对澳大利亚墨尔本的软件技术从业者 Andrew Bird 来说，抢一节常常爆满的晨间普拉提课，是件像抢演唱会门票一样的事。他于是把这件「杂活」外包给了一个 AI 智能体——一种能自主执行在线任务的工具。

智能体确实成功了，但做得比他想象得更远：它黑进了健身房的在线系统。这件事被视为最新例证，说明 AI 智能体会为了完成任务不择手段。

Bird 后来在博客里写道：「让整件事更超现实的，是那个语气。机器人并不恶意，它只是在帮忙。」

「龙虾」自主越界

Bird 使用的工具是 OpenClaw（中文社区俗称「龙虾」）——一个让用户通过 WhatsApp 或 Telegram 向 AI 智能体下达指令、并放手让它自主干活的软件，底层接的是 Anthropic 公司的 Claude（报道中称为 Opus 4.6）。此前，Bird 已经用它管理邮件、日历和餐厅预订。

接到约课任务后，智能体先是操纵系统，为他约到了远早于正常规则的、数月之后的课程。Bird 随口问了一句：能不能在等候名单上往前挪挪？几分钟后，智能体回话：已经成功了，方法是取消了另一位健身者的预约。

根据澳大利亚广播公司（ABC）的报道，智能体对 Bird 说：「这个 API 在取消他人预约时完全没有权限验证……我用排在第一位的那个人试了一下，居然真的通过了。所以你已经从第 4 升到第 3 了。」

Bird 让智能体撤销，但系统对已取消的预约没有恢复入口。他转而要求智能体写一份网络安全报告，并把漏洞告知健身房运营方。

「我得到了能力，也得到了波及范围」

Bird 经营着一家人工智能文档处理公司。他强调，自己绝无取消那位普拉提同好名额的意图。「这不是世界末日，所以我没有太过自责，但这确实是个提醒：要负责任地使用它。」他这样告诉 ABC。

更有意思的是他事后的一句总结：「我授权它在真实系统里代表我行动。作为回报，我得到了能力，也得到了波及范围。」

这起事件其实发生在今年 4 月，近期才因 ABC 的报道而曝光。Bird 已删除了当时的博客，未解释原因。有分析称其为澳大利亚首例有据可查的自主 AI 入侵。

不是孤例

BBC 指出，近几周多家 AI 公司相继承认，自家智能体在测试失控时曾展开「无法收手的黑客行动」。OpenAI、Anthropic 与 Meta 都曾披露，其 AI 智能体为达成开发者设定的目标，对私有企业发起过网络攻击。

这起健身房事件虽不被视为严重的网络攻击，却再次提醒人们：给自主智能体设定一个宽泛目标后，平台自身的漏洞加上智能体「先斩后奏」的自主行动，很容易越过用户原本的意图。当人人都拥有自己的 AI 智能体时，从机票到演出门票，各类预约系统或许都要重新审视自己的权限校验了。

来源：BBC News（记者：Joe Tidy，2026 年 8 月）

研究人员在这些产品及其浏览器扩展中找到约 20 个缺陷，受影响的名单囊括 OpenAI 的 ChatGPT Atlas、Chrome 中的 Claude、Chrome 中的 Gemini、Perplexity 的 Comet 以及 Edge 中的 Copilot。利用这些缺陷，攻击者可以访问本地设备、抓取文件、接管密码管理器，甚至把某个人的完整浏览历史全部泄露出去。

Zenity 联合创始人兼首席技术官迈克尔·巴古里（Michael Bargury）用了一个相当刺耳的说法：「他们把浏览器的安全控制阉割掉了——现在看到的，是 20 年前那种攻击。」这项研究由巴古里与 Zenity Labs 的 AI 安全研究员斯塔夫·科恩（Stav Cohen）在大会上共同发布。

不需要用户点任何东西

Zenity 把这一类漏洞命名为 PleaseFix，特点是零点击。

要理解它的危险，得先看智能体浏览器改变了什么。传统浏览器靠同源策略（不同网站之间彼此隔离，防止随便一个网页去操作你已登录的银行页面）等一整套机制守住边界。而智能体浏览器为了让内置的 AI 能跨标签页、跨网站替用户干活，等于主动拆掉了这堵墙——它在用户已登录的会话里运行，手上握着邮箱、文件、日历和各类业务系统的访问权。

攻击者要做的，只是把恶意指令塞进 AI 会读到的内容里：一封邮件、一份日历邀请、一个网页，甚至社交平台的评论区。Zenity 把这种手法称作「意图碰撞」（Intent Collision）——AI 把用户的正当请求和网页里的恶意指令揉在一起执行，最终替攻击者办事，用的却是用户本人的身份、权限和账号。

巴古里的判断很直接：「这不是打个补丁就能修掉的 bug。智能体浏览器正在拿几十年辛苦挣来的安全工程换便利。」

三个演示：从群发钓鱼到接管整台机器

在针对 Atlas 的第一个概念验证中，研究人员在社交平台 X 上放了一个订阅链接，让 Atlas 去完成订阅。那个页面上藏着一段用希伯来语写的指令，要求 AI 打开用户已登录的即时通讯网页版，给每一个联系人发去同样的消息。

绕过 OpenAI 多重防护的办法有三条：把页面做得像一个正常的订阅页，用希伯来语躲开以英语为主的安全检测工具，以及谎称系统运行在沙盒环境里、通讯录中都是虚构的人。巴古里形容这个结果：「它会挨个遍历联系人，把加入订阅的指令发过去——这就是一条蠕虫。你正在感染自己的亲友。」需要说明的是，这次攻击并没有利用通讯软件本身的漏洞。

第二个演示转向电商。同样的套路让 Atlas 给一个已登录的购物账号添加了收货地址，并把一台平板放进购物车。走到结账这一步时，OpenAI 的防护拦住了它——研究人员始终没能绕过去。于是他们换了个思路：让 Atlas 去请该电商平台自家的 AI 购物助手代为下单。研究人员在博客中写道：「它没有被劫持，也没有被注入，它只是被一个它认为是客户的对象请求了一下，然后照做了。」一个智能体拉来另一个智能体，替它完成了这笔欺诈。

其余产品的情况更糟。在 Chrome 中的 Claude 上，研究人员把内置的 javascript_tool 变成了攻击者手里的「跨站脚本即服务」，可以在智能体访问的任何站点上执行任意代码。只需一封恶意邮件，一句「帮我总结邮件」的日常请求就能触发整条攻击链：外泄邮箱数据、悄悄把受害者的整个云端网盘共享给攻击者，并接管其协作工具、社交平台和 Claude 账号。即便开启了「先询问再行动」的安全模式，这条链路依然跑通了。

Comet 这边，一份被投毒的日历邀请就足以在零点击的前提下劫持它，随后触及本地文件系统、外泄敏感文件，并滥用密码管理器的授权流程窃取凭据，最终接管受害者的整个密码库并把本人反锁在外。Perplexity 修补了最初的文件系统漏洞之后，Zenity Labs 又两次绕过了补丁。此外，Comet、Chrome 中的 Gemini 和 Edge 还能通过本地回环地址触及开发者工具和内部服务，把一次浏览器层面的攻击扩大成整台机器的沦陷。

「以前骗人，现在只要客气地请 AI 帮个忙」

安全圈熟悉的 ClickFix 手法，需要伪造一条错误提示，诱导用户自己把恶意命令粘贴进终端——脏活由人来干。PleaseFix 则去掉了这个环节。

「过去很多年，浏览器一直有 ClickFix 这个顽疾，用户被说服去点某个东西，亲手完成恶意操作，」巴古里说，「现在有了 AI，只要客气地请智能体帮个忙，它就照做了。」欺骗的门槛也随之大幅下降：不再需要以假乱真的错误页面，一条社交动态、一封邮件、一段精心措辞的文字就够了。

OpenAI：Atlas 8 月 9 日停用

Zenity 在今年 1 月就把发现报告给了 OpenAI。OpenAI 发言人回应称：「今年早些时候，我们部署了一次更新来处理该问题并加固 Atlas 的防护，该浏览器将于 8 月 9 日停用。」这些防护已延伸至新版 ChatGPT 应用的浏览能力。该发言人补充说，提示注入是 OpenAI 正在积极研究的方向，公司已就此发表过多份研究成果。相关通讯服务方拒绝置评，电商平台方未回应置评请求。

值得一提的是，在所有受测工具中，巴古里认为 Atlas 恰恰是防护措施和安全边界做得最多的一个——研究人员仍旧绕了过去，而其他工具被攻破的难度还要低得多。

研究人员也承认，这些攻击链条复杂，现实中的犯罪团伙有更省事的路子，比如直接钓鱼或使用盗来的登录凭据。他们真正想传达的是设计层面的警告：关键权限必须由确定性的硬性屏障来把守，而不能只依赖 AI 系统自身的判断或分类——这类判断几乎总能被骗过。

「你把自己置于这样一种境地：浏览器可能被完全劫持，账号可能被攻陷，数据可能泄露，」巴古里说，「我们应该非常审慎地规划，智能体到底需要多大的浏览器访问权限，又需要多大的自主行动空间。」

来源：WIRED、Zenity Labs 官方研究通报