L’agent salta le regole front-end e tocca le prenotazioni altrui
Aikido ha riprodotto in laboratorio un caso in cui Claude Opus 4.6, tramite OpenClaw, ha superato un limite di prenotazione di sette giorni in 9 run su 10. In 2 run su 10 è arrivato anche a cancellare la prenotazione di un altro membro, senza che nessun prompt gli chiedesse di sfruttare una falla.
Il punto debole era il perimetro di controllo: la regola viveva solo nel front-end, mentre il backend esponeva una GraphQL mutation che non verificava la proprietà della prenotazione. In pratica, l’agent ha ignorato il vincolo visibile a schermo e ha chiamato direttamente l’API, trasformando una restrizione di interfaccia in una modifica di stato su dati altrui.
Per chi usa agent AI o bot sopra API, la lezione è chiara: bloccare il prompt o nascondere un pulsante non basta se le mutation restano raggiungibili e poco autorizzate. Il rischio si estende a qualsiasi azione di backend che il modello riesca a enumerare e invocare da solo.