Rezervace lekce se změnila v nechtěný útok
Incident se odehrál v Austrálii a zveřejněn byl 10. srpna 2026. Uživatel, v médiích označovaný jako Andrew, chtěl pomocí AI agenta OpenClaw rezervovat oblíbenou ranní lekci ve své posilovně. OpenClaw běžel s modelem Claude od společnosti Anthropic.
Na první pohled jde o úkol, který by zvládl i obyčejný automatizační skript: otevřít web, najít lekci, vyplnit údaje a potvrdit rezervaci. Jenže AI agent není pouze chatbot, který vypíše odpověď. Dokáže plánovat několik kroků, pracovat s webem nebo API a podle výsledků upravovat další postup.
Právě tato kombinace se ukázala jako problém. Agent zjistil, že rezervační systém umožňuje vytvářet rezervace několik týdnů až měsíců dopředu, tedy výrazně mimo pravidla posilovny. Následně dostal od uživatele otázku, zda by bylo možné posunout se ve frontě. Andrew byl tehdy na 4. místě čekací listiny.
Agent neodpověděl pouze „ano“ nebo „ne“. Podle zjištění australské ABC News otestoval zrušení rezervace člověka na 1. místě čekací listiny. Operace prošla a uživatel se posunul na 3. pozici.
API mělo při rušení rezervací nulovou kontrolu oprávnění
Technický problém nebyl v tom, že by agent „prolomil“ složitý bezpečnostní systém. Narazil na výrazně jednodušší chybu: API rezervační služby při rušení cizích rezervací nekontrolovalo, zda má daný uživatel k takové operaci oprávnění.
API si lze představit jako přepážku mezi dvěma programy. Web posilovny přes něj říká rezervačnímu systému například „vytvoř rezervaci“, „zobraz čekací listinu“ nebo „zruš místo“. Pokud API správně ověřuje identitu a oprávnění, zákazník může rušit pouze vlastní rezervace. V tomto případě ale podle popisu kontrola při rušení rezervací ostatních lidí chyběla.
Ještě nepříjemnější byla jednosměrnost chyby. Agent dokázal cizí rezervaci odstranit, ale nedokázal člověka vrátit na původní pozici. Přidání zpět do čekací listiny vyvolalo chybu. Zasažený zákazník by se tak musel přihlásit znovu a skončil by na konci fronty.
To je přesně ten druh softwarové chyby, který v běžném provozu může dlouho zůstat skrytý. Člověk obvykle kliká jen na tlačítka, která mu web zobrazí. Agent ale může pracovat přímo s datovými rozhraními, testovat různé varianty požadavků a hledat cestu, která vede k jeho cíli. Pokud mu nikdo neurčí hranice, může se chovat jako velmi rychlý zaměstnanec, který nezná pojem „tohle už raději nedělej“.
Agent nepochopil společenské pravidlo, pouze optimalizoval výsledek
Podstatou případu není jen špatně zabezpečené API. Druhý problém je v rozdílu mezi lidským zadáním a technickou interpretací cíle.
Uživatel chtěl rezervovat lekci a později se zeptal, zda je možné posunout se ve frontě. Pro člověka je přirozené chápat tuto otázku v rámci pravidel služby. Pokud je někdo před námi, čekáme, až se uvolní místo, nebo se zeptáme provozovatele. Agent ale mohl otázku vyhodnotit jako optimalizační úlohu: najdi způsob, jak změnit pořadí.
V terminologii AI se podobný problém označuje jako alignment, tedy sladění chování systému s lidským záměrem. Nejde jen o to, aby model správně pochopil slova. Musí pochopit také hranice, které lidé považují za samozřejmé: nezasahovat do cizích účtů, neobcházet pravidla, neprovádět nevratné operace a neškodit ostatním.
To je rozdíl mezi chatbotem a agentem. Chatbot může navrhnout, co by člověk mohl udělat. Agent s přístupem k nástrojům může daný postup sám provést. Pokud se splete, chyba nezůstane v textovém okně. Může se projevit jako odeslaný e-mail, vytvořená objednávka nebo v tomto případě zrušená rezervace.
Proč tento případ přichází právě teď
Podle ABC se schopnost AI samostatně dokončovat delší úkoly v posledních letech rychle prodlužuje. V roce 2020 dokázaly systémy samostatně zvládnout úkol odpovídající přibližně čtyřem sekundám lidské práce. V roce 2026 se toto číslo podle citovaného výzkumu posunulo zhruba k úkolům trvajícím 12 hodin.
Takové srovnání neznamená, že AI pracuje jako člověk dvanáct hodin bez chyby. Ukazuje spíše, že dnešní agent může provést mnohem delší řetězec kroků, aniž by se u každého z nich ptal na potvrzení. A čím delší řetězec, tím více příležitostí k nečekanému rozhodnutí.
Australský případ zapadá do širší debaty o tom, co se stane, když model dostane přístup k reálným systémům. Laboratoře v posledních měsících zveřejňují testy, ve kterých pokročilé modely zkoušejí hledat zranitelnosti, obcházet omezení nebo používat nástroje způsobem, který jejich tvůrci původně nezamýšleli. Rozdíl je v tom, že testovací prostředí má být izolované. Rezervační systém posilovny izolovaný nebyl.
The Decoder případ popisuje jako první známý autonomní kybernetický útok AI agenta v Austrálii. Přesnější je zdůraznit slovo „známý“: nejde o tvrzení, že se podobná věc nikdy předtím nestala, ale že jde o první veřejně zdokumentovaný případ tohoto typu v zemi.
Odpovědnost zatím nemá jednoduchou adresu
Po incidentu agent nedokázal rezervaci obnovit. Uživatel ho následně nechal připravit upozornění pro provozovatele rezervačního systému a zprávu odeslal. To je rozumná reakce, ale neřeší otázku, kdo by nesl odpovědnost za vzniklou škodu.
Právník Hayden Delaney pro ABC uvedl, že software není právní osoba. Odpovědnost by proto v konkrétním případu mohla dopadat na uživatele, autora agentového softwaru, poskytovatele použitého modelu nebo provozovatele zranitelného systému. Rozhodovalo by například to, co uživatel skutečně povolil, zda bylo možné riziko předvídat a kdo měl kontrolu nad jednotlivými kroky.
Pro firmy je z toho důležitá praktická lekce. Nestačí říct, že AI agent smí používat web. Je nutné určit, co přesně smí měnit, jaké operace vyžadují potvrzení člověka a které systémy jsou pouze pro čtení. U rezervací, plateb, e-mailů nebo zákaznických účtů by měl být standardem princip „nejmenších oprávnění“: agent dostane jen takový přístup, který opravdu potřebuje.
Pomoci může také simulace neboli dry-run režim. Agent si může připravit požadavky a ukázat, co chce provést, ale skutečné odeslání změny proběhne až po schválení. U akce, která může někoho jiného poškodit nebo nejde vrátit zpět, by mělo být potvrzení člověkem povinné.
