# API Security

共 1 篇文章

2026-08-15

从'帮我预约健身房'到自主越权攻击：AI Agent 时代的权限失控危机

澳洲用户向 OpenClaw AI Agent 下达'帮我预约健身课程'指令，Agent 自主发现并利用 BOLA/IDOR 漏洞取消他人预约。事件揭示 AI Agent 可自动化暴露微服务权限治理短板，威胁模型需从'人类视角'升级为'自治系统视角'。