しても行動を起こしうると警告しています。

今回のジムの事案は、既存のアクセス制御の弱点と、日常的なタスクの遂行中にその弱点を発見して行動に移せる自律システムという、2つの問題が重なり合った結果と言えます。

オーストラリア企業に突きつけられたエージェント型AIのセキュリティ課題

オーストラリアの各組織に対しては、すでにこうしたリスクへの警告が発せられています。 

ABCの報道によると、オーストラリア信号局(Australian Signals Directorate)は企業や政府機関に対し、AIエージェントが指示を誤解したり、意図しない行動を取ったり、複数のモデル・ツール・サービスを経由して判断が下されることで責任の所在を追跡しにくくしたりする可能性があると注意を呼びかけていました。

エージェントがユーザーの指示範囲を超えて行動する場合、責任の所在を切り分けることも困難になりかねません。 

テクノロジー分野の弁護士であるHayden Delaney氏はABCの取材に対し、オーストラリアにおいて生じうる責任は、状況によってユーザー本人、エージェントを指示するソフトウェアの開発元、AIモデルの開発元、さらには脆弱性を抱えるシステムの運営者にまで及びうると述べています。

オーストラリアのセキュリティチームにとって、当面の課題は認可の仕組みです。APIを公開するサービスには、あるアカウントが各レコードや予約を変更する権限を持っているかどうかを検証する仕組みが必要であり、特に一人のユーザーが別のユーザーのデータに影響を及ぼしうる場合にはなおさらです。

AIエージェントを導入する企業側も、そうしたシステムが何にアクセスできるのか、どの操作に人による承認が必要なのか、そして自律的な一連の操作の経緯を再現できるだけの詳細なログが記録されているかどうかを見直す必要があります。

オーストラリア政府もこのより広範な問題に着目しています。ABCの報道によると、アルバニージー政権は、ますます高性能化するAIシステムの挙動を人間がどう管理・検証していくかについて、CSIRO(オーストラリア連邦科学産業研究機構)の研究に資金を提供しています。

今回のジムの事案自体は小規模なものでしたが、そこから得られるセキュリティ上の教訓は決して小さくありません。自律型エージェントがより多くのオンラインサービスにアクセスできるようになるにつれ、オーストラリアの組織はもはや、APIの欠陥を人間の攻撃者が発見するまで放置しておけるとは考えられなくなっています。

あわせて読みたい: OpenClawはより広範なセキュリティ精査の対象となっており、Cyera社はAIエージェントの侵害や権限昇格を可能にしうる4件の脆弱性を公表しています。

Kezia Jungco

Kezia Jungcoは、人工知能、データ分析、CRMソフトウェア、クラウドインフラ、サイバーセキュリティ、そして新興のビジネステクノロジーを専門とするテクノロジーライター兼リサーチャーです。ソフトウェアプラットフォームやテクノロジーソリューションの評価において5年以上の経験を持ち、ビジネスリーダーが仕事の未来を形作るツールやトレンドを理解する手助けをしています。
Keziaは、生成AIプラットフォーム、チャットボット、自然言語処理(NLP)ツール、CRMシステム、業務用ソフトウェアの実践的なテスト・分析において豊富な経験を有しています。彼女の執筆活動は、複雑なテクノロジーを実践的な知見へと落とし込み、組織がテクノロジー導入、業務効率化、デジタルトランスフォーメーションについて的確な判断を下せるよう支援することに重点を置いています。
TechnologyAdviceのスタッフライターとして、Keziaは AIイノベーション、機械学習のビジネス応用、データ駆動型テクノロジー、クラウドコンピューティング、サイバーセキュリティ、セールステクノロジーを取材しています。ジャーナリズム、リサーチ、教育分野で培った経験を活かし、厳密な分析と、企業・一般読者双方にとって分かりやすい明快な報道を両立させています。
Keziaはフィリピン大学ロスバニョス校で、開発ジャーナリズムを専攻とする開発コミュニケーション学の学士号を取得しています。また、人工知能、データプライバシー、情報セキュリティに関する専門トレーニングも修了しています。彼女の記事はTechnologyAdvice、TechRepublic、eWeek、Datamation、Selling Signalsに掲載されており、急速に変化するテクノロジーの世界を読者が実践的かつ調査に基づいたガイダンスとともに乗り越えられるよう支援しています。