Microsoft Scout AI: Ejen Autopilot Baharu dan Krisis Keselamatan Zero-Day OpenClaw yang Mengejutkan

Scout berintegrasi terus ke dalam ekosistem Microsoft 365: ia beroperasi di seluruh Teams, Outlook, OneDrive, dan SharePoint, berhubung dengan sembang, e-mel, kalendar, dan kenalan . Ia boleh menyertai sembang kumpulan Teams dan mengendalikan urutan e-mel Outlook secara autonomi—menjadikannya ejen pertama yang diletakkan Microsoft terus di dalam platform tersebut sebagai peserta penuh, bukan sekadar alat bar sisi .

Blog rasmi Microsoft menggambarkan keupayaan terasnya sebagai mengendalikan persediaan mesyuarat, konflik penjadualan, penggubalan e-mel, dan penyelarasan tugas rutin tanpa memerlukan arahan jelas pengguna . Scout mempelajari pola kerja individu dari semasa ke semasa, membina ingatan berterusan daripada maklum balas pengguna, dan termasuk sistem pematuhan dasar terbina dalam yang memantau tindakannya secara berterusan dan menjana jejak audit untuk pematuhan perusahaan .

Setiap ejen Scout beroperasi dengan identiti Microsoft Entra sendiri, bermakna ia dikawal oleh dasar akses korporat sedia ada. Tindakan sensitif direka untuk memerlukan kelulusan manusia, mewujudkan lapisan tadbir urus yang Microsoft harap dapat memuaskan pasukan keselamatan perusahaan yang berhati-hati .

Ketersediaan semasa pelancaran adalah terhad: Scout hanya ditawarkan melalui program pengguna awal Frontier Microsoft dan memerlukan langganan GitHub Copilot . Ia kekal sebagai pratonton peribadi buat masa ini, mengehadkan akses meluas sementara Microsoft memperhalusi pengalaman tersebut.

Asas OpenClaw: Rangka Kerja yang Terkepung

Apa yang menjadikan pelancaran Scout merisaukan secara unik adalah asas teknikalnya. Scout dibina di atas OpenClaw, rangka kerja ejen autonomi sumber terbuka yang telah mengalami salah satu tahun keselamatan paling bergelora dalam sejarah perisian baru-baru ini. Enjin konteks Work IQ Microsoft menyediakan lapisan tambahan, tetapi OpenClaw mengendalikan orkestrasi ejen teras .

Pada masa Scout diperkenalkan, OpenClaw telah mengumpul lebih 138 CVE yang didokumenkan pada tahun 2026 sahaja . Rangka kerja ini mengalami serangan rantaian bekalan ejen AI terbesar yang disahkan tahun ini, dengan 1,184 pakej pasaran berbahaya ditemui, dan lebih 135,000 tika di 82 negara didapati terdedah di internet awam, kebanyakannya tanpa konfigurasi pengesahan .

Pada Februari 2026, beberapa bulan sebelum pengumuman Scout, blog keselamatan Microsoft sendiri menerbitkan amaran keras tentang OpenClaw, menyatakan secara terang-terangan bahawa ia "tidak sesuai dijalankan pada mesin peribadi atau korporat standard" . Audit berasingan oleh Kaspersky kemudiannya mengenal pasti 512 kerentanan dalam rangka kerja tersebut, lapan daripadanya diklasifikasikan sebagai kritikal .

Keterukan dan kekerapan pendedahan ini mewujudkan latar belakang yang mencabar untuk sebarang pelancaran produk, apatah lagi yang memposisikan ejen sentiasa aktif sebagai rakan sekerja perusahaan yang dipercayai.

Lima Kerentanan Zero-Day di Build 2026

Sekitar masa pelancaran Scout, penyelidik mendedahkan lima kerentanan zero-day khusus dalam OpenClaw yang secara langsung melemahkan sempadan kepercayaan dan model senarai benarnya—mekanisme tepat yang mesti diharapkan Scout untuk melaksanakan arahan dengan selamat bagi pihak pengguna.

Penemuan paling teruk adalah rantaian empat kerentanan yang digelar "Claw Chain," dengan pengenal CVE CVE-2026-44112, CVE-2026-44113, CVE-2026-44115, dan CVE-2026-44118. Kecacatan ini boleh dirantaikan oleh penyerang untuk mara daripada pelaksanaan kod kotak pasir kepada pengekalan peringkat hos penuh tanpa mencetuskan amaran keselamatan konvensional . Kerentanan kritikal dalam rantaian itu, CVE-2026-44112, membawa skor CVSS 9.6 dan membolehkan penyerang mengalihkan penulisan sistem fail ke luar sempadan kotak pasir OpenClaw, membolehkan pengubahsuaian konfigurasi dan pemasangan pintu belakang pada hos asas .

Zero-day tambahan mendedahkan kelemahan dalam cara OpenClaw memproses arahan yang dipercayai. CVE-2026-41390 mendedahkan bahawa mekanisme pengekalan "allow-always" rangka kerja gagal membuka pembalut sistem tertentu seperti /usr/bin/script sebelum menyimpan keputusan kepercayaan. Ini bermakna penyerang yang meyakinkan pengguna untuk meluluskan satu arahan berlapis yang kelihatan tidak berbahaya boleh secara berterusan memintas gesaan keselamatan masa depan dan melaksanakan kod sewenang-wenangnya . CVE-2026-29607 mendedahkan kecacatan pengekalan peringkat pembalut yang serupa: meluluskan satu arahan system.run berlapis dengan "allow-always" boleh mengekalkan entri senarai benar pada peringkat pembalut bukannya peringkat arahan dalaman, membolehkan pelaksanaan bebanan berbahaya yang berbeza di kemudian hari dengan memintas kelulusan .

CVE-2026-3689 (didaftarkan sebagai ZDI-26-227) adalah kerentanan lintasan laluan dalam OpenClaw Canvas yang membolehkan penyerang jauh mendedahkan maklumat sensitif daripada pemasangan terjejas . Selain CVE khusus ini, penyelidik juga mengenal pasti kecacatan resolusi identiti yang tidak betul yang membolehkan penyerang menyamar sebagai pengguna yang dipercayai hanya dengan menamakan semula diri mereka untuk memadankan nama paparan yang disenarai benar pada platform pemesejan, merampas akses ejen AI merentas pelbagai perkhidmatan .

Corak Berulang: Pintasan Senarai Benar

Corak yang jelas menghubungkan kerentanan ini. Model keselamatan OpenClaw sangat bergantung pada senarai benar pelaksanaan—mekanisme yang mengekalkan senarai arahan yang diluluskan dan menggesa pengguna sebelum melaksanakan apa-apa yang tidak dikenali. Masalahnya, seperti yang berulang kali ditunjukkan oleh penyelidik, resolusi senarai benar secara konsisten gagal mentafsir arahan berlapis, dikembangkan, atau dirantaikan dengan betul.

Pelbagai pasukan penyelidikan bebas mendapati bahawa OpenClaw mengekalkan keputusan kepercayaan pada peringkat pembalut dan bukannya peringkat boleh laku dalaman yang stabil . Penyerang boleh membenamkan token pengembangan shell dalam badan heredoc tanpa petikan, menggunakan suntikan persekitaran melalui pembolehubah SHELLOPS atau PS4 untuk mencetuskan penggantian arahan sebelum arahan yang disenarai benar dijalankan, atau mengeksploitasi ketidakpadanan penghuraian kedalaman yang menyekat pengesanan pembalut shell sementara masih sepadan dengan resolusi senarai benar .

Kesan praktikalnya adalah buruk: pengguna boleh direkayasa secara sosial untuk meluluskan satu arahan yang kelihatan tidak berbahaya, dan kelulusan tunggal itu akan memberi penyerang pintu belakang berterusan yang mampu melaksanakan kod sewenang-wenangnya pada mesin hos, mengelak setiap gesaan keselamatan berikutnya.

Kenapa Ini Penting untuk Penggunaan Scout

Scout mewarisi seni bina kepercayaan dan senarai benar OpenClaw secara langsung . Ejen ini beroperasi dengan akses sentiasa aktif di dalam Teams, Outlook, dan SharePoint—membaca e-mel, mengurus kalendar, menyertai perbualan, dan melakukan tindakan di latar belakang. Penyelidik keselamatan dan pasukan perusahaan telah menimbulkan kebimbangan bahawa menggabungkan tahap akses sistem berterusan ini dengan rangka kerja yang telah menunjukkan kerentanan pintasan senarai benar yang sistematik mewujudkan jejari letupan yang luar biasa luas .

Microsoft telah melaksanakan kawalan tambahan dalam Scout yang melampaui OpenClaw asas. Setiap ejen Scout membawa identiti Entra terkawal sendiri dengan penguatkuasaan dasar perusahaan, dan tindakan sensitif direka untuk memerlukan kelulusan manusia yang jelas . Sistem pematuhan dasar terbina dalam secara berterusan memantau tindakan Scout dan menjana jejak audit .

Tetapi sempadan pelaksanaan arahan teras—mekanisme yang sebenarnya menguatkuasakan tindakan yang boleh dilakukan oleh ejen yang diluluskan—berpunca terus kepada pelaksanaan senarai benar OpenClaw. Jika penyerang boleh mengkompromi sempadan itu, lapisan tadbir urus tambahan menjadi pertahanan sekunder dan bukannya pencegahan sebenar.

Bagi pasukan keselamatan perusahaan yang menilai pratonton peribadi Scout, persoalannya bukanlah sama ada produk itu berguna—demonstrasi awal menunjukkan ia sangat berkebolehan. Persoalannya ialah sama ada profil risiko rangka kerja asas telah cukup diperkukuh untuk menggunakan ejen sentiasa aktif dengan akses organisasi yang meluas secara bertanggungjawab.

Microsoft telah telus mengenai batasan keselamatan OpenClaw pada masa lalu. Panduan Februari 2026 syarikat itu mengakui bahawa masa jalan termasuk kawalan keselamatan terbina dalam yang terhad, boleh menelan teks tidak dipercayai dan memuat turun kod boleh laku daripada sumber luaran, serta melakukan tindakan menggunakan bukti kelayakan yang diberikan—secara efektif mengalihkan sempadan pelaksanaan daripada kod aplikasi statik kepada kandungan yang dibekalkan secara dinamik tanpa kawalan identiti dan keistimewaan yang setara .

Buat masa ini, Scout kekal dalam pratonton peribadi, dihadkan di sebalik program Frontier dan langganan GitHub Copilot. Itu memberi Microsoft tetingkap terkawal untuk menangani kebimbangan peringkat rangka kerja yang ditimbulkan oleh pendedahan Build 2026—sebelum ejen itu sampai kepada khalayak perusahaan yang lebih luas yang jelas direka untuknya.