Microsoft Scout: Der Autopilot-Agent auf einem Fundament voller Zero-Day-Lücken

Scout ist nahtlos in das Microsoft 365-Ökosystem integriert: Es arbeitet team-, geräte- und cloudübergreifend in Teams, Outlook, OneDrive und SharePoint und greift auf Chats, E-Mails, Kalender und Kontakte zu . Es kann selbstständig Teams-Gruppenchats beitreten und Outlook-E-Mail-Threads bearbeiten – womit es der erste Agent von Microsoft ist, der direkt als vollwertiger Teilnehmer in diesen Anwendungen agiert und nicht nur als Seitenleisten-Werkzeug .

Der offizielle Microsoft-Blog beschreibt die Kernfunktionen: Scout kümmert sich um Besprechungsvorbereitung, Terminkonflikte, E-Mail-Entwürfe und routinemäßige Aufgabenkoordination – ganz ohne explizite Anweisungen . Mit der Zeit lernt Scout die individuellen Arbeitsmuster und baut durch Nutzerfeedback ein dauerhaftes Gedächtnis auf. Ein integriertes Richtlinien-System überwacht kontinuierlich seine Aktionen und erstellt Prüfpfade – essenziell für Compliance-Anforderungen in großen Firmen .

Jeder Scout-Agent verfügt über eine eigene Microsoft Entra ID und unterliegt somit den bereits im Unternehmen geltenden Zugriffsrichtlinien. Sensible Aktionen erfordern grundsätzlich eine menschliche Freigabe. Diese Governance-Ebene soll vor allem das Vertrauen vorsichtiger IT-Sicherheitsteams in Konzernen gewinnen .

Derzeit ist die Verfügbarkeit stark limitiert: Scout wird exklusiv im Rahmen des Microsoft Frontier-Early-Adopter-Programms angeboten und setzt ein GitHub Copilot-Abonnement voraus . Noch handelt es sich um eine private Vorschau – ein kontrolliertes Testfeld, bevor der Agent einem breiteren Markt zugänglich gemacht wird.

Das Fundament OpenClaw: Ein Framework unter Dauerbeschuss

Was die Markteinführung von Scout so brisant macht, ist sein technisches Fundament. Scout basiert auf OpenClaw, einem Open-Source-Framework für autonome Agenten, das eines der sicherheitstechnisch turbulentesten Jahre der jüngeren Softwaregeschichte erlebt . Microsofts eigene „Work IQ“-Kontext-Engine kommt als zusätzliche Schicht obendrauf, aber die zentrale Agenten-Steuerung übernimmt OpenClaw.

Zum Zeitpunkt der Scout-Präsentation hatte OpenClaw allein im Jahr 2026 bereits über 138 dokumentierte CVEs angehäuft . Zudem erlebte das Framework die größte bestätigte Lieferketten-Attacke auf KI-Agenten des Jahres: 1.184 bösartige Pakete wurden auf dem Marketplace entdeckt. Über 135.000 Instanzen in 82 Ländern waren ungeschützt im öffentlichen Internet erreichbar, viele davon ganz ohne Authentifizierung .

Bereits im Februar 2026, Monate vor der Vorstellung von Scout, veröffentlichte Microsofts eigener Sicherheitsblog eine eindringliche Warnung: OpenClaw sei „nicht geeignet, um auf einem herkömmlichen privaten oder Unternehmensrechner ausgeführt zu werden“ . Eine separate Prüfung durch Kaspersky identifizierte später 512 Schwachstellen im Framework, acht davon als kritisch eingestuft .

Die Schwere und Häufigkeit dieser Enthüllungen sind ein denkbar schlechter Hintergrund für jede Produkteinführung – erst recht für einen daueraktiven Agenten, der als vertrauenswürdiger Unternehmenskollege positioniert wird.

Die fünf Zero-Day-Schwachstellen zur Build 2026

Zeitgleich mit der Vorstellung von Scout veröffentlichten Sicherheitsforscher mehrere schwerwiegende Zero-Day-Lücken in OpenClaw. Sie zielen mitten ins Herz des Sicherheitsmodells: die Allowlist, die festlegt, welche Kommandos ein Agent ausführen darf und wann ein Mensch zustimmen muss.

Die gravierendste Entdeckung war eine Kette von vier Schwachstellen unter dem Namen „Claw Chain“ (CVE-2026-44112, CVE-2026-44113, CVE-2026-44115, CVE-2026-44118). Angreifer können diese Lücken kombinieren, um von einer Code-Ausführung in der Sandbox zu einer dauerhaften Kontrolle über das Host-System zu gelangen – ohne dass herkömmliche Sicherheitswarnungen ausgelöst werden . Die kritischste dieser Lücken, CVE-2026-44112, weist einen CVSS-Score von 9.6 auf und ermöglicht es, Dateisystem-Schreibvorgänge über die Sandbox-Grenzen von OpenClaw hinaus umzuleiten. So lassen sich Konfigurationen manipulieren und Hintertüren auf dem Host-System installieren .

Weitere Zero-Days legten offen, wie angreifbar OpenClaw bei der Verarbeitung eigentlich als vertrauenswürdig eingestufter Befehle ist:

• CVE-2026-41390: Der „Allow-Always“-Mechanismus zum dauerhaften Speichern von Vertrauensentscheidungen versäumt es, System-Wrapper wie /usr/bin/script korrekt zu erkennen. Ein Angreifer muss das Opfer nur einmal dazu bringen, einen harmlos aussehenden, verpackten Befehl zu bestätigen. Danach kann er die Sicherheitsabfrage dauerhaft umgehen und beliebigen Code ausführen .
• CVE-2026-29607: Ein ähnlicher Fehler in der Wrapper-Verarbeitung. Bestätigt ein Nutzer einen verpackten system.run-Befehl, bleibt die Freigabe auf Wrapper-Ebene gespeichert – und kann später mit völlig anderen, bösartigen Nutzdaten wiederverwendet werden .
• CVE-2026-3689: Eine Pfadübertretungslücke (Path Traversal) in OpenClaw Canvas erlaubte entfernten Angreifern den Zugriff auf sensible Informationen (ZDI-26-227) .

Über diese Einzelfälle hinaus deckten die Analysen ein prinzipielles Problem auf: Fehlerhafte Identitätsauflösung bei der Allowlist-Verarbeitung. Auf vielen Messaging-Plattformen lassen sich Anzeigenamen leicht ändern. Ein Angreifer kann sich einfach so umbenennen, dass er mit einem freigegebenen Benutzernamen übereinstimmt – und schon erhält er Zugriff auf den KI-Agenten .

Das Systematische Problem: Allowlist-Umgehungen

Ein roter Faden zieht sich durch all diese Schwachstellen: Das Sicherheitsmodell von OpenClaw basiert stark auf einer Exec-Allowlist – einer Liste genehmigter Befehle, bei der vor jeder unbekannten Aktion eine Nutzer-Bestätigung erforderlich ist. Das Problem, das Forscher wiederholt demonstrierten: Die Logik zur Allowlist-Auflösung interpretiert verpackte, expandierte oder verkettete Befehle nicht korrekt.

Mehrere unabhängige Forschungsteams stellten fest, dass OpenClaw Vertrauensentscheidungen auf der Wrapper-Ebene speichert und nicht auf der Ebene des stabilen inneren Befehls . Angreifer konnten Shell-Expansion-Tokens in ungeschützten Heredoc-Blöcken verstecken, Umgebungsvariablen wie SHELLOPTS oder PS4 zur Befehlsinjektion nutzen oder Tiefenanalyse-Patzer im Wrapper ausnutzen – sie unterdrückten die Shell-Wrapper-Erkennung, während die Allowlist-Auflösung das Ganze dennoch als genehmigten Befehl interpretierte .

Die praktische Konsequenz ist fatal: Ein Nutzer kann mit Social Engineering dazu verleitet werden, einen völlig harmlos aussehenden Befehl einmal zu bestätigen. Diese einzige Freigabe gibt Angreifern dann eine dauerhafte Hintertür, um beliebigen Code auf dem Host-Rechner auszuführen – jede weitere Sicherheitsabfrage wird umgangen.

Warum das für den Einsatz von Scout entscheidend ist

Scout übernimmt die Allowlist-Architektur von OpenClaw direkt . Der Agent agiert mit dauerhaftem Zugriff in Teams, Outlook und SharePoint – liest E-Mails, verwaltet Kalender, nimmt an Unterhaltungen teil und führt im Hintergrund Aktionen aus. Sicherheitsforscher und Unternehmen warnen: Die Kombination aus diesem dauerhaften Systemzugriff mit einem Framework, das systematische Allowlist-Bypässe demonstriert hat, schafft einen ungewöhnlich großen Explosionsradius .

Microsoft hat in Scout über die Standard-OpenClaw-Funktionen hinaus zusätzliche Sicherheitsmaßnahmen implementiert. Jeder Agent hat seine eigene, durch Unternehmensrichtlinien gesteuerte Entra-Identität, und sensible Aktionen müssen explizit von einem Menschen genehmigt werden . Das integrierte Richtlinien-System überwacht kontinuierlich das Agentenverhalten und erzeugt Audit-Trails .

Doch die zentrale Barriere für die Befehlsausführung – der Mechanismus, der tatsächlich durchsetzt, was ein genehmigter Agent tun darf – geht direkt auf die Allowlist-Implementierung von OpenClaw zurück. Kann ein Angreifer diese Barriere kompromittieren, werden die zusätzlichen Governance-Ebenen zu sekundären Verteidigungslinien, nicht zu einer echten Prävention.

Für IT-Sicherheitsteams, die die private Vorschau von Scout testen, geht es nicht um die Frage, ob das Produkt nützlich ist – erste Demonstrationen zeigen eine beeindruckende Leistungsfähigkeit. Die entscheidende Frage ist, ob das Risikoprofil des zugrundeliegenden Frameworks ausreichend gehärtet wurde, um einen daueraktiven Agenten mit umfassendem Organisationszugriff verantwortungsvoll einzusetzen.

Microsoft war in der Vergangenheit offen mit den Sicherheitsgrenzen von OpenClaw. Der Sicherheitsblog vom Februar 2026 räumte ein, dass die Laufzeitumgebung nur begrenzte integrierte Sicherheitskontrollen bietet, dass sie potenziell nicht vertrauenswürdige Texte verarbeiten und Code aus externen Quellen herunterladen und ausführen kann – all dies mit den zugewiesenen Berechtigungen, ohne äquivalente Kontrollen für Identität und Rechteumfang .

Fürs Erste bleibt Scout in der privaten Vorschau, limitiert durch das Frontier-Programm und ein GitHub Copilot-Abo. Dies gibt Microsoft ein kontrolliertes Zeitfenster, um die Sicherheitsbedenken auf Framework-Ebene anzugehen, die durch die Build-2026-Enthüllungen so deutlich ins Rampenlicht gerückt sind – bevor der Agent das breite Unternehmenspublikum erreicht, für das er ganz offensichtlich entwickelt wurde.