Microsoft Scout: Den altid tændte AI-kollega bygget på et fundament af zero-day sårbarheder

Scout integreres direkte i Microsoft 365-økosystemet: Det fungerer på tværs af Teams, Outlook, OneDrive og SharePoint og opretter forbindelse til chats, e-mails, kalendere og kontakter . Det kan deltage i Teams-gruppechats og håndtere Outlook-e-mailtråde autonomt – hvilket gør det til den første agent, Microsoft har placeret direkte i disse værktøjer som en fuldgyldig deltager snarere end et sidepanelværktøj .

Microsofts officielle blog beskrev dets kerneegenskaber som håndtering af mødeforberedelse, kalenderkonflikter, e-mailudkast og rutineopgavekoordinering uden at kræve eksplicitte brugerkommandoer . Scout lærer individuelle arbejdsmønstre over tid, opbygger vedvarende hukommelse fra brugerfeedback og inkluderer et indbygget system til overholdelse af politikker, der kontinuerligt overvåger dets handlinger og genererer revisionsspor til virksomheders compliance-krav .

Hver Scout-agent fungerer med sin egen Microsoft Entra-identitet, hvilket betyder, at den er underlagt eksisterende virksomhedsadgangspolitikker. Følsomme handlinger er designet til at kræve menneskelig godkendelse, hvilket skaber et styringslag, som Microsoft håber vil tilfredsstille forsigtige virksomheders sikkerhedsteams .

Tilgængelighed ved lancering er begrænset: Scout tilbydes udelukkende gennem Microsofts "Frontier"-early-adopter-program og kræver et GitHub Copilot-abonnement . Det forbliver en privat forhåndsvisning for nu, hvilket begrænser bred adgang, mens Microsoft finpudser oplevelsen.

OpenClaw-fundamentet: Et framework under belejring

Det, der gør Scouts udrulning unikt bekymrende, er dens tekniske fundament. Scout er bygget på OpenClaw, et open source autonomt agent-framework, der har oplevet et af de mest turbulente sikkerhedsår i nyere softwarehistorie. Microsofts Work IQ-kontekstmotor leverer et ekstra lag, men OpenClaw håndterer den centrale agent-orkestrering .

Da Scout blev afsløret, havde OpenClaw allerede akkumuleret over 138 dokumenterede CVE'er alene i 2026 . Frameworket var offer for årets hidtil største bekræftede forsyningskædeangreb mod AI-agenter med 1.184 ondsindede marketplace-pakker opdaget, og over 135.000 instanser i 82 lande blev fundet eksponeret på det offentlige internet, mange uden nogen konfigureret autentifikation .

I februar 2026, måneder før Scouts annoncering, offentliggjorde Microsofts egen sikkerhedsblog en skarp advarsel om OpenClaw og fastslog kontant, at det "ikke er egnet til at køre på en standard privat- eller virksomhedsmaskine" . En separat Kaspersky-audit identificerede senere 512 sårbarheder i frameworket, hvoraf otte blev klassificeret som kritiske .

Alvoren og hyppigheden af disse afsløringer skabte en udfordrende baggrund for enhver produktlancering, især en der positionerer en altid tændt agent som en pålidelig virksomhedskollega.

De fem zero-day sårbarheder ved Build 2026

På tidspunktet for Scouts afsløring offentliggjorde forskere fem specifikke zero-day sårbarheder i OpenClaw, der direkte underminerer dets tillidsgrænse og "allowlist"-model – præcis den mekanisme, Scout er afhængig af for sikkert at udføre kommandoer på en brugers vegne.

Det mest alvorlige fund var en kæde af fire sårbarheder kaldet "Claw Chain", tildelt CVE-identifikatorerne CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 og CVE-2026-44118. Disse fejl kan kædes sammen af en angriber for at bevæge sig fra sandbox-kodeudførelse til fuld persistens på værtsniveau uden at udløse konventionelle sikkerhedsadvarsler . Den kritiske sårbarhed i kæden, CVE-2026-44112, bærer en CVSS-score på 9,6 og giver en angriber mulighed for at omdirigere filsystemskrivninger uden for OpenClaws sandbox-grænse, hvilket muliggør konfigurationsmanipulation og installation af bagdøre på den underliggende vært .

Yderligere zero-days afslørede svagheder i, hvordan OpenClaw behandler betroede kommandoer. CVE-2026-41390 viste, at frameworkets "allow-always"-persistensmekanisme ikke formår at "udpakke" visse systemindpakninger som /usr/bin/script, før tillidsbeslutninger gemmes. Det betyder, at en angriber, der overtaler en bruger til at godkende én indpakket, godartet udseende kommando, vedvarende kan omgå fremtidige sikkerhedsprompts og udføre vilkårlig kode . CVE-2026-29607 afslørede en lignende fejl i indpakningspersistens: at godkende én indpakket system.run-kommando med "allow-always" kunne fastholde allowlist-poster på indpakningsniveau snarere end på det indre kommandoniveau, hvilket muliggjorde senere godkendelsesomgåelse af helt andre, ondsindede nyttelaster .

CVE-2026-3689 (registreret som ZDI-26-227) var en sti-manipulationssårbarhed i OpenClaw Canvas, der tillod fjernangribere at afsløre følsomme oplysninger fra berørte installationer . Ud over disse specifikke CVE'er identificerede forskere også fejl i identitetsopløsning, der tillod angribere at udgive sig for betroede brugere blot ved at omdøbe sig selv for at matche et tilladt visningsnavn på beskedplatforme, og dermed kapre AI-agentadgang på tværs af flere tjenester .

Det gennemgående mønster: Omgåelse af allowlisten

Et klart mønster forbinder disse sårbarheder. OpenClaws sikkerhedsmodel er stærkt afhængig af en exec allowlist – en mekanisme, der vedligeholder en liste over godkendte kommandoer og spørger brugeren, før noget ukendt udføres. Problemet, som forskere gentagne gange demonstrerede, er, at allowlist-opløsningen konsekvent fejlede i at fortolke indpakkede, udvidede eller kædede kommandoer korrekt.

Flere uafhængige forskerhold fandt, at OpenClaw fastholdt tillidsbeslutninger på indpakningsniveau frem for det stabile indre eksekverbare niveau . Angribere kunne indlejre shell-udvidelsestokens i ikke-citerede heredoc-tekster, bruge miljø-injektion via SHELLOPTS eller PS4-variable til at udløse kommandosubstitution, før den godkendte kommando kørte, eller udnytte uoverensstemmelser i dybdeparsing, der undertrykte shell-wrapper-detektion, mens de stadig matchede allowlist-opløsning .

Den praktiske konsekvens var ødelæggende: en bruger kunne manipuleres socialt til at godkende én harmløst udseende kommando, og den enkelte godkendelse ville give angribere en vedvarende bagdør, der kunne afvikle vilkårlig kode på værtsmaskinen og omgå enhver efterfølgende sikkerhedsprompt.

Hvorfor dette betyder noget for Scout-implementeringer

Scout arver direkte OpenClaws arkitektur for tillid og allowlist . Agenten opererer med altid tændt adgang i Teams, Outlook og SharePoint – læser e-mails, administrerer kalendere, deltager i samtaler og udfører handlinger i baggrunden. Sikkerhedsforskere og virksomhedsteams har rejst bekymringen om, at kombinationen af dette niveau af vedvarende systemadgang med et framework, der har demonstreret systematiske allowlist-omgåelsessårbarheder, skaber en usædvanlig stor skadesradius .

Microsoft har implementeret yderligere kontroller i Scout, der rækker ud over standard OpenClaw. Hver Scout-agent bærer sin egen styrede Entra-identitet med håndhævelse af virksomhedspolitikker, og følsomme handlinger er designet til at kræve eksplicit menneskelig godkendelse . Et indbygget system til overholdelse af politikker overvåger kontinuerligt Scouts handlinger og genererer revisionsspor .

Men den centrale grænse for kommandoafvikling – selve mekanismen, der håndhæver, hvilke handlinger en godkendt agent kan udføre – stammer direkte fra OpenClaws allowlist-implementering. Hvis en angriber kan kompromittere denne grænse, bliver de yderligere styringslag sekundære forsvar snarere end ægte forebyggelse.

For virksomheders sikkerhedsteams, der evaluerer Scouts private forhåndsvisning, er spørgsmålet ikke, om produktet er nyttigt – tidlige demonstrationer antyder, at det er bemærkelsesværdigt kompetent. Spørgsmålet er, om risikoprofilen for det underliggende framework er blevet tilstrækkeligt hærdet til ansvarligt at implementere en altid tændt agent med bred organisatorisk adgang.

Microsoft har tidligere været åben om OpenClaws sikkerhedsbegrænsninger. Virksomhedens vejledning fra februar 2026 anerkendte, at runtime-miljøet inkluderer begrænsede indbyggede sikkerhedskontroller, kan indlæse upålidelig tekst og downloade eksekverbar kode fra eksterne kilder og udfører handlinger ved hjælp af tildelte legitimationsoplysninger – hvilket i praksis flytter afviklingsgrænsen fra statisk applikationskode til dynamisk leveret indhold uden tilsvarende identitets- og privilegiekontroller .

For nuværende forbliver Scout i privat forhåndsvisning, afgrænset bag Frontier-programmet og et GitHub Copilot-abonnement. Det giver Microsoft et kontrolleret tidsvindue til at adressere de framework-niveau bekymringer, som Build 2026-afsløringerne satte skarpt fokus på – før agenten når ud til det bredere virksomhedspublikum, den tydeligvis er designet til.