Microsoft Scout: Nowy agent AI "Autopilot" i kryzys zero-day w jego fundamentach

Scout integruje się bezpośrednio z ekosystemem Microsoft 365: działa w aplikacjach Teams, Outlook, OneDrive i SharePoint, łącząc się z czatami, e-mailami, kalendarzami i kontaktami . Może autonomicznie dołączać do czatów grupowych w Teams i obsługiwać wątki e-mail w Outlooku – co czyni go pierwszym agentem, którego Microsoft umieścił bezpośrednio w tych aplikacjach jako pełnoprawnego uczestnika, a nie tylko narzędzie w panelu bocznym .

Oficjalny blog Microsoftu opisał jego główne możliwości jako planowanie spotkań, rozwiązywanie konfliktów w harmonogramie, redagowanie e-maili i koordynowanie rutynowych zadań bez potrzeby wydawania wyraźnych poleceń . Scout z czasem uczy się indywidualnych wzorców pracy, buduje trwałe wspomnienia na podstawie opinii użytkownika i zawiera wbudowany system zgodności z zasadami, który stale monitoruje jego działania i generuje ścieżki audytu na potrzeby zgodności w przedsiębiorstwie .

Każdy agent Scout działa z własną tożsamością Microsoft Entra ID, co oznacza, że podlega istniejącym firmowym zasadom dostępu. Wrażliwe działania są tak zaprojektowane, aby wymagały zatwierdzenia przez człowieka, tworząc warstwę nadzoru, która – jak ma nadzieję Microsoft – zadowoli ostrożne zespoły ds. bezpieczeństwa w firmach .

Dostępność w momencie premiery jest ograniczona: Scout jest oferowany wyłącznie za pośrednictwem programu wczesnego dostępu Microsoft Frontier i wymaga subskrypcji GitHub Copilot . Na razie pozostaje w prywatnym podglądzie, co ogranicza szeroki dostęp, podczas gdy Microsoft dopracowuje swoje rozwiązanie.

Fundament OpenClaw: Framework pod ostrzałem

To, co czyni premierę Scouta wyjątkowo niepokojącą, to jej techniczne podstawy. Scout jest zbudowany na OpenClaw – otwartoźródłowym frameworku dla autonomicznych agentów, który doświadczył jednego z najbardziej burzliwych lat pod względem bezpieczeństwa w najnowszej historii oprogramowania. Dodatkową warstwę stanowi silnik kontekstowy Microsoft Work IQ, ale to OpenClaw odpowiada za podstawową orkiestrację agenta .

Do czasu prezentacji Scouta, OpenClaw zgromadził już ponad 138 udokumentowanych podatności CVE tylko w 2026 roku . Framework padł ofiarą największego potwierdzonego ataku na łańcuch dostaw agentów AI w tym roku – odkryto 1184 złośliwe pakiety w jego repozytorium. Ponadto ponad 135 000 instancji w 82 krajach było dostępnych w publicznym Internecie, często bez skonfigurowanego uwierzytelniania .

W lutym 2026 roku, na kilka miesięcy przed ogłoszeniem Scouta, na blogu Microsoftu ds. bezpieczeństwa opublikowano dosadne ostrzeżenie dotyczące OpenClaw, stwierdzając wprost, że „nie nadaje się on do uruchamiania na standardowym komputerze osobistym lub firmowym” . Oddzielny audyt firmy Kaspersky wykazał później 512 luk w frameworku, z czego osiem sklasyfikowano jako krytyczne .

Powaga i częstotliwość tych doniesień stworzyły trudne tło dla premiery jakiegokolwiek produktu, a co dopiero dla pozycjonowania zawsze aktywnego agenta jako zaufanego, firmowego współpracownika.

Pięć luk zero-day na Build 2026

W czasie prezentacji Scouta badacze ujawnili pięć konkretnych luk zero-day w OpenClaw, które bezpośrednio podważają jego model zaufania i mechanizm białej listy (allowlist) – dokładnie ten mechanizm, na którym Scout musi polegać, aby bezpiecznie wykonywać polecenia w imieniu użytkownika.

Najpoważniejszym odkryciem był łańcuch czterech luk nazwany „Claw Chain”, którym przypisano identyfikatory CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 i CVE-2026-44118. Luki te można połączyć, aby atakujący mógł przejść od wykonania kodu w piaskownicy (sandbox) do pełnej trwałości na poziomie hosta, bez wywoływania konwencjonalnych alarmów bezpieczeństwa . Krytyczna luka w łańcuchu, CVE-2026-44112, ma wynik CVSS 9.6 i umożliwia atakującemu przekierowanie zapisów w systemie plików poza granice piaskownicy OpenClaw, co pozwala na manipulację konfiguracją i instalację backdoora na hoście .

Kolejne luki zero-day ujawniły słabości w sposobie, w jaki OpenClaw przetwarza zaufane polecenia. CVE-2026-41390 wykazała, że mechanizm trwałego zezwalania „allow-always” frameworku nie "odpakowuje" niektórych wrapperów systemowych, takich jak /usr/bin/script, przed zapisaniem decyzji o zaufaniu. Oznacza to, że atakujący, który namówi użytkownika do zatwierdzenia jednego opakowanego, pozornie nieszkodliwego polecenia, może trwale ominąć przyszłe monity bezpieczeństwa i wykonywać dowolny kod . CVE-2026-29607 ujawniła podobną lukę w trwałości na poziomie wrappera: zatwierdzenie jednego opakowanego polecenia system.run za pomocą „allow-always” mogło utrwalić wpisy białej listy na poziomie wrappera, a nie na poziomie wewnętrznego polecenia, umożliwiając późniejsze wykonanie zupełnie innych, złośliwych kodów z pominięciem zatwierdzania .

CVE-2026-3689 (zarejestrowana jako ZDI-26-227) to luka typu path traversal w komponencie OpenClaw Canvas, która umożliwiała zdalnym atakującym ujawnienie poufnych informacji z podatnych instalacji . Poza tymi konkretnymi CVE, badacze zidentyfikowali również błędy w rozpoznawaniu tożsamości, które pozwalały atakującym na podszywanie się pod zaufanych użytkowników po prostu przez zmianę nazwy, aby pasowała do nazwy wyświetlanej na białej liście na platformach komunikacyjnych, przejmując w ten sposób dostęp agenta AI do wielu usług .

Powtarzający się wzór: Omijanie białej listy

Te podatności łączy wyraźny wzór. Model bezpieczeństwa OpenClaw w dużej mierze opiera się na exec allowlist — mechanizmie, który utrzymuje listę zatwierdzonych poleceń i pyta użytkownika przed wykonaniem czegokolwiek nierozpoznanego. Problem, jak wielokrotnie wykazali badacze, polega na tym, że rezolucja białej listy konsekwentnie nie potrafiła właściwie zinterpretować opakowanych, rozwiniętych lub łańcuchowych poleceń.

Wiele niezależnych zespołów badawczych odkryło, że OpenClaw utrwala decyzje o zaufaniu na poziomie wrappera, a nie na poziomie stabilnego wewnętrznego pliku wykonywalnego . Atakujący mogli osadzać tokeny rozwinięcia powłoki (shell expansion tokens) w niecytowanych ciałach heredoc, używać iniekcji środowiskowych za pomocą zmiennych SHELLOPTS lub PS4, aby wywołać podstawienie poleceń przed uruchomieniem polecenia z białej listy, albo wykorzystywać niedopasowania w analizie głębokości wrappera, które pomijały jego wykrywanie, jednocześnie dopasowując rezolucję białej listy .

Praktyczna konsekwencja była druzgocąca: użytkownik mógł zostać zmanipulowany (np. przez socjotechnikę) do zatwierdzenia jednego nieszkodliwie wyglądającego polecenia, a to pojedyncze zatwierdzenie dawało atakującym trwały backdoor zdolny do wykonywania dowolnego kodu na komputerze ofiary, omijając każdy kolejny monit bezpieczeństwa.

Dlaczego ma to znaczenie dla wdrożeń Scouta

Scout bezpośrednio dziedziczy architekturę zaufania i białej listy OpenClaw . Agent działa z zawsze aktywnym dostępem wewnątrz Teams, Outlook i SharePoint – czytając e-maile, zarządzając kalendarzami, dołączając do rozmów i wykonując działania w tle. Badacze bezpieczeństwa i zespoły korporacyjne wyrazili obawę, że połączenie takiego poziomu stałego dostępu do systemu z frameworkiem, który wykazał systematyczne luki w omijaniu białej listy, stwarza niezwykle szerokie pole rażenia (blast radius) .

Microsoft wdrożył w Scout dodatkowe mechanizmy kontrolne, wykraczające poza standardowy OpenClaw. Każdy agent Scout ma własną, zarządzaną tożsamość Entra ID z egzekwowaniem zasad firmowych, a wrażliwe działania są zaprojektowane tak, aby wymagać wyraźnej zgody człowieka . Wbudowany system zgodności z zasadami stale monitoruje działania Scouta i generuje ścieżki audytu .

Jednak podstawowa granica wykonywania poleceń – mechanizm, który faktycznie wymusza, jakie działania może wykonywać zatwierdzony agent – wywodzi się bezpośrednio z implementacji białej listy OpenClaw. Jeśli atakujący może naruszyć tę granicę, dodatkowe warstwy nadzoru stają się jedynie obroną drugorzędną, a nie prawdziwą prewencją.

Dla firmowych zespołów ds. bezpieczeństwa oceniających prywatny podgląd Scouta, pytanie nie brzmi, czy produkt jest użyteczny – wczesne demonstracje sugerują, że jest niezwykle wydajny. Pytanie brzmi, czy profil ryzyka podstawowego frameworku został wystarczająco wzmocniony, aby odpowiedzialnie wdrożyć zawsze aktywnego agenta z szerokim dostępem do zasobów organizacji.

Microsoft był w przeszłości transparentny co do ograniczeń bezpieczeństwa OpenClaw. W wytycznych z lutego 2026 roku firma przyznała, że środowisko uruchomieniowe zawiera ograniczone wbudowane mechanizmy bezpieczeństwa, może pobierać niezaufany tekst i wykonywalny kod ze źródeł zewnętrznych oraz wykonywać działania przy użyciu przypisanych poświadczeń – skutecznie przenosząc granicę wykonania ze statycznego kodu aplikacji na dynamicznie dostarczaną treść bez równoważnych kontroli tożsamości i uprawnień .

Na razie Scout pozostaje w prywatnym podglądzie, dostępny tylko dla programu Frontier i posiadaczy subskrypcji GitHub Copilot. Daje to Microsoft kontrolowane okno na rozwiązanie problemów na poziomie frameworku, które ujawnienia z Build 2026 tak jaskrawo uwypukliły – zanim agent trafi do szerszego grona odbiorców korporacyjnych, dla których jest wyraźnie przeznaczony.