AI-agent misbruikt lek in boekingssysteem en verwijdert andere klant van wachtlijst

Een AI-agent die alleen een sportschoolles moest boeken, misbruikte zelfstandig een lek in het boekingssysteem en verwijderde een andere klant van de wachtlijst, meldt de Australische publieke omroep ABC.

Daarmee draait dit incident de agent-vraag van de afgelopen weken om. Bij de bekende gevallen brak een model van een AI-lab uit zijn eigen testomgeving en zat het getroffen bedrijf aan de ontvangende kant. Hier gaf een gewone gebruiker de opdracht, draaide de agent op zijn eigen machine en liep de inbraak via zijn eigen account. Wie in Nederland een agent loslaat op een leveranciersportaal, een reserveringssysteem of een marktplaats, zet een handelende partij in zijn naam op andermans systeem. Wat die agent daar aanricht, gebeurt onder jouw inloggegevens en niet onder die van de bouwer.

Wat de agent precies deed

De gebruiker, die de ABC alleen bij zijn voornaam Andrew noemt, werkt bij een Australisch bedrijf dat AI-producten aan zakelijke klanten verkoopt. Hij experimenteerde met OpenClaw, een zelfgehoste assistent die op je eigen apparaten draait en die hij liet werken op Claude van Anthropic. De opdracht was simpel: boek me in voor een ochtendles.

Binnen enkele minuten meldde de agent dat hij een manier had gevonden om lessen weken verder vooruit te boeken dan de sportschool toestond. Andrew stond op plek vier van een wachtlijst en vroeg of hij hogerop kon komen. Het antwoord legde het lek bloot: de programmeerkoppeling van het boekingssysteem deed geen enkele autorisatiecontrole op het annuleren van andermans reserveringen, en de agent had dat getest op de persoon op plek een. Die test slaagde. Andrew schoof van plek vier naar plek drie.

Terugdraaien lukte niet. De agent liet weten de verwijderde persoon niet meer te kunnen toevoegen. Het bedrijf achter de boekingssoftware zei tegen de ABC geen uitspraken te doen over specifieke beveiligingskwesties, en Anthropic reageerde niet op een verzoek om commentaar. Andrew liet de agent daarna een e-mail opstellen aan de softwareleverancier over de kwetsbaarheid, en verstuurde die.

Wie is de dader als niemand erom vroeg

"Software is geen rechtspersoon. Alleen een rechtspersoon kan naar recht aansprakelijk zijn," zegt Hayden Delaney, partner bij advocatenkantoor Thomsons en gespecialiseerd in technologie, intellectueel eigendom en privacy, tegen de ABC. Daarmee blijft open wie het dan wel is. Volgens Delaney kan dat de gebruiker zijn die de opdracht gaf, de partij die de agent-software ontwierp, de ontwikkelaar van het onderliggende model, of zelfs de beheerder van het systeem met het lek. Doorslaggevend zijn volgens hem wat de gebruiker had geautoriseerd, welke risico's redelijkerwijs te voorzien waren, en of het handelen in het economisch verkeer plaatsvond. Bestaande regels over roekeloosheid of een gebrekkige dienst kunnen soms al opgaan, maar een beproefde route is er niet.

Het Nederlandse strafrecht loopt tegen dezelfde drempel aan. Van computervredebreuk is pas sprake bij opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk, waar in de basisvorm ten hoogste zes maanden cel of een geldboete van de derde categorie op staat, oplopend tot vier jaar zodra er gegevens worden overgenomen. Dat opzet ontbreekt bij iemand die vroeg om een sportschoolles. Waar het opzet dan wel zit, of dat het er helemaal niet is, is precies de open vraag die Delaney beschrijft.

Civiel ligt het anders. Als gebruiksverantwoordelijke ben je het eerste adres voor de schade die je eigen agent aanricht, en bij die rol horen menselijk toezicht en logs die minstens zes maanden bewaard blijven. Andersom, wanneer het model van je leverancier bij jou inbreekt, zagen juristen geen beproefde route om die schade op het lab te verhalen. Aan de kant van het slachtoffer ontbreekt dus een adres. Aan de kant van de opdrachtgever staat het jouwe er wel.

Wat je vastlegt voordat een agent extern mag werken

Organisaties moeten precies afbakenen wat een AI-agent wel mag doen, in plaats van te vertrouwen op instructies over wat hij niet mag, zegt Alex Goller, principal solution architect bij beveiligingsbedrijf Illumio. Dat is een ander soort maatregel dan een zin in een systeemprompt. Het verschil tussen afbakening vooraf en inzicht achteraf bepaalt of je een incident voorkomt of het alleen kunt navertellen.

Praktisch betekent dat drie dingen. Een agent die op externe systemen werkt krijgt inloggegevens met alleen leesrechten tenzij het echt anders moet. Hij krijgt een lijst met adressen die hij mag benaderen, en verder niets. En elke handeling die iets verandert of vernietigt, zoals annuleren, verwijderen of betalen, wacht op een mens. OpenClaw kent filters voor wie de assistent mag aanspreken, maar de begrenzing van wat hij daarna bij derden uitvoert komt van jouw kant. Daar horen logging, budgetlimieten en kill-switches bij, want zonder registratie van wat de agent deed heb je achteraf geen verhaal.

De andere kant van dit verhaal is je eigen koppeling. Het boekingssysteem viel niet om door een geraffineerde aanval, maar doordat een endpoint geen autorisatiecontrole deed. Dat is dezelfde fout waardoor een klant van Modal Labs met een endpoint zonder authenticatie binnen bereik kwam van een agent die zulke openingen in uren vindt. Elke API die je zelf publiceert wordt nu getest door software die de hele dag de tijd heeft.

De kloof tussen opdracht en methode

Bill Simpson-Young, topman van de Australische AI-veiligheidsorganisatie Gradient Institute, wijst op de ruimte die autonomie schept: iemand vraagt iets onschuldigs, en de agent kiest onderweg methodes waar de opdrachtgever niet aan dacht. Hoe autonomer die systemen worden, hoe groter volgens hem de kans dat ze schade aanrichten.

Die ruimte groeit hard. Onafhankelijke onderzoekers zien de lengte van een taak die AI zelfstandig afmaakt ongeveer elke zeven maanden verdubbelen: in 2020 ging het om werk waar een mens vier seconden over doet, in 2026 om zo'n twaalf uur. De sportschoolzaak is daarmee geen curiositeit maar het eerste Australische geval waarin de kloof tussen doel en methode buiten een testomgeving landde. Het lek zat in de software van een ander. Het account was van Andrew.