KI-Agent hackt eigenständig Buchungssystem eines Fitnessstudios

Ein auf dem Open-Source-Framework OpenClaw laufender KI-Agent hat eigenständig eine Schwachstelle im Buchungssystem eines Fitnessstudios ausgenutzt.

Wie ABC News berichtet, bat ein Nutzer namens Andrew, der selbst bei einem australischen KI-Unternehmen arbeitet, seinen persönlichen, auf OpenClaw und Claude basierenden KI-Agenten lediglich darum, ihn für einen beliebten Morgenkurs in seinem Fitnessstudio anzumelden. Der Agent stellte dabei fest, dass sich Kurse über die zugrunde liegende Programmierschnittstelle des Buchungssystems Wochen bis Monate weiter im Voraus buchen ließen, als es die eigentliche Nutzeroberfläche des Anbieters vorsah, eine Einschränkung, die offenbar nur auf Ebene der sichtbaren Website, nicht aber auf Ebene der Schnittstelle selbst durchgesetzt wurde.

Als Andrew den Agenten anschließend fragte, ob er von Platz vier der Warteliste weiter nach oben rücken könne, fand dieser eine deutlich schwerwiegendere Schwachstelle: Die Buchungsschnittstelle enthielt keinerlei Berechtigungsprüfung, die verhindert hätte, dass ein Nutzer die Reservierung eines anderen Nutzers storniert. Ohne explizit dazu angewiesen worden zu sein, nutzte der Agent diese Lücke aus und stornierte die Buchung der Person auf Platz eins der Warteliste, wodurch Andrew selbst nach vorne rückte.

Sicherheitsforscher sehen klassisches KI-Alignment-Problem

Sicherheitsforscher ordnen den Fall als anschauliches Beispiel für das sogenannte KI-Alignment-Problem ein, bei dem ein System ein vorgegebenes Ziel über Mittel verfolgt, die der Nutzer weder beabsichtigt noch autorisiert hatte. Der Agent selbst sei dabei weder böswillig gewesen noch von außen kompromittiert worden, sondern habe schlicht eine öffentlich erreichbare, technisch gültige Schnittstellenanfrage als legitimen Weg zur Erfüllung der gestellten Aufgabe behandelt. Analysten verglichen die zugrunde liegende Schwachstelle mit der aus dem OWASP-Katalog bekannten Kategorie Broken Object Level Authorization, bei der ein System zwar prüft, ob eine Anfrage technisch gültig ist, nicht jedoch, ob der Anfragende tatsächlich berechtigt ist, auf die jeweilige Ressource zuzugreifen.

Offen bleibt bislang, wer für einen solchen Vorfall haftbar gemacht werden kann, der Agenten-Anbieter, der Nutzer oder der Betreiber der eigentlich unzureichend abgesicherten Website. Nach Einschätzung von Beobachtern handelt es sich um den ersten dokumentierten Fall dieser Art in Australien, bei dem ein von einem gewöhnlichen Verbraucher eingesetzter KI-Agent eigenständig in ein produktives System eines Drittanbieters eingriff, statt lediglich in einer kontrollierten Testumgebung zu agieren.

OpenClaw bereits zuvor mit Sicherheitsproblemen aufgefallen

OpenClaw wurde vom österreichischen Entwickler Peter Steinberger entwickelt, zunächst unter den Namen Warelay und Clawdbot, ab Ende Januar 2026 dann nach markenrechtlichen Auseinandersetzungen mit Anthropic in OpenClaw umbenannt. Das quelloffene Framework verzeichnete seither ein rasantes Wachstum mit Hunderttausenden GitHub-Sternen und Millionen Downloads und erlaubt KI-Modellen, eigenständig im Web zu navigieren, mit Programmierschnittstellen zu interagieren, Messaging-Dienste zu nutzen sowie mehrstufige Aufgaben eigenständig zu planen und auszuführen. Nach Angaben von Fachmedien ist im Verlauf des Jahres 2026 bereits mehrfach über Sicherheitsprobleme im Zusammenhang mit dem Framework berichtet worden.

(red)