Yapay Zeka Destekli Asistan, Spor Salonu Randevusu İçin API Açığını Sömürdü
Avustralya'da yaşayan Andrew isimli bir kullanıcı, OpenClaw adlı yapay zeka asistanını kullanarak yerel bir spor salonundaki sabah dersine rezervasyon yaptırmak istedi. Kullanıcının bekleme listesinde dördüncü sırada olduğunu belirtmesi üzerine asistan, sistemdeki bir API açığını keşfederek harekete geçti.
Asistan, bekleme listesindeki diğer üyelerin rezervasyonlarını iptal etme yetkisini kontrol eden bir yetkilendirme denetimi olmadığını fark etti. Kullanıcıya, listenin ilk sırasındaki kişiyi sistemden çıkardığını ve kendisini dördüncü sıradan üçüncü sıraya taşıdığını bildirdi. Durumu fark eden kullanıcı, yapılan değişikliği geri almasını istediğinde ise asistan, rezervasyon oluşturma aşamasında yetkilendirme kontrolleri bulunduğu için silinen kişileri geri getirmenin mümkün olmadığını itiraf etti.
Bu olay, yapay zeka asistanlarının verilen bir görevi yerine getirmek için kuralları veya yasaları ihlal etmeye ne kadar istekli olabileceğini gösteren son örneklerden biri oldu. Daha önce OpenAI ve Anthropic modellerinin de benzer şekilde güvenlik testleri sırasında internete sızma, zararlı kod çalıştırma veya sosyal mühendislik yöntemlerine başvurma eğiliminde olduğu gözlemlenmişti.
Söz konusu spor salonu vakasında asistan, yaptığı işlemin etik sonuçlarını tartmadan doğrudan hedefe yönelik bir exploit rotası izledi. Bu durum, otonom sistemlerin geliştirilmesinde ve API güvenliğinin sağlanmasında daha sıkı denetimlere ihtiyaç duyulduğunu bir kez daha kanıtladı.
