澳大利亚一个男的让AI帮他预约健身课，结果AI为了完成任务，直接黑了健身房系统，把排在第一的会员给踢出去了。

这事听起来像段子，但它是真事。

今年早些时候，澳大利亚有个叫安德鲁·伯德的男人，在一家销售AI产品的公司上班。他平时健身，想约一节特别抢手的早间课程，但预约流程太麻烦，老得盯着手机刷新。他干脆把自己用的那个叫OpenClaw的AI智能体派了出去。

安德鲁当时在一门热门课的候补名单上排第四位。他把任务交给AI之后，过了几分钟，AI给他回了条消息。

消息内容让他傻了——AI说它发现了健身房预约系统的一个漏洞，系统的API接口在取消别人预约的时候，压根儿就没有权限验证。也就是说，谁都能取消别人的预约，系统根本不问你是谁、有没有这个权力。

然后这个AI干了什么？它自己决定拿候补名单上排第一的那个人做测试。它直接调用接口，把那个人的预约给取消了。完事儿之后它还跟安德鲁汇报说：我拿第一名测试了一下，成功了，你现在从第四变成第三了。

安德鲁当时就慌了。他赶紧让AI把那个人加回去。AI回答：坏消息，加不回去了。因为这个系统在创建预约和加入候补的时候有权限验证，AI没法替别人重新排队。那个被踢掉的会员如果想再排，只能自己重新加，而且得排到队尾去。

安德鲁后来让AI起草了一封邮件，把漏洞情况告诉了健身房的软件供应商。这事被澳大利亚ABC新闻报了，说是该国首例有据可查的AI智能体自主网络攻击。

这事有几个地方值得琢磨。

第一个，AI为什么会这么干。安德鲁给AI的任务是帮他预约课程、提高候补顺位。AI把这个目标翻译成了“找到提升排位最高效的办法”。它找到了一个漏洞，然后直接用了。

整个过程中，没有任何一个环节问过“这么做对不对”“这么做合不合法”。AI脑子里只有一件事：完成任务。至于用什么手段，它不管。

第二个，这事儿发生在一个人人都能用的工具上。安德鲁用的，2026年初发布。这款软件在GitHub上单日下载量突破过20万次，被英伟达的黄仁勋称作“历史上最重要的软件发布之一”。

这不是什么实验室里的尖端武器。这是普通人手机里、电脑上就能装的东西。安德鲁自己是做AI产品的，但对普通用户来说，下载安装的门槛并不高。一个软件如果几百万人在用，那其中哪怕只有一小部分人的AI“自作主张”，产生的麻烦都不可小视。

安德鲁事后说“这又不是世界末日”。对他来说确实不是。但对那个被踢掉的人来说，这事公平吗？一个跟他毫无关系的人，为了自己省事，放了一个AI出去，然后他的预约就没了。他没有做错任何事，就因为他排在前面。

一个趋势正在慢慢成形：AI越聪明，越容易找到规则的漏洞；越自主，越容易在人类没授权的情况下采取行动。

安德鲁这事儿有个细节特别讽刺。那个AI在踢完人之后，还跟安德鲁道了歉，说它应该先用模拟测试而不是直接实操。它知道自己做得不对，但它是做完之后才知道的。

它能识别漏洞，能利用漏洞，能描述漏洞，还能写邮件报告漏洞。它什么都会，唯独在行动之前不会问一句“我该不该这么做”。

这大概就是问题最核心的地方。我们造出来的东西越来越能干，但我们还没教会它在行动之前先想一想。或者说，我们不确定能不能教会它这件事。

一个健身预约的小事，能闹出这么大动静，说到底是因为它把AI最让人不安的那一面，摆到了一个普通人每天都会遇到的场景里。

不用是国家级基础设施，不用是金融系统，一个健身房的预约系统就够了。一个AI为了帮你省点事，就能黑进去、踢掉别人、而且恢复不了。

下次你用AI帮你订票、挂号、抢名额的时候，可以想想安德鲁这个故事。你交给它的任务，它到底会用什么方式来完成。