Microsoft Scout: Janji AI 'Rekan Kerja' yang Dihantui Rentetan Kerentanan Zero-Day

Scout terintegrasi langsung ke dalam ekosistem Microsoft 365: ia beroperasi di seluruh Teams, Outlook, OneDrive, dan SharePoint, terhubung ke obrolan, email, kalender, dan kontak . Ia dapat bergabung dalam obrolan grup Teams dan menangani thread email Outlook secara otonom—menjadikannya agen pertama yang ditempatkan Microsoft langsung di dalam layanan-layanan tersebut sebagai partisipan penuh, bukan sekadar alat di bilah samping .

Blog resmi Microsoft menggambarkan kemampuan intinya termasuk menangani persiapan rapat, konflik penjadwalan, penyusunan email, dan koordinasi tugas rutin tanpa memerlukan perintah eksplisit dari pengguna . Scout mempelajari pola kerja individu dari waktu ke waktu, membangun memori persisten dari umpan balik pengguna, dan dilengkapi sistem kepatuhan kebijakan bawaan yang terus memantau tindakannya serta menghasilkan jejak audit untuk kepatuhan perusahaan .

Setiap agen Scout beroperasi dengan identitas Microsoft Entra-nya sendiri, artinya ia diatur oleh kebijakan akses perusahaan yang ada. Tindakan sensitif dirancang untuk memerlukan persetujuan manusia, menciptakan lapisan tata kelola yang diharapkan Microsoft dapat memuaskan tim keamanan perusahaan yang berhati-hati .

Ketersediaan saat peluncuran dibatasi: Scout ditawarkan secara eksklusif melalui program adopsi awal Frontier milik Microsoft dan memerlukan langganan GitHub Copilot . Untuk saat ini, masih dalam pratinjau privat, membatasi akses luas sementara Microsoft menyempurnakan pengalaman tersebut.

Fondasi OpenClaw: Kerangka Kerja yang Terkepung

Yang membuat peluncuran Scout begitu mencemaskan adalah fondasi teknisnya. Scout dibangun di atas OpenClaw, kerangka kerja agen otonom sumber terbuka yang telah mengalami salah satu tahun keamanan paling bergejolak dalam sejarah perangkat lunak terkini. Mesin konteks Work IQ milik Microsoft menyediakan lapisan tambahan, tetapi OpenClaw menangani orkestrasi agen inti .

Pada saat Scout diluncurkan, OpenClaw telah mengumpulkan lebih dari 138 CVE (Common Vulnerabilities and Exposures) yang terdokumentasi hanya pada tahun 2026 . Kerangka kerja ini mengalami serangan rantai pasok agen AI terbesar yang terkonfirmasi tahun ini, dengan 1.184 paket marketplace berbahaya ditemukan, dan lebih dari 135.000 instance di 82 negara ditemukan terekspos di internet publik, banyak di antaranya tanpa konfigurasi autentikasi .

Pada Februari 2026, beberapa bulan sebelum pengumuman Scout, blog keamanan Microsoft sendiri menerbitkan peringatan keras tentang OpenClaw, menyatakan secara blak-blakan bahwa kerangka kerja ini 'tidak tepat untuk dijalankan pada mesin pribadi atau perusahaan standar' . Audit terpisah oleh Kaspersky kemudian mengidentifikasi 512 kerentanan dalam kerangka kerja tersebut, delapan di antaranya diklasifikasikan sebagai kritis .

Parah dan seringnya pengungkapan kelemahan ini menciptakan latar belakang yang menantang untuk peluncuran produk apa pun, apalagi yang memosisikan agen selalu aktif sebagai rekan kerja perusahaan tepercaya.

Lima Kerentanan Zero-Day di Build 2026

Sekitar waktu peluncuran Scout, para peneliti mengungkap lima kerentanan zero-day spesifik di OpenClaw yang secara langsung meruntuhkan batas kepercayaan dan model allowlist-nya—mekanisme persis yang harus diandalkan Scout untuk mengeksekusi perintah dengan aman atas nama pengguna.

Temuan paling parah adalah rantai empat kerentanan yang dijuluki 'Claw Chain', yang diberi pengenal CVE-2026-44112, CVE-2026-44113, CVE-2026-44115, dan CVE-2026-44118. Kelemahan ini dapat dirangkai oleh penyerang untuk maju dari eksekusi kode sandbox ke persistensi tingkat host penuh tanpa memicu peringatan keamanan konvensional . Kerentanan kritis dalam rantai tersebut, CVE-2026-44112, memiliki skor CVSS 9,6 dan memungkinkan penyerang mengarahkan penulisan filesystem ke luar batas sandbox OpenClaw, memungkinkan perusakan konfigurasi dan pemasangan pintu belakang (backdoor) di host yang mendasarinya .

Zero-day tambahan mengekspos kelemahan dalam cara OpenClaw memproses perintah tepercaya. CVE-2026-41390 mengungkapkan bahwa mekanisme persistensi 'allow-always' pada kerangka kerja ini gagal membuka pembungkus (unwrap) sistem tertentu seperti /usr/bin/script sebelum menyimpan keputusan kepercayaan. Ini berarti penyerang yang meyakinkan pengguna untuk menyetujui satu perintah terbungkus yang tampak jinak dapat secara persisten melewati permintaan keamanan di masa depan dan mengeksekusi kode arbitrer . CVE-2026-29607 mengekspos kelemahan persistensi tingkat pembungkus serupa: menyetujui satu perintah system.run terbungkus dengan 'allow-always' dapat mempertahankan entri allowlist di tingkat pembungkus dan bukan tingkat perintah dalam, memungkinkan eksekusi muatan yang sama sekali berbeda dan berbahaya untuk melewati persetujuan di kemudian hari .

CVE-2026-3689 (terdaftar sebagai ZDI-26-227) adalah kerentanan path traversal di OpenClaw Canvas yang memungkinkan penyerang jarak jauh mengungkapkan informasi sensitif dari instalasi yang terpengaruh . Di luar CVE spesifik ini, para peneliti juga mengidentifikasi kelemahan resolusi identitas yang tidak tepat yang memungkinkan penyerang meniru identitas pengguna tepercaya hanya dengan mengganti nama mereka agar cocok dengan nama tampilan yang ada di allowlist di platform perpesanan, sehingga membajak akses agen AI di berbagai layanan .

Pola Berulang: Penghindaran Allowlist

Sebuah pola jelas menghubungkan kerentanan-kerentanan ini. Model keamanan OpenClaw sangat bergantung pada exec allowlist—mekanisme yang memelihara daftar perintah yang disetujui dan meminta pengguna sebelum mengeksekusi apa pun yang tidak dikenal. Masalahnya, seperti yang berulang kali ditunjukkan oleh para peneliti, adalah bahwa resolusi allowlist secara konsisten gagal menafsirkan dengan benar perintah yang dibungkus (wrapped), diperluas (expanded), atau dirantai (chained).

Beberapa tim peneliti independen menemukan bahwa OpenClaw menyimpan keputusan kepercayaan di tingkat pembungkus, bukan di tingkat executable dalam yang stabil . Penyerang dapat menyematkan token ekspansi shell di badan heredoc yang tidak dikutip, menggunakan injeksi lingkungan melalui variabel SHELLOPTS atau PS4 untuk memicu substitusi perintah sebelum perintah yang diizinkan berjalan, atau mengeksploitasi ketidakcocokan penguraian kedalaman (depth-parsing) yang menekan deteksi shell-wrapper sambil tetap mencocokkan resolusi allowlist .

Konsekuensi praktisnya sangat menghancurkan: pengguna dapat direkayasa secara sosial untuk menyetujui satu perintah yang tampak tidak berbahaya, dan persetujuan tunggal itu akan memberi penyerang pintu belakang persisten yang mampu mengeksekusi kode arbitrer di mesin host, menghindari setiap permintaan keamanan berikutnya.

Mengapa Ini Penting untuk Penerapan Scout

Scout secara langsung mewarisi arsitektur kepercayaan-dan-allowlist OpenClaw . Agen ini beroperasi dengan akses selalu aktif di dalam Teams, Outlook, dan SharePoint—membaca email, mengelola kalender, bergabung dalam percakapan, dan melakukan tindakan di latar belakang. Peneliti keamanan dan tim perusahaan telah menyuarakan kekhawatiran bahwa menggabungkan tingkat akses sistem persisten ini dengan kerangka kerja yang telah menunjukkan kerentanan allowlist-bypass sistematis menciptakan radius ledakan (blast radius) yang luar biasa lebar .

Microsoft telah menerapkan kontrol tambahan di Scout yang melampaui OpenClaw standar. Setiap agen Scout memiliki identitas Entra yang diatur dengan penegakan kebijakan perusahaan, dan tindakan sensitif dirancang untuk memerlukan persetujuan manusia yang eksplisit . Sistem kepatuhan kebijakan bawaan terus memantau tindakan Scout dan menghasilkan jejak audit .

Tetapi batas eksekusi-perintah inti—mekanisme yang benar-benar menegakkan tindakan mana yang dapat dilakukan oleh agen yang disetujui—berasal langsung dari implementasi allowlist OpenClaw. Jika penyerang dapat mengkompromikan batas ini, lapisan tata kelola tambahan menjadi pertahanan sekunder, bukan pencegahan yang sebenarnya.

Untuk tim keamanan perusahaan yang mengevaluasi pratinjau privat Scout, pertanyaannya bukanlah apakah produk ini berguna—demonstrasi awal menunjukkan bahwa ia sangat mumpuni. Pertanyaannya adalah apakah profil risiko kerangka kerja yang mendasarinya telah cukup diperkeras untuk secara bertanggung jawab menerapkan agen yang selalu aktif dengan akses organisasi yang luas.

Microsoft telah transparan tentang keterbatasan keamanan OpenClaw di masa lalu. Panduan Februari 2026 dari perusahaan mengakui bahwa runtime ini mencakup kontrol keamanan bawaan yang terbatas, dapat menelan teks tidak tepercaya dan mengunduh kode yang dapat dieksekusi dari sumber eksternal, serta melakukan tindakan menggunakan kredensial yang ditugaskan padanya—secara efektif menggeser batas eksekusi dari kode aplikasi statis ke konten yang disediakan secara dinamis tanpa kontrol identitas dan hak istimewa yang setara .

Untuk saat ini, Scout tetap dalam pratinjau privat, dibatasi di belakang program Frontier dan langganan GitHub Copilot. Ini memberi Microsoft waktu terkendali untuk mengatasi kekhawatiran tingkat kerangka kerja yang dipertajam oleh pengungkapan Build 2026—sebelum agen ini menjangkau audiens perusahaan yang lebih luas yang jelas menjadi tujuannya.