Scout: Microsoftin aina päällä oleva tekoälykollega, jonka perusta on täynnä tietoturva-aukkoja

Scout integroituu suoraan Microsoft 365 -ekosysteemiin: se toimii Teamsissa, Outlookissa, OneDrivessä ja SharePointissa yhdistäen keskustelut, sähköpostit, kalenterit ja yhteystiedot . Se voi liittyä Teams-ryhmäkeskusteluihin ja käsitellä Outlookin sähköpostiketjuja itsenäisesti – tehden siitä ensimmäisen agentin, jonka Microsoft on sijoittanut suoraan näihin kanaviin täysivaltaisena osallistujana, ei vain sivupalkin työkaluna .

Microsoftin virallinen blogi kuvaili sen perusominaisuuksiksi kokouksiin valmistautumisen, aikatauluristiriitojen hallinnan, sähköpostien luonnostelun ja rutiinitehtävien koordinoinnin ilman käyttäjän antamia erillisiä komentoja . Scout oppii käyttäjän työskentelytavat ajan myötä, rakentaa pysyviä muistikuvia palautteen perusteella ja sisältää sisäänrakennetun käytäntöjen noudattamista valvovan järjestelmän, joka luo lokitietoja yrityksen vaatimustenmukaisuutta varten .

Jokainen Scout-agentti toimii omalla Microsoft Entra -identiteetillään, mikä tarkoittaa, että sitä hallitsevat olemassa olevat yrityksen käyttöoikeuskäytännöt. Arkaluontoiset toimet on suunniteltu vaatimaan ihmisen hyväksyntä, mikä luo hallintakerroksen, jonka Microsoft toivoo tyydyttävän varovaisia yritystietoturvatiimejä .

Saatavuus on lanseeraushetkellä rajoitettu: Scoutia tarjotaan yksinomaan Microsoftin Frontier-aikaisen käyttöönoton ohjelman kautta ja se vaatii GitHub Copilot -tilauksen . Toistaiseksi se on yksityinen esikatseluversio, jonka avulla Microsoft voi hioa tuotetta ennen laajempaa julkaisua.

OpenClaw-perusta: piiritetty viitekehys

Scoutin julkistuksesta tekee ainutlaatuisen huolestuttavan sen tekninen perusta. Scout on rakennettu OpenClaw'n päälle – avoimen lähdekoodin autonomisen agenttiviitekehyksen, jolla on ollut yksi myrskyisimmistä tietoturvavuosista lähiajan ohjelmistohistoriassa. Microsoftin Work IQ -kontekstimoottori tarjoaa lisäkerroksen, mutta OpenClaw huolehtii agentin ydintoimintojen ohjauksesta .

Kun Scout julkistettiin, OpenClaw'lle oli kertynyt jo yli 138 dokumentoitua CVE-haavoittuvuutta pelkästään vuonna 2026 . Viitekehys kärsi vuoden suurimmasta vahvistetusta tekoälyagenttien toimitusketjuhyökkäyksestä, jossa löydettiin 1 184 haitallista markkinapaikkapakettia, ja yli 135 000 ilmentymää 82 maassa oli julkisella internetillä esillä, monet ilman minkäänlaista todennusta .

Helmikuussa 2026, kuukausia ennen Scoutin julkistusta, Microsoftin oma tietoturvablogi julkaisi karun varoituksen OpenClaw'sta todeten suoraan, ettei se "sovellu käytettäväksi tavallisella henkilökohtaisella tai yrityskoneella" . Erillinen Kasperskyn tarkastus tunnisti myöhemmin 512 haavoittuvuutta viitekehyksessä, joista kahdeksan oli kriittisiä .

Näiden tietoturvaongelmien vakavuus loi haastavan taustan mille tahansa tuotejulkistukselle, saati sellaiselle, joka asemoi aina päällä olevan agentin luotetuksi yrityskolleegaksi.

Viisi nollapäivähaavoittuvuutta Build 2026 -tapahtumassa

Samoihin aikoihin Scoutin paljastamisen kanssa tutkijat julkistivat viisi erityistä nollapäivähaavoittuvuutta OpenClaw'ssa, jotka suoraan heikentävät sen luottamusrajoja ja sallittujen komentojen ("allowlist") mallia – täsmälleen sitä mekanismia, johon Scoutin on luotettava suorittaakseen komentoja turvallisesti käyttäjän puolesta.

Vakavin löydös oli neljän haavoittuvuuden ketju nimeltään "Claw Chain," jolle annettiin CVE-tunnisteet CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 ja CVE-2026-44118. Hyökkääjä voi ketjuttaa nämä aukot edetäkseen hiekkalaatikon sisäisestä koodin suorittamisesta täyteen isäntäkoneen tasoiseen pysyvään haittakoodin asennukseen laukaisematta tavanomaisia tietoturvahälytyksiä . Ketjun kriittisimmän haavoittuvuuden, CVE-2026-44112, CVSS-pisteytys on 9,6, ja se sallii hyökkääjän ohjata tiedostojärjestelmän kirjoituksia OpenClaw'n hiekkalaatikon ulkopuolelle, mahdollistaen konfiguraation peukaloinnin ja takaoven asennuksen kohdekoneelle .

Muut nollapäivähaavoittuvuudet paljastivat heikkouksia siinä, miten OpenClaw käsittelee luotettuja komentoja. CVE-2026-41390 paljasti, että viitekehyksen "allow-always"-pysyvyysmekanismi ei osaa purkaa tiettyjä järjestelmäkääreitä, kuten /usr/bin/script-komentoa, ennen luottamuspäätösten tallentamista. Tämä tarkoittaa, että hyökkääjä, joka huijaa käyttäjän hyväksymään yhden harmittomalta näyttävän kääretyn komennon, voi pysyvästi ohittaa tulevat tietoturvakehotteet ja suorittaa mielivaltaista koodia . CVE-2026-29607 paljasti samankaltaisen kääretason pysyvyysvirheen: yhden system.run-komennon hyväksyminen "allow-always"-valinnalla saattoi säilyttää sallittujen listan merkinnät kääretasolla, mikä mahdollisti täysin erilaisten, vaarallisten hyötykuormien myöhemmän suorituksen ilman hyväksyntää .

CVE-2026-3689 (rekisteröity nimellä ZDI-26-227) oli polun läpikäyntihaavoittuvuus OpenClaw Canvasissa, joka salli etähyökkääjän paljastaa arkaluontoisia tietoja vaarantuneista asennuksista . Näiden erityisten CVE-haavoittuvuuksien lisäksi tutkijat tunnistivat myös puutteita identiteetin määrityksessä, jotka mahdollistivat hyökkääjää esiintymään luotettuna käyttäjänä yksinkertaisesti vaihtamalla nimensä vastaamaan sallitulla listalla olevaa näyttönimeä viestialustalla .

Toistuva kaava: sallittujen listojen ohitukset

Selvä kaava yhdistää näitä haavoittuvuuksia. OpenClaw'n turvallisuusmalli nojaa vahvasti komentojen sallittua listaa, eli "allowlistaa" koskevaan mekanismiin, joka ylläpitää listaa hyväksytyistä komennoista ja kysyy käyttäjältä ennen tunnistamattoman komennon suorittamista. Ongelma, kuten tutkijat toistuvasti osoittivat, on se, että sallittujen listojen määritys epäonnistui jatkuvasti tulkitsemaan oikein käärittyjä, laajennettuja tai ketjutettuja komentoja.

Useat riippumattomat tutkimusryhmät havaitsivat, että OpenClaw tallensi luottamuspäätökset kääretasolla, ei vakaalla sisäisellä suoritettavalla komennolla . Hyökkääjät pystyivät upottamaan komentotulkin laajennustokeneita komentoihin, käyttämään ympäristömuuttujien injektiota SHELLOPTS- tai PS4-muuttujilla laukaistakseen komennon korvaamisen ennen sallitun komennon suorittamista, tai hyödyntämään jäsennyssyvyyden epäsuhtaa, joka kätki komentotulkkikääreen havaitsemisen, mutta vastasi silti sallittujen listan määrittelyyn .

Käytännön seuraus oli tuhoisa: käyttäjä voitiin huijata hyväksymään yksi harmittomalta näyttävä komento, ja tuo yksittäinen hyväksyntä antaisi hyökkääjälle pysyvän takaoven, joka kykenee suorittamaan mielivaltaista koodia isäntäkoneella, ohittaen kaikki myöhemmät tietoturvakehotteet.

Miksi tällä on merkitystä Scout-käyttöönotoille

Scout perii OpenClaw'n luottamus- ja sallittujen listojen arkkitehtuurin suoraan . Agentti toimii aina päällä olevalla pääsyllä Teamsissa, Outlookissa ja SharePointissa – lukee sähköposteja, hallitsee kalentereita, liittyy keskusteluihin ja suorittaa toimia taustalla. Tietoturvatutkijat ja yritystiimit ovat ilmaisseet huolensa siitä, että tämän tasoisen pysyvän järjestelmäpääsyn yhdistäminen viitekehykseen, jossa on osoitettu olevan järjestelmällisiä sallittujen listojen ohitusmahdollisuuksia, luo poikkeuksellisen suuren vaikutusalueen .

Microsoft on toteuttanut Scoutissa lisähallintakeinoja, jotka menevät pidemmälle kuin vakiomuotoinen OpenClaw. Jokaisella Scout-agentilla on oma hallittu Entra-identiteettinsä yrityksen käytäntöjen noudattamiselle, ja arkaluontoiset toimet on suunniteltu vaatimaan ihmisen nimenomainen hyväksyntä . Sisäänrakennettu käytäntöjenmukaisuusjärjestelmä valvoo jatkuvasti Scoutin toimia ja luo tarkastuslokit .

Mutta ydinkomentojen suoritusrajapinta – mekanismi, joka todella valvoo, mitä toimia hyväksytty agentti voi suorittaa – palautuu suoraan OpenClaw'n sallittujen listojen toteutukseen. Jos hyökkääjä voi murtaa tuon rajapinnan, hallinnan lisäkerroksista tulee toissijaisia suojauksia varsinaisen ennaltaehkäisyn sijaan.

Yritystietoturvatiimeille, jotka arvioivat Scoutin yksityistä esikatseluversiota, kysymys ei ole siitä, onko tuote käyttökelpoinen – varhaiset demonstraatiot viittaavat siihen, että se on huomattavan kykenevä. Kysymys kuuluu, onko taustalla olevan viitekehyksen riskiprofiilia kovennettu riittävästi, jotta aina päällä oleva agentti, jolla on laajat organisaatiokohtaiset käyttöoikeudet, voidaan vastuullisesti ottaa käyttöön.

Microsoft on aiemmin ollut avoin OpenClaw'n tietoturvarajoituksista. Yrityksen helmikuun 2026 ohjeistus myönsi, että ajonaikainen ympäristö sisältää rajoitetut sisäänrakennetut tietoturvakontrollit, voi vastaanottaa epäluotettavaa tekstiä ja ladata suoritettavaa koodia ulkoisista lähteistä, sekä suorittaa toimintoja sille annetuilla valtuustiedoilla – siirtäen tehokkaasti suoritusrajan staattisesta sovelluskoodista dynaamisesti tarjottuun sisältöön ilman vastaavia identiteetti- ja käyttöoikeuskontrolleja .

Toistaiseksi Scout pysyy yksityisessä esikatselussa, rajattuna Frontier-ohjelman ja GitHub Copilot -tilauksen taakse. Tämä antaa Microsoftille kontrolloidun aikaikkunan puuttua viitekehystason huolenaiheisiin, jotka Build 2026:n paljastukset toivat terävästi esille – ennen kuin agentti saavuttaa laajemman yritysyleisön, jolle se on selvästi suunniteltu.