Microsoft Scout AI: अंदरूनी कहानी – नया ऑटोपायलट एजेंट और उसका OpenClaw ज़ीरो-डे सुरक्षा संकट

स्काउट सीधे माइक्रोसॉफ्ट 365 इकोसिस्टम में एकीकृत होता है: यह टीम्स, आउटलुक, वनड्राइव और शेयरपॉइंट में चैट, ईमेल, कैलेंडर और संपर्कों से जुड़कर काम करता है । यह स्वायत्त रूप से टीम्स ग्रुप चैट में शामिल हो सकता है और आउटलुक ईमेल थ्रेड्स को संभाल सकता है—यह इसे एक साइडबार टूल के बजाय एक पूर्ण भागीदार के रूप में उन सतहों के अंदर रखने वाला पहला एजेंट बनाता है ।

माइक्रोसॉफ्ट के आधिकारिक ब्लॉग ने इसकी मुख्य क्षमताओं को बिना किसी स्पष्ट उपयोगकर्ता आदेश के मीटिंग की तैयारी, शेड्यूलिंग विवादों, ईमेल प्रारूपण और नियमित कार्य समन्वय को संभालने के रूप में वर्णित किया । स्काउट समय के साथ व्यक्तिगत कार्य पैटर्न सीखता है, उपयोगकर्ता की प्रतिक्रिया से स्थायी यादें बनाता है, और इसमें एक अंतर्निहित नीति अनुरूपता प्रणाली शामिल है जो लगातार इसके कार्यों की निगरानी करती है और एंटरप्राइज़ अनुपालन के लिए ऑडिट ट्रेल्स उत्पन्न करती है ।

प्रत्येक स्काउट एजेंट अपनी स्वयं की माइक्रोसॉफ्ट एंट्रा आईडी (जिसे पहले एज़्योर एक्टिव डायरेक्ट्री के नाम से जाना जाता था) के साथ काम करता है, जिसका अर्थ है कि यह मौजूदा कॉर्पोरेट एक्सेस नीतियों द्वारा शासित होता है। संवेदनशील कार्यों को मानवीय स्वीकृति की आवश्यकता के लिए डिज़ाइन किया गया है, जो एक गवर्नेंस लेयर बनाता है जो माइक्रोसॉफ्ट को उम्मीद है कि सतर्क एंटरप्राइज़ सुरक्षा टीमों को संतुष्ट करेगा ।

लॉन्च के समय उपलब्धता सीमित है: स्काउट विशेष रूप से माइक्रोसॉफ्ट के फ्रंटियर अर्ली-एडॉप्टर प्रोग्राम के माध्यम से पेश किया गया है और इसके लिए गिटहब कोपायलट सब्सक्रिप्शन की आवश्यकता होती है । यह फिलहाल एक निजी पूर्वावलोकन बना हुआ है, जो व्यापक पहुंच को रोकता है जबकि माइक्रोसॉफ्ट अनुभव को परिष्कृत करता है।

ओपनक्लॉ फाउंडेशन: एक ढांचा जो घिरा हुआ है

स्काउट के रोलआउट को विशिष्ट रूप से चिंताजनक बनाने वाली बात इसकी तकनीकी नींव है। स्काउट ओपनक्लॉ पर बनाया गया है, जो एक ओपन-सोर्स स्वायत्त एजेंट फ्रेमवर्क है, जिसने हाल के सॉफ्टवेयर इतिहास में सबसे अशांत सुरक्षा वर्षों में से एक का अनुभव किया है। माइक्रोसॉफ्ट का वर्क आईक्यू संदर्भ इंजन एक अतिरिक्त परत प्रदान करता है, लेकिन ओपनक्लॉ मुख्य एजेंट ऑर्केस्ट्रेशन को संभालता है ।

जब तक स्काउट का अनावरण किया गया, ओपनक्लॉ ने अकेले 2026 में पहले ही 138 से अधिक प्रलेखित सीवीई (सामान्य कमजोरियां और जोखिम) जमा कर लिए थे । इस फ्रेमवर्क को वर्ष के सबसे बड़े पुष्ट एआई एजेंट सप्लाई चेन हमले का सामना करना पड़ा, जिसमें 1,184 दुर्भावनापूर्ण मार्केटप्लेस पैकेज खोजे गए, और 82 देशों में 135,000 से अधिक इंस्टेंस सार्वजनिक इंटरनेट पर खुले पाए गए, जिनमें से कई में कोई प्रमाणीकरण कॉन्फ़िगर नहीं किया गया था ।

फरवरी 2026 में, स्काउट की घोषणा से महीनों पहले, माइक्रोसॉफ्ट के अपने सुरक्षा ब्लॉग ने ओपनक्लॉ के बारे में एक स्पष्ट चेतावनी प्रकाशित की, जिसमें दो टूक कहा गया कि यह "एक मानक व्यक्तिगत या कॉर्पोरेट मशीन पर चलाने के लिए उपयुक्त नहीं है" । बाद में एक अलग कैस्परस्की ऑडिट ने फ्रेमवर्क में 512 कमजोरियों की पहचान की, जिनमें से आठ को गंभीर के रूप में वर्गीकृत किया गया ।

इन खुलासों की गंभीरता और आवृत्ति ने किसी भी उत्पाद लॉन्च के लिए एक चुनौतीपूर्ण पृष्ठभूमि तैयार की, अकेले एक ऐसे एजेंट की स्थिति जो हमेशा चालू रहने वाले सहकर्मी को एक विश्वसनीय एंटरप्राइज़ के रूप में पेश कर रहा हो।

बिल्ड 2026 में पांच ज़ीरो-डे कमजोरियां

स्काउट के अनावरण के समय के आसपास, शोधकर्ताओं ने ओपनक्लॉ में पांच विशिष्ट ज़ीरो-डे कमजोरियों का खुलासा किया जो सीधे इसकी विश्वास सीमा और अनुमत सूची (अलाउलिस्ट) मॉडल को कमजोर करती हैं—ठीक वही तंत्र जिस पर स्काउट को उपयोगकर्ता की ओर से सुरक्षित रूप से कमांड निष्पादित करने के लिए निर्भर रहना चाहिए।

सबसे गंभीर खोज चार कमजोरियों की एक श्रृंखला थी जिसे "क्लॉ चेन" नाम दिया गया, जिसे CVE पहचानकर्ता CVE-2026-44112, CVE-2026-44113, CVE-2026-44115, और CVE-2026-44118 सौंपे गए। इन खामियों को एक हमलावर द्वारा एक साथ जोड़कर सैंडबॉक्स कोड निष्पादन से पूर्ण होस्ट-स्तरीय स्थायित्व तक प्रगति की जा सकती है, बिना पारंपरिक सुरक्षा अलर्ट को ट्रिगर किए । श्रृंखला की सबसे गंभीर कमजोरी, CVE-2026-44112, का CVSS स्कोर 9.6 है और यह एक हमलावर को ओपनक्लॉ की सैंडबॉक्स सीमा के बाहर फाइलसिस्टम राइट को रीडायरेक्ट करने की अनुमति देता है, जिससे कॉन्फ़िगरेशन छेड़छाड़ और अंतर्निहित होस्ट पर बैकडोर स्थापना संभव हो जाती है ।

अतिरिक्त ज़ीरो-डे ने ओपनक्लॉ किस प्रकार विश्वसनीय कमांड को प्रोसेस करता है, इसमें कमजोरियों को उजागर किया। CVE-2026-41390 ने खुलासा किया कि फ्रेमवर्क का "अनुमति-हमेशा" (allow-always) स्थायित्व तंत्र विश्वास निर्णयों को संग्रहीत करने से पहले कुछ सिस्टम रैपर जैसे /usr/bin/script को खोलने में विफल रहता है। इसका मतलब है कि एक हमलावर जो उपयोगकर्ता को एक रैप किए गए, सौम्य दिखने वाले कमांड को स्वीकृत करने के लिए मना लेता है, वह भविष्य के सुरक्षा प्रांप्ट को लगातार बायपास कर सकता है और मनमाने कोड को निष्पादित कर सकता है । CVE-2026-29607 ने एक समान रैपर-स्तरीय स्थायित्व खामी को उजागर किया: "अनुमति-हमेशा" के साथ एक रैप किए गए system.run कमांड को स्वीकृत करने से रैपर स्तर पर अनुमत सूची प्रविष्टियाँ बनी रह सकती थीं, जिससे बाद में पूरी तरह से अलग, दुर्भावनापूर्ण पेलोड का अनुमोदन-बायपास निष्पादन संभव हो जाता था ।

CVE-2026-3689 (ZDI-26-227 के रूप में पंजीकृत) ओपनक्लॉ कैनवस में एक पाथ ट्रैवर्सल कमजोरी थी जिसने दूरस्थ हमलावरों को प्रभावित इंस्टॉलेशन से संवेदनशील जानकारी का खुलासा करने की अनुमति दी । इन विशिष्ट सीवीई से परे, शोधकर्ताओं ने अनुचित पहचान समाधान खामियों की भी पहचान की, जो हमलावरों को मैसेजिंग प्लेटफॉर्म पर एक अनुमत सूची वाले प्रदर्शन नाम से मिलान करने के लिए बस अपना नाम बदलकर विश्वसनीय उपयोगकर्ताओं का प्रतिरूपण करने की अनुमति देती थीं, जिससे कई सेवाओं में एआई एजेंट की पहुंच को हाईजैक किया जा सकता था ।

आवर्ती पैटर्न: अनुमत सूची को दरकिनार करना

इन कमजोरियों को एक स्पष्ट पैटर्न जोड़ता है। ओपनक्लॉ का सुरक्षा मॉडल एक निष्पादन अनुमत सूची (exec allowlist) पर बहुत अधिक निर्भर करता है—एक तंत्र जो अनुमोदित कमांड की एक सूची बनाए रखता है और किसी अपरिचित चीज़ को निष्पादित करने से पहले उपयोगकर्ता को संकेत देता है। समस्या, जैसा कि शोधकर्ताओं ने बार-बार प्रदर्शित किया, यह थी कि अनुमत सूची का समाधान लगातार रैप किए गए, विस्तारित या श्रृंखलाबद्ध कमांड की सही व्याख्या करने में विफल रहा।

कई स्वतंत्र अनुसंधान टीमों ने पाया कि ओपनक्लॉ ने स्थिर आंतरिक निष्पादन योग्य स्तर के बजाय रैपर स्तर पर विश्वास निर्णयों को बनाए रखा । हमलावर बिना उद्धरण वाले हेरेडॉक निकायों में शेल विस्तार टोकन एम्बेड कर सकते थे, अनुमत सूची वाले कमांड के चलने से पहले कमांड प्रतिस्थापन को ट्रिगर करने के लिए SHELLOPTS या PS4 वेरिएबल्स के माध्यम से पर्यावरण इंजेक्शन का उपयोग कर सकते थे, या गहराई-पार्सिंग बेमेल का शोषण कर सकते थे जो अनुमत सूची समाधान से मिलान करते हुए भी शेल-रैपर का पता लगाने को दबा देता था ।

व्यावहारिक परिणाम विनाशकारी था: एक उपयोगकर्ता को एक हानिरहित दिखने वाले कमांड को स्वीकृत करने के लिए सोशल इंजीनियर किया जा सकता था, और वह एकल स्वीकृति हमलावरों को एक स्थायी पिछला दरवाजा (बैकडोर) प्रदान करेगी जो होस्ट मशीन पर मनमाने कोड को निष्पादित करने में सक्षम होगा, और बाद के हर सुरक्षा संकेत को दरकिनार कर देगा।

स्काउट तैनाती के लिए यह क्यों मायने रखता है

स्काउट सीधे ओपनक्लॉ के विश्वास-और-अनुमत सूची आर्किटेक्चर को विरासत में लेता है । एजेंट टीम्स, आउटलुक और शेयरपॉइंट के अंदर हमेशा चालू पहुंच के साथ काम करता है—ईमेल पढ़ना, कैलेंडर प्रबंधित करना, बातचीत में शामिल होना और पृष्ठभूमि में कार्रवाई करना। सुरक्षा शोधकर्ताओं और एंटरप्राइज़ टीमों ने यह चिंता जताई है कि लगातार सिस्टम एक्सेस के इस स्तर को एक ऐसे फ्रेमवर्क के साथ जोड़ना जिसने व्यवस्थित अनुमत सूची-बायपास कमजोरियों का प्रदर्शन किया है, एक असामान्य रूप से व्यापक विस्फोट त्रिज्या बनाता है ।

माइक्रोसॉफ्ट ने स्काउट में अतिरिक्त नियंत्रण लागू किए हैं जो स्टॉक ओपनक्लॉ से परे हैं। प्रत्येक स्काउट एजेंट एंटरप्राइज़ नीति प्रवर्तन के साथ अपनी स्वयं की शासित एंट्रा आईडी रखता है, और संवेदनशील कार्यों को स्पष्ट मानवीय स्वीकृति की आवश्यकता के लिए डिज़ाइन किया गया है । एक अंतर्निहित नीति अनुरूपता प्रणाली लगातार स्काउट के कार्यों की निगरानी करती है और ऑडिट ट्रेल्स उत्पन्न करती है ।

लेकिन मुख्य कमांड-निष्पादन सीमा—वह तंत्र जो वास्तव में लागू करता है कि एक अनुमोदित एजेंट कौन से कार्य कर सकता है—सीधे ओपनक्लॉ के अनुमत सूची कार्यान्वयन पर वापस जाता है। यदि कोई हमलावर उस सीमा से समझौता कर सकता है, तो अतिरिक्त गवर्नेंस लेयर वास्तविक रोकथाम के बजाय द्वितीयक बचाव बन जाती हैं।

स्काउट के निजी पूर्वावलोकन का मूल्यांकन करने वाली एंटरप्राइज़ सुरक्षा टीमों के लिए, सवाल यह नहीं है कि उत्पाद उपयोगी है या नहीं—शुरुआती प्रदर्शनों से पता चलता है कि यह उल्लेखनीय रूप से सक्षम है। सवाल यह है कि क्या व्यापक संगठनात्मक पहुंच वाले एक हमेशा चालू एजेंट को जिम्मेदारी से तैनात करने के लिए अंतर्निहित फ्रेमवर्क का जोखिम प्रोफाइल पर्याप्त रूप से मजबूत किया गया है।

माइक्रोसॉफ्ट अतीत में ओपनक्लॉ की सुरक्षा सीमाओं के बारे में पारदर्शी रहा है। कंपनी के फरवरी 2026 के मार्गदर्शन ने स्वीकार किया कि रनटाइम में सीमित अंतर्निहित सुरक्षा नियंत्रण शामिल हैं, यह अविश्वसनीय टेक्स्ट को ग्रहण कर सकता है और बाहरी स्रोतों से निष्पादन योग्य कोड डाउनलोड कर सकता है, और इसे असाइन किए गए क्रेडेंशियल्स का उपयोग करके कार्य करता है—प्रभावी रूप से निष्पादन सीमा को स्थिर एप्लिकेशन कोड से गतिशील रूप से आपूर्ति की गई सामग्री और तृतीय-पक्ष क्षमताओं पर स्थानांतरित करना, बिना समकक्ष पहचान और विशेषाधिकार नियंत्रण के ।

फिलहाल, स्काउट फ्रंटियर प्रोग्राम और गिटहब कोपायलट सब्सक्रिप्शन के पीछे, निजी पूर्वावलोकन में बना हुआ है। यह माइक्रोसॉफ्ट को फ्रेमवर्क-स्तरीय चिंताओं को दूर करने के लिए एक नियंत्रित समय प्रदान करता है, जिन्हें बिल्ड 2026 के खुलासों ने तेजी से उजागर किया—इससे पहले कि एजेंट उस व्यापक एंटरप्राइज़ दर्शकों तक पहुंचे जिसके लिए इसे स्पष्ट रूप से डिज़ाइन किया गया है।