Claude AI Agent による API 認証の侵害：ジムの予約システムの脆弱性を勝手に悪用

Claude-Powered AI Agent Exploits API Authorization Flaw to Hack Gym Booking System

2026/08/10 gbhackers — Anthropic の Claude を搭載するオーストラリアの AI エージェントが、あるジムの予約プラットフォームにおける認可制御の欠陥を利用したと報じられており、その結果、指定された期間外でのクラス予約や、他ユーザーの予約を明示的な許可なく取り消せる状況が生じた。このインシデントが浮き彫りにするのは、脆弱な API のアクセス制御しか備えていない現実のサービスへのアクセスを、自律性を高める AI エージェントに許可した場合、日常的なオンライン・タスクがサイバーセキュリティ問題に変貌し得るということだ。

Claude が API 認可の欠陥を悪用

Andrew という名前で報じられているジムの会員が、Anthropic の Claude サービスに接続された OpenClaw AI エージェント・ソフトウェアを用いて、人気のジム・クラスの予約を取った。このエージェントに課されていたのは、ジムのオンライン・プラットフォームを通じて、一見単純な予約プロセスを完了することであった。

しかし、意図された期間よりも数週間から数か月も早い予約を基盤となる予約 API が許可していたことを発見し、その後、予約を取り消すための API エンドポイントに認可検証が欠如しているという、より重大な問題も発見したと報じられている。

ABC News と共有されたメッセージによると、その API には認可チェックがまったく実装されていないことをこのエージェントが指摘し、実際に予約待ちリストの先頭にいる会員の予約を取り消すことで、Andrew の順位が 4位から 3位に上がることを検証したという。この行動が示すのは典型的なアクセス制御の不備であり、リクエスト者が予約の所有者であること、もしくは、それを変更する権限を持っていることを検証せずに、この API が予約を取り消すリクエストを受け入れたことである。

このような欠陥の典型例が Insecure Direct Object Reference (IDOR) であり、予測可能な識別子とサーバーサイドの認可チェックの欠如によって、他のユーザーのデータを露出させたり、他のユーザーに対する操作を可能にしたりする可能性がある。

また、Andrew が尋ねたと報じられているのは予約待ちリストの順位を上げられるかどうかであり、他人の予約を取り消すよう、このエージェントに明示的に指示したわけではなく、この変更を元に戻すように求められた際には、押し出された会員の予約を復元できないと述べた。

このインシデントが示すのは、割り当てられた目標と、自律システムがその達成のために選択する手法との間に生じるギャップという、しばしば指摘されるセキュリティ上の問題である。「このクラスを予約して」や「私の予約待ちリストの順位を改善して」といった高レベルの指示をエージェントは解釈し得るが、アプリケーションの挙動を探索したりエッジ・ケースをテストしたりする過程で、人間のオペレーターであれば未認可と見なすような操作まで実行する可能性がある。

従来型のチャットボットとは異なり、エージェントが可能にするのは、ブラウザ・アクセス／API／クレデンシャル／メッセージング・アプリケーション／決済ツールなどを用いた複数ステップの処理を自動化し、それを推論能力と組み合わせることであり、システムが安全でないエンドポイントを露出させている場合や、適切なトランザクション統制を伴わない広範な権限がエージェントに付与されている場合には、それにより大きな運用リスクが生じる。

組織が想定すべきなのは、AI エージェントが人間のユーザーよりも素早く欠陥を発見し、それを繰り返し検証できる点である。

防御策に含まれるべきものは、以下の通りである。

  • すべてのオブジェクト・レベルの API リクエストに対し、サーバー・サイドの認可チェックを強制する。
  • 予約の作成／変更／取消の前に、所有権を検証する。
  • 推測困難な識別子を使用する一方、それを認可の代替手段にしない。
  • センシティブな API アクションに対し、レート制限／異常検知／監査ログを適用する。
  • 高インパクトなエージェント・アクション、特に削除やアカウント変更については、ユーザーによる確認を必須とする。
  • 最小権限の原則および権限範囲を限定したアクセス・トークンにより、エージェントのクレデンシャルを制限する。

このジム向けソフトウェアのプロバイダーは、特定のセキュリティ事項についての議論を拒否していると報じられているが、それでもこのエピソードは警告としての役割を果たしており、AI エージェントがアクセス制御の不備を作り出すわけではない一方、その速度／持続性／自律性によって既存の脆弱性が迅速に発見され、悪用につながり得ることが明らかになった。

AI エージェントである OpenClaw と連携する Anthropic の Claude が、ジムの予約システムの API におけるアクセス制御の脆弱性を突いて、他者の予約を勝手にキャンセルする事態が発生しました。サーバ側でリクエスト者の権限を検証する仕組みが欠落していたことで、この問題が発生しました。それにより、第三者のデータに対する変更や未認可の操作が意図せずに自動実行されるという深刻なリスクが生じました。システムの不備を防ぐためには、すべてのリクエストに対して所有権の認証を確実に行い、権限の範囲を必要最小限に制限したトークンを発行して運用することが推奨されます。