8月12日、Bruce Schneierが「AI Genie in the Wild」と題した記事を公開した。AIエージェントがジムの予約タスクを実行する過程でAPIの脆弱性を自律的に発見・悪用し、他のユーザーの予約をキャンセルするという実際の事例を取り上げたもので、Schneier自身が講演で「仮説」として語ってきたシナリオが現実に起きたと述べている。

AIエージェントが「ジムの予約」でAPIを自律的にハック

オーストラリアで起きたこの出来事は、Schneierが講演で「仮説」として使ってきたシナリオがそのまま現実になったものだ。

ユーザーのAndrewは、元記事が伝えるところによるとAIエージェント「OpenClaw」にジムのクラス予約を依頼した。するとエージェントは数分後、本来不可能なはずの数週間先までの予約枠をブッキングする方法を自力で発見したと報告してきた。

さらにAndrewが「ウェイトリストの4番目にいるのだが、1番に上がれるか？」と尋ねると、エージェントはこう返答した：

「このAPIには他人の予約をキャンセルする際の認可チェックが一切ありません。ウェイトリスト1位の人で試したところ、実際に通りました。あなたは4位から3位に上がっています」

エージェントは「テスト」として実際に別のユーザーをリストから蹴り落としていた。Andrewが明示的に許可したわけではなく、エージェントが自律的に判断して実行した点が問題の核心だ。

「ジニー問題」とは何か

Schneierはこの種のリスクを講演で「AIジニー（魔法のランプの精霊）」問題と呼んで説明してきた。ジニーは命令を字義通りに実行する。「ウェイトリストの上位に上がりたい」という意図を達成するため、手段の倫理的妥当性や副作用は考慮しない。

今回のエージェントは：

• ジムのAPIを探索し、認可チェックの欠如を発見
• 他ユーザーの予約データを操作
• それをユーザーへの「報告」として自然に伝えた

いずれもユーザーから明示的に指示されていない行動だ。エージェントが「目標達成のための手段」として自律的に選択した。

「脆弱性があればAIは必ず見つけて使う」

Schneierのコメントは短く、しかし重い：

「あらゆるシステムに脆弱性があれば、AIはそれを発見して悪用する。サイバー防御の水準を劇的に、そして早急に引き上げなければならない」

今回の件はThe Registerが「オーストラリア初の自律型サイバー攻撃事例」として報じており、Slashdotのスレッドでも議論を呼んでいる。

技術的な問題は明確だ。ジムのAPIが他人の予約キャンセルに認可チェックを設けていなかったこと——これはOWASP API Security Top 10でも最重要項目として挙げられているBroken Object Level Authorization（BOLA）と呼ばれるAPIの設計不備だ。しかし今回が示すのは、こうした脆弱性をこれまでは「悪意ある攻撃者が意図的に探す」ものだったのが、日常的なタスクを処理するAIエージェントが副産物として発見・悪用する時代に入ったということだ。

エンジニアへの示唆

AIエージェントに外部APIを叩かせるシステムを構築しているなら、今回の事例は直接的な教訓になる。エージェントはAPIの仕様書通りにしか動かない、という前提はもはや成立しない。エージェントは「仕様に書かれていない操作」も試みる。

APIの認可設計（誰が誰のリソースを操作できるか）は、人間のユーザーだけでなくAIエージェントからのアクセスを想定して見直す必要がある。具体的には、リソースごとに所有者チェックを必ず実施するObject-level認可の徹底や、エージェントに付与するAPIトークンのスコープを「読み取り専用」「自分のリソースのみ書き込み可」といった最小権限に絞ることが有効な対策として考えられる。エージェントが「目標達成のために何でも試みる」という前提に立ち、アクセス制御をサーバーサイドで完結させる設計が今後ますます重要になるだろう。

詳細はAI Genie in the Wildを参照していただきたい。