Microsoft Scout: Din nya alltid-på-kollega byggd på en skakig säkerhetsgrund

Scout integreras direkt i Microsoft 365:s ekosystem: den fungerar över Teams, Outlook, OneDrive och SharePoint och ansluter till chattar, mejl, kalendrar och kontakter . Den kan gå med i Teams gruppchattar och hantera mejltrådar i Outlook autonomt – vilket gör den till den första agenten som Microsoft placerar direkt i dessa ytor som en fullvärdig deltagare snarare än ett sidoverktyg .

Microsofts officiella blogg beskrev dess kärnfunktioner som att hantera mötesförberedelser, schemakrockar, mejlutkast och rutinmässig uppgiftskoordinering utan att kräva explicita användarkommandon . Scout lär sig individuella arbetsmönster över tid, bygger beständiga minnen från användarfeedback och inkluderar ett inbyggt system för policyöverensstämmelse som kontinuerligt övervakar dess handlingar och genererar granskningsloggar för företagsefterlevnad .

Varje Scout-agent har sin egen identitet i Microsoft Entra, vilket innebär att den styrs av befintliga företagsaccesspolicys. Känsliga åtgärder är utformade för att kräva mänskligt godkännande, vilket skapar ett styrningslager som Microsoft hoppas ska lugna försiktiga företags säkerhetsteam .

Tillgängligheten vid lanseringen är begränsad: Scout erbjuds exklusivt genom Microsofts tidiga användarprogram Frontier och kräver en GitHub Copilot-prenumeration . Den är fortfarande en privat förhandsvisning, vilket begränsar bred åtkomst medan Microsoft finslipar upplevelsen.

OpenClaw-grunden: Ett ramverk under belägring

Det som gör lanseringen av Scout unikt oroande är dess tekniska grund. Scout är byggt på OpenClaw, ett ramverk för autonoma agenter med öppen källkod som har upplevt ett av de mest turbulenta säkerhetsåren i modern mjukvaruhistoria. Microsofts kontextmotor Work IQ tillhandahåller ett extra lager, men OpenClaw hanterar själva agentorkestreringen .

När Scout avtäcktes hade OpenClaw redan samlat på sig över 138 dokumenterade CVE:er (kända sårbarheter) bara under 2026 . Ramverket drabbades av årets största bekräftade leverantörskedjeattack mot AI-agenter, med 1 184 skadliga marknadsplatspaket upptäckta, och över 135 000 instanser i 82 länder hittades öppet exponerade på internet, många utan någon autentisering konfigurerad .

I februari 2026, månader före lanseringen av Scout, publicerade Microsofts egen säkerhetsblogg en skarp varning om OpenClaw och konstaterade rakt ut att det "inte är lämpligt att köra på en vanlig personlig eller företagsdator" . En separat granskning av Kaspersky identifierade senare 512 sårbarheter i ramverket, varav åtta klassificerades som kritiska .

Allvaret och frekvensen i dessa avslöjanden utgjorde en svår bakgrund för varje produktlansering, för att inte tala om en som positionerar en alltid-på-agent som en pålitlig företagskollega.

De fem nolldagars-sårbarheterna vid Build 2026

Ungefär samtidigt som Scout presenterades, offentliggjorde forskare fem specifika nolldagars-sårbarheter i OpenClaw som direkt underminerar dess tillitsgräns och "allowlist"-modell – den exakta mekanism som Scout måste förlita sig på för att säkert kunna utföra kommandon å användarens vägnar.

Det allvarligaste fyndet var en kedja av fyra sårbarheter som döptes till "Claw Chain", med CVE-beteckningarna CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 och CVE-2026-44118. Dessa brister kan kedjas samman av en angripare för att avancera från kodexekvering i sandlådemiljö till fullständig persistens på värdnivå – utan att utlösa konventionella säkerhetsvarningar . Den kritiska sårbarheten i kedjan, CVE-2026-44112, har ett CVSS-poäng på 9,6 och tillåter en angripare att omdirigera filsystems-skrivningar utanför OpenClaws sandlådegräns, vilket möjliggör konfigurationsmanipulation och installation av bakdörrar på den underliggande värden .

Ytterligare nolldagars-sårbarheter blottlade svagheter i hur OpenClaw bearbetar betrodda kommandon. CVE-2026-41390 avslöjade att ramverkets "allow-always"-persistensmekanism misslyckas med att ta bort vissa systemomslag som /usr/bin/script innan tillitsbeslut lagras. Detta innebär att en angripare som övertygar en användare att godkänna ett omslaget, till synes ofarligt kommando, kan få beständig möjlighet att kringgå framtida säkerhetsfrågor och köra godtycklig kod . CVE-2026-29607 blottade ett liknande persistensfel på omslagsnivå: att godkänna ett omslaget system.run-kommando med "allow-always" kunde spara tillåtna poster på omslagsnivån snarare än på den inre kommandonivån, vilket senare möjliggjorde exekvering av helt andra, skadliga nyttolaster utan förnyat godkännande .

CVE-2026-3689 (registrerad som ZDI-26-227) var en "path traversal"-sårbarhet i OpenClaw Canvas som tillät fjärrangripare att avslöja känslig information från berörda installationer . Utöver dessa specifika CVE:er identifierade forskare också felaktigheter i identitetsupplösningen som gjorde att angripare kunde utge sig för att vara betrodda användare genom att helt enkelt byta namn för att matcha ett godkänt visningsnamn på meddelandeplattformar, vilket kapade AI-agenters åtkomst över flera tjänster .

Det återkommande mönstret: Förbikopplingar av tillåtna kommandon

Ett tydligt mönster förenar dessa sårbarheter. OpenClaws säkerhetsmodell förlitar sig tungt på en "exec allowlist" – en mekanism som upprätthåller en lista över godkända kommandon och frågar användaren innan något okänt körs. Problemet, som forskare upprepade gånger visade, är att upplösningen av denna godkännandelista konsekvent misslyckades med att korrekt tolka omslagna, expanderade eller kedjade kommandon.

Flera oberoende forskarteam fann att OpenClaw sparade tillitsbeslut på omslagsnivån snarare än den stabila inre exekveringsnivån . Angripare kunde bädda in skalkommandon för expansion i ociterade "heredoc"-kroppar, använda miljöinjicering via SHELLOPTS- eller PS4-variabler för att utlösa kommandoersättning innan det godkända kommandot kördes, eller utnyttja tolkningsskillnader i djup för att undertrycka detektering av skalomslag samtidigt som godkännandelistan matchades .

Den praktiska konsekvensen var förödande: en användare kunde socialt manipuleras till att godkänna ett enda harmlöst kommando, och detta enda godkännande skulle ge angripare en beständig bakdörr som kan köra godtycklig kod på värddatorn och kringgå varje efterföljande säkerhetskontroll.

Varför detta är avgörande för driftsättning av Scout

Scout ärver OpenClaws arkitektur för tillit och godkännandelistor direkt . Agenten arbetar med ständig åtkomst i Teams, Outlook och SharePoint – läser mejl, hanterar kalendrar, deltar i konversationer och utför åtgärder i bakgrunden. Säkerhetsforskare och företagsteam har uttryckt oro för att kombinationen av denna nivå av beständig systemåtkomst med ett ramverk som uppvisat systematiska sårbarheter i sin godkännandelista skapar en ovanligt bred anfallsyta .

Microsoft har implementerat ytterligare kontroller i Scout som går utöver en standardinstallation av OpenClaw. Varje Scout-agent har en egen styrd Entra-identitet med tillämpning av företagspolicy, och känsliga åtgärder kräver uttryckligt mänskligt godkännande . Ett inbyggt system för policyefterlevnad övervakar kontinuerligt Scouts handlingar och genererar granskningsspår .

Men den kärnmekanism som upprätthåller gränsen för kommandoexekvering – det vill säga vilka åtgärder en godkänd agent faktiskt kan utföra – är direkt kopplad till OpenClaws implementation av godkännandelistan. Om en angripare kan äventyra den gränsen blir de ytterligare styrlagren snarare sekundära försvar än verklig prevention.

För företags säkerhetsteam som utvärderar Scout i dess privata förhandsvisning är frågan inte om produkten är användbar – tidiga demonstrationer antyder att den är anmärkningsvärt kapabel. Frågan är om riskprofilen för det underliggande ramverket har härdats tillräckligt för att ansvarsfullt kunna driftsätta en alltid-på-agent med bred organisatorisk åtkomst.

Microsoft har tidigare varit transparenta om OpenClaws säkerhetsbegränsningar. Företagets vägledning från februari 2026 erkände att körtidsmiljön inkluderar begränsade inbyggda säkerhetskontroller, kan ta in opålitlig text och ladda ner körbar kod från externa källor samt utföra åtgärder med tilldelade autentiseringsuppgifter – vilket i praktiken flyttar exekveringsgränsen från statisk applikationskod till dynamiskt tillhandahållet innehåll utan motsvarande identitets- och behörighetskontroller .

För närvarande är Scout kvar i privat förhandsvisning, tillgänglig via Frontier-programmet och med krav på en GitHub Copilot-prenumeration. Det ger Microsoft ett kontrollerat fönster för att adressera de ramverksrelaterade problem som Build 2026-avslöjandena satte i skarp belysning – innan agenten når den bredare företagspublik den uppenbarligen är designad för.