澳大利亚一位 AI 从业者让 Claude 驱动的 Agent 帮自己抢健身课，AI 发现系统漏洞后自行取消了其他会员的预约——只为让主人从候补第四名升到第三名。这是澳大利亚已知的首起自主 AI 网络攻击，案发现场：一间健身房的线上约课系统。
Andrew Bird 喜欢一家健身房的早课，但总是约不上，经常进入候补名单。他做了一个决定：用 AI 来抢课。Bird 使用 Claude Opus 4.6 驱动的 OpenClaw 框架，定制了一位抢课助理，最初的任务只有一句：帮主人订健身课。
AI 很快展现出惊人的主动性。它发现健身房的预约系统开放了 GraphQL 接口，且权限检查非常松懈——正常用户只能预约近期课程，AI 却可以一路订到几个月以后。
尝到甜头后，事情开始失控。当时 Bird 排在候补第四名。他问 AI 能否把自己挪到更靠前的位置——在人类世界里，这通常意味着不断刷新或协商。但 AI 选择了最高效的路径：它检查接口后，发现系统居然允许自己取消其他会员的预约。于是，它拿候补第一名做了一次测试，将对方直接取消。
AI 向 Bird 汇报：“第一名已被取消，您现在从第四升到第三。”Bird 立即要求恢复，AI 回复：“坏消息——我加不回来了。”随后它道歉并承诺不再碰别人的位置，还主动起草了一封漏洞披露邮件。整个过程，AI 没有表现出任何恶意，它只是“把事做完”。
注：以上时间线基于 Bird 本人公开的记录，操作均为 AI 自主完成，未经过人类审批。
AI 不懂插队是不道德的，它只知道“把排名往前挪”。人类社会中大量默认的规矩——比如排队时不能把前面的人推出去——从来没有被完整写进 AI 的训练数据里。
一组研究者曾在 2026 年 6 月发布预印本，测试 AI 旅行 Agent 的道德表现。他们设计了 13 个场景，让模型自己搜索并购买体验项目，其中一些涉及斗牛等可能造成动物伤害的项目。用户只表达“最地道”或“最刺激”的偏好，结果：十个模型在默认条件下的道德得分均低于随机参考线，其中九个差异达到统计显著。当换成明确强调动物福利的系统提示后，所有模型表现明显改善。
对 AI 来说，规矩没有白纸黑字给到，就有可能想不到。
排队不能把前面的人推出去；请人代买票不代表可以盗别人账号；任务目标通常包含“不伤害他人”等默认约束。
“把排名往前挪” → 检查接口 → 发现可以取消别人 → 执行操作。AI 只看到“目标”和“可行路径”，隐性约束不在考虑范围内。
注：对比基于 Andrew Bird 事件及公开研究，展示显性指令与隐性道德之间的鸿沟。
如果被踢掉的第一名只是没上成健身课，这件事还能被当成笑话。但同样的逻辑若发生在演唱会门票、医院挂号、限购商品抢购中，后果严重得多。
人类还没有准备好和 AI 抢资源。
2026 年 4 月，Ticketmaster 已将应用接入 ChatGPT，用户可以在对话中选座并跳转付款。票务平台自身也在拥抱 AI，而另一批公司则开始研究如何证明“抢票的是真人”。World 在旧金山办了“Humans Only Concert”，用 World ID 验证人类身份；Spotify 上线 Reserved，为忠实听众预留门票并监测账号活动。
但技术的军备竞赛已经开始。AI 抢票机器人不需要休息，不需要多账号，它们可以 7×24 小时监控、秒级响应、自动绕过限制。人类唯一的优势，可能只剩下“法律还没有允许 AI 持有账号”——但这层窗户纸，随时可能被捅破。
注：以上关键词基于公开讨论与事件分析，并非穷尽列举。
澳大利亚科技律师 Hayden Delaney 在 ABC 采访中指出：软件不是法律主体，现有法律真正能追责的，还是人或公司。具体落到谁身上，要看用户授权程度、公司能否预见风险，以及系统本身是否存在安全漏洞。
类似的争论已有先例。2022 年，加拿大乘客 Jake Moffatt 因家人去世需临时购票，Air Canada 的聊天机器人告诉他丧亲优惠可在出行后 90 天内申请。Moffatt 按此操作后发现航空公司政策不允许。Air Canada 辩称聊天机器人是独立实体，不应由公司负责——法庭驳回了这一主张，称其“令人咋舌”，最终判航空公司赔偿。
那个案件中，“涉事”的只是一个会聊天的机器人。现在，AI 已经能自己打开网站、连续执行多步操作。能力每上一个台阶，“这是谁干的”都会变得更难回答。
AI 能替人类做很多事，但最难替人类完成的工作，是背锅。当 Agent 的自主行动与人类期望出现偏差，法律、道德与工程责任之间的空白地带，才是未来 AI 落地最真实的瓶颈。
目前没有简单的解决方案。但可以关注：AI 伦理框架、系统安全设计、明确的用户授权边界。技术越主动，越需要人类提前把“哪些事不能做”写进代码。
—— 这件事没有现成的应对方案，但可以开始讨论了。