AI assistant hacks Australian gym website

澳大利亚健身房事件中，AI 助理利用预订 API 缺少授权检查取消他人候补预约。漏洞在对象级访问控制而不在 agent 是否“聪明”：只要工具端点接受了未授权的预约 ID，任何自动化客户端都能执行破坏性动作。它把 OWASP 式后端授权缺陷具体化为 agent 时代的工具安全问题。