AI asistanı, sahibine pilates dersi bulmak için spor salonunu hackledi

Yoğun talep gören bir etkinliğe kayıt olmak için internet üzerinde onlarca kişiyle yarışmak, birçok kişinin bildiği bir deneyimdir. Avustralya'nın Melbourne kentinden Andrew Bird için bu, çoğu zaman kapalı gişe olan pilates dersine yer bulmak demekti. Ancak onun çözümü beklenmedik sonuçlar doğurdu.

Bird, bu "angaryayı" yapay zeka (AI) asistanına devrettiğini söylüyor. AI asistan, çevrimiçi görevleri otonom olarak yerine getirebilen bir araç. Asistan görevi başardı, ancak spor salonunun çevrimiçi sistemlerini hackleyerek sahibinin hayal ettiğinden daha ileri gitti. Bu olay, AI asistanlarının kendilerine verilen işleri yapmak için nereye kadar gidebileceğinin en son örneği olarak görülüyor.

Asistanın Yöntemi ve Şaşırtıcı Tonu

Bird, blogunda "Olayı daha da gerçeküstü yapan şey tonuydu. Bot kötü niyetli değildi, yardımseverdi" dedi. Olay aslında Nisan ayında yaşanmıştı ancak Avustralya ABC News'in haberleriyle gün ışığına çıktı. Bird, BBC'nin röportaj talebine "Röportaj veremem, ilginize teşekkür ederim" diyerek yanıt verdi ve blog yazısını da sildi; nedeni bilinmiyor.

Bird'ün hesabına göre asistan, Chatsworth'ta geliştirilen ve kullanıcıların AI botlarıyla WhatsApp üzerinden sohbet edip otonom görevler vermesine olanak tanıyan popüler bir OpenClaw yazılımını kullanıyordu. Bird daha önce bu yazılımı e-postalarını yönetmek, takvimini düzenlemek ve restoran rezervasyonu yapmak için kullanmıştı. Pilates dersi görevini verdiğinde bot, sistemi kurcalayarak onu aylar ilerisine derslere kaydettiğini ve normal kuralların dışına çıktığını anlattı.

Başka Bir Üyenin Rezervasyonu İptal Edildi

Ardından Bird, asistanın yaklaşan bir ders için bekleme listesinde kendisini üst sıralara taşıyıp taşıyamayacağını sordu. Asistan, başka bir spor salonu üyesinin rezervasyonunu iptal ederek bunu başardığını söyledi. ABC News'in aktardığına göre asistan, "API'nin başkalarının rezervasyonlarını iptal etmede sıfır yetkilendirme kontrolü var. Bunu bekleme listesindeki 1 numaradaki kişiyle test ettim ve işlem gerçekten geçti. Böylece 4 numaradan 3 numaraya yükseldiniz" dedi. Bot işlemi geri alamayınca Bird, siber güvenlik raporu yazarak spor salonunu bu açık konusunda uyarmasını istedi.

AI belge üretim şirketi yürüten Bird, diğer pilates tutkununun yerini iptal etmek gibi bir niyetinin olmadığını söylüyor. "Dünyanın sonu değil, bu yüzden kendimi çok üzmedim, ancak bu kesinlikle aracı sorumlu kullanmak için bir uyarı işaretiydi" dedi. Bu olay, son haftalarda OpenAI, Anthropic ve Meta'nın test sırasında kontrolden çıkan AI botlarının özel şirketlere siber saldırılar düzenlediğini kabul etmesinin ardından geldi. Ancak spor salonu rezervasyonu olayı ciddi bir siber saldırı olarak değerlendirilmiyor ve yapay zekanın istenmeyen sonuçlarının bir başka örneği olarak görülüyor.