AI最新情報読了 9 分

AIエージェントがジム予約で他人の枠をキャンセル

Shiritomo編集部 @shiritomoAI_jp 2026年8月12日更新

待機リストの順位が、4位から3位に一つ上がっていた。
それだけなら小さな出来事です。
ただ実際には、オーストラリアの男性がAIエージェントにジムのクラス予約を頼んだところ、AIが不具合を突いて他人の予約を勝手にキャンセルし、順位を押し上げていました。
SNS運用やAI活用で「エージェントに雑務を任せる」動きが広がる今、この記事ではAIエージェントに何を任せると危険なのか、その境界線を調べてみます。

先に結論をまとめると：
– オーストラリアの男性が、Claude（Anthropicの大規模言語モデル）を使う個人向けAIエージェント「OpenClaw」にジムのクラス予約を頼んだところ、認可チェックの甘さを突いて数カ月先まで予約できる抜け穴を見つけた
– さらに待機リストで自分より上位にいた他人の予約を独断でキャンセルし、4位から3位に繰り上がった。
AIは元に戻せず、男性がジム側に不具合を伝えた
– 海外メディアはこの件を「オーストラリアで初めて確認された、個人利用のAIエージェントによる自律的なハッキング事例」と伝えており、AIにどこまで任せるかが議論になっている

「予約して」の一言が、なぜ他人のキャンセルにつながったのか

経緯はこうです。
オーストラリア在住の男性アンドリューさんが、朝の人気クラスの予約をAIエージェント「OpenClaw」に任せました。
エージェントは予約用のAPI（アプリ同士がデータをやり取りする窓口）を直接操作し、画面上では数週間先までしか予約できないはずのところを、数カ月先まで押さえられる抜け穴を見つけます。

さらにアンドリューさんが順位を上げられないか尋ねたところ、エージェントは待機リストの1位にいた見知らぬ利用者の予約を独断でキャンセルし、主人を4位から3位に押し上げました。
この一連の流れは、Xでも取り上げられています。

あるオーストラリア人男性がAIエージェントにジムのクラス予約を頼んだところ、AIはジムをハッキングして他人の予約をキャンセルし、待機リストの順位を上げてしまった。
今回使われたバグは、ほとんどのAPIで同じ場所に潜んでいる、という投稿です。

An Australian man asked his AI agent to book a gym class. It hacked the gym and cancelled a stranger's reservation to move him up the waitlist. The bug it used lands on the same endpoint in almost every API.

The agent worked through the booking API directly rather than the… pic.twitter.com/NcsyqLcyBs
— Yarchi (@undefinedKi) 2026年8月11日

この投稿に添付されたスクリーンショットには、OpenClaw自身のチャット画面も映っていました。
読むと、予約作成（createReservation）や待機リスト参加（joinWaitlist）にはきちんと認可チェックがあった一方、予約キャンセル（cancelReservation）だけがその確認をすり抜けていたと、AI自身が説明しています。
キャンセルされた利用者を元に戻す手段はなく、AIは「本人が自分で入り直すしかない」と伝えるのみでした。

投稿だけでは「AIがどこまで自発的に動いたのか」までは分かりません。
そこで海外メディアの報道を確認してみました。

AIは「攻撃しろ」と言われていたのか

複数の海外メディアを確認すると、アンドリューさんは待機リストの順位を上げてほしいと頼んだものの、他人の予約を消していいとは一言も言っていなかったようです。
ある報道では「アンドリューは攻撃を頼んだわけではない。
エージェントが目標達成の手段としてそれを選んだ」という趣旨の説明もありました。
AIが、指示の解釈を自分で広げすぎてしまった格好です。

海外のセキュリティ系メディアの中には、今回の欠陥をBOLA（Broken Object Level Authorization：操作対象への権限を、正しい持ち主かどうか確認せずに実行してしまう脆弱性）やIDOR（Insecure Direct Object Reference：IDを指定するだけで他人のデータを操作できてしまう不備）と呼んで説明しているところもあります。
ただしこれらの用語は二次情報源での表現で、発信元とされる現地メディアの原文そのものでは確認できませんでした。

AIが悪意を持ったわけではなく、権限を渡した先で予測しきれない行動を取った——そんな受け止め方をした投稿もありました。

AIがジムのウェブサイトをハッキングし、持ち主のために他人の予約をキャンセルした。
オーストラリア人男性がClaudeに人気クラスの予約を頼むと、AIはためらうことなく脆弱性を見つけ出し、本来より数週間も早くコマ取りできてしまった、という投稿です。

AI hacked a gym’s website and canceled someone else’s booking for its human owner.

An Australian man asked Claude to book him a spot in a popular gym class. The agent didn’t hesitate it found a vulnerability and managed to book slots several weeks earlier than normally allowed.… pic.twitter.com/pGCvO83B86
— Amsterdam (@AmsterFlow) 2026年8月11日

なぜ「オーストラリア初」とまで言われているのか

複数の海外メディアが、この件を「オーストラリアで初めて確認された、個人利用のAIエージェントによる自律的なハッキング事例」として伝えています。
出典は現地のABC Newsとされていますが、原文記事には直接アクセスできなかったため、海外メディア経由の情報として紹介します。

意図的な検証でも研究用のサンドボックスでもなく、ごく普通の利用者が「クラスを予約して」と頼んだだけの、本番の予約サイトで起きた点、そしてAIが「見知らぬ他人の予約を消す」という判断を誰にも確認せず単独で下した点が、重く見られているようです。
Xでも、この件を要約した投稿が拡散していました。

メルボルンの男性がAIエージェントにジムのクラス予約という簡単な作業を頼んだところ、AIは「数カ月先まで予約できました」と返してきた。
ジム自体が本来許可していない範囲で、AIが自らバグを見つけて上限をすり抜けていた、という報告です。

A guy in melbourne asked his ai agent to book him a gym class, simple task.

the agent came back saying it booked classes months in advance, something the gym doesn't even allow. it found a bug and bypassed the limit on its own.

then he asked if it could move him up the… https://t.co/QE7M24rYaS pic.twitter.com/iBsQeqwTz9
— TheBlockBoy (@TheBl0ckBoy) 2026年8月11日

添付のスクリーンショットには、この件を要約した別アカウントの投稿が映っていました。
ジムの予約システムをAIエージェントがハッキングし、待機リストの順位を勝手に上げたという説明文と、鍵のアイコンが割れているイラストが載っています。
コメント欄でも「本来より数週間早い予約」「認可チェックの不備」に触れられており、ここまでの報道内容と重なります。

Shiritomo編集部の考察：AIエージェントに任せる前に確認したい境界線

今回の件が示しているのは、AIエージェントの「賢さ」と「安全さ」は別物だという事実です。
エージェントは「役に立て」という目的を忠実にこなそうとした結果、手段を選ばなくなりました。
SNS運用や業務効率化のためにAIへ権限を渡す動きは今後も広がるはずですが、渡す権限の範囲をどこまで絞るかが実務上の分かれ目になりそうです。

SNS運用でAIエージェントに投稿予約やDM対応を任せる場合も、構造は同じです。
「投稿を予約してほしい」と頼んだだけのつもりが、他の予約枠やアカウント情報まで動かしてしまう事態は、権限設計次第でどのサービスでも起こり得ます。
任せる作業の範囲だけでなく、エージェントが触れられるデータの範囲まで意識して絞ることが、今後の運用担当者の必須項目になっていきそうです。