เจาะลึก Scout AI ผู้ช่วย Autopilot จาก Microsoft กับวิกฤตช่องโหว่ซีโร่เดย์ที่ทำให้องค์กรต้องชะงัก

Scout ถูกผนวกรวมเข้ากับระบบนิเวศ Microsoft 365 โดยตรง มันทำงานข้าม Teams, Outlook, OneDrive และ SharePoint เชื่อมต่อกับทั้งแชท อีเมล ปฏิทิน และรายชื่อผู้ติดต่อ มันสามารถเข้าร่วมแชทกลุ่มใน Teams และจัดการเธรดอีเมลใน Outlook ได้ด้วยตัวเอง ทำให้เป็นเอเจนต์ตัวแรกที่ Microsoft วางไว้ในพื้นที่ทำงานเหล่านั้น ในฐานะผู้เข้าร่วมเต็มตัว ไม่ใช่แค่เครื่องมือในแถบด้านข้าง

บล็อกทางการของ Microsoft ระบุว่า ความสามารถหลักของมันคือการจัดการเรื่องประชุม ตรวจจับตารางเวลาที่ชนกัน ร่างอีเมล และประสานงานงานประจำ โดยไม่ต้องให้ผู้ใช้คอยออกคำสั่ง Scout จะเรียนรู้รูปแบบการทำงานของแต่ละบุคคลเมื่อเวลาผ่านไป สร้างความทรงจำจากฟีดแบ็กของผู้ใช้ และมีระบบตรวจสอบการปฏิบัติตามนโยบาย (Policy Conformance) ในตัวที่คอยตรวจสอบการกระทำของมันและสร้างเส้นทางการตรวจสอบ (Audit Trails) สำหรับการปฏิบัติตามข้อกำหนดขององค์กร

Scout Agent แต่ละตัวทำงานด้วยข้อมูลประจำตัว Microsoft Entra ID ของตัวเอง ซึ่งหมายความว่ามันถูกควบคุมโดยนโยบายการเข้าถึงขององค์กรที่มีอยู่ การกระทำที่อ่อนไหวถูกออกแบบให้ต้องได้รับการอนุมัติจากมนุษย์ ซึ่งเป็นชั้นการกำกับดูแลที่ Microsoft หวังว่าจะตอบสนองทีมความปลอดภัยขององค์กรที่ระมัดระวังได้

ในช่วงแรก การเปิดให้ใช้งานถูกจำกัด: Scout เสนอให้ใช้งานผ่านโปรแกรม "Frontier" สำหรับผู้ใช้งานกลุ่มแรกเริ่มของ Microsoft โดยเฉพาะ และจำเป็นต้องสมัคร GitHub Copilot ตอนนี้มันยังคงเป็นรุ่นตัวอย่างส่วนตัว (Private Preview) ที่จำกัดการเข้าถึงในวงกว้าง ขณะที่ Microsoft กำลังปรับแต่งประสบการณ์การใช้งาน

OpenClaw: รากฐานที่กำลังถูกโจมตี

สิ่งที่ทำให้การเปิดตัว Scout ดูน่าเป็นห่วงอย่างไม่เหมือนใครคือรากฐานทางเทคนิคของมัน Scout สร้างขึ้นบน OpenClaw ซึ่งเป็นเฟรมเวิร์กเอเจนต์อัตโนมัติแบบโอเพนซอร์ส ที่เผชิญกับปีที่ปั่นป่วนที่สุดในประวัติศาสตร์ของซอฟต์แวร์ยุคใหม่ โดยมี Work IQ Context Engine ของ Microsoft เป็นเลเยอร์เพิ่มเติมเข้ามา แต่ OpenClaw จัดการคอร์การทำ Orchestration ของเอเจนต์

ในตอนที่ Scout ถูกเปิดตัว OpenClaw ได้สะสม CVE ที่ถูกบันทึกไว้แล้วกว่า 138 รายการในปี 2026 ปีเดียว เฟรมเวิร์กนี้ประสบกับการโจมตีซัพพลายเชนของ AI Agent ครั้งใหญ่ที่สุดในปีนั้น โดยมีการค้นพบแพ็กเกจมาร์เก็ตเพลสที่เป็นอันตราย 1,184 ชุด และพบอินสแตนซ์ที่เปิดเผยบนอินเทอร์เน็ตสาธารณะกว่า 135,000 อินสแตนซ์ใน 82 ประเทศ ซึ่งจำนวนมากไม่มีการตั้งค่าการยืนยันตัวตนใดๆ

ย้อนกลับไปในเดือนกุมภาพันธ์ 2026 หลายเดือนก่อนการประกาศเปิดตัว Scout บล็อกความปลอดภัยของ Microsoft เองได้ตีพิมพ์คำเตือนอย่างชัดเจนเกี่ยวกับ OpenClaw โดยระบุตรงๆ ว่า "ไม่เหมาะสมที่จะรันบนเครื่องส่วนบุคคลหรือเครื่องขององค์กรทั่วไป" และในการตรวจสอบแยกต่างหากโดย Kaspersky ได้ระบุช่องโหว่ 512 จุดในเฟรมเวิร์กนี้ โดย 8 จุดถูกจัดอยู่ในระดับวิกฤต

ความรุนแรงและความถี่ของการเปิดเผยข้อมูลเหล่านี้ สร้างฉากหลังที่ท้าทายสำหรับการเปิดตัวผลิตภัณฑ์ใดๆ ก็ตาม ไม่ต้องพูดถึงการเปิดตัวเอเจนต์แบบ Always-On ในฐานะเพื่อนร่วมงานขององค์กรที่เชื่อถือได้

ช่องโหว่ซีโร่เดย์ทั้งห้าที่ถูกเปิดเผยในงาน Build 2026

ในช่วงเวลาเดียวกับการเปิดตัว Scout เหล่านักวิจัยได้เปิดเผยช่องโหว่ซีโร่เดย์ห้าจุดใน OpenClaw ซึ่งบั่นทอนขอบเขตความน่าเชื่อถือ (Trust Boundary) และโมเดล Allowlist ซึ่งเป็นกลไกที่ Scout ต้องพึ่งพาเพื่อดำเนินการคำสั่งแทนผู้ใช้อย่างปลอดภัย

การค้นพบที่รุนแรงที่สุดคือชุดช่องโหว่สี่จุดที่เรียกว่า "Claw Chain" ซึ่งได้รับหมายเลข CVE เป็น CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 และ CVE-2026-44118 ช่องโหว่เหล่านี้สามารถถูกเชื่อมต่อกันโดยผู้โจมตี เพื่อเลื่อนขั้นจากการเรียกใช้โค้ดใน Sandbox ไปสู่การฝังตัวในระดับโฮสต์ (Host-Level Persistence) โดยไม่ทำให้เกิดการแจ้งเตือนด้านความปลอดภัยตามปกติ จุดอ่อนวิกฤตใน chain นี้คือ CVE-2026-44112 ซึ่งมีคะแนน CVSS สูงถึง 9.6 และอนุญาตให้ผู้โจมตีเปลี่ยนเส้นทางการเขียนข้อมูลของระบบไฟล์ออกนอกขอบเขต Sandbox ของ OpenClaw ทำให้สามารถแก้ไขการตั้งค่าและติดตั้ง Backdoor บนโฮสต์เบื้องล่างได้

ช่องโหว่ซีโร่เดย์อื่นๆ เปิดเผยจุดอ่อนในวิธีที่ OpenClaw ประมวลผลคำสั่งที่เชื่อถือได้ CVE-2026-41390 เผยว่า กลไกการคงอยู่ของ "allow-always" ของเฟรมเวิร์ก ล้มเหลวในการแกะ wrapper ของระบบบางตัวอย่าง /usr/bin/script ก่อนจัดเก็บการตัดสินใจเชื่อถือ ซึ่งหมายความว่าผู้โจมตีที่หลอกให้ผู้ใช้อนุมัติคำสั่งที่ดูปลอดภัยหนึ่งคำสั่ง สามารถทำให้มันข้ามการแจ้งเตือนด้านความปลอดภัยในอนาคตและเรียกใช้โค้ดใดๆ ได้อย่างถาวร CVE-2026-29607 เปิดเผยจุดบกพร่องระดับ wrapper คล้ายกัน: การอนุมัติคำสั่ง system.run ที่ถูกห่อหุ้มด้วย "allow-always" เพียงครั้งเดียว จะทำให้เกิดการคงรายการอนุญาต (Allowlist) ไว้ที่ระดับ wrapper แทนที่จะเป็นระดับคำสั่งภายใน ซึ่งต่อมาสามารถใช้ในการเลี่ยงการอนุมัติเพื่อเรียกใช้เพย์โหลดที่แตกต่างอย่างสิ้นเชิงและเป็นอันตรายได้

CVE-2026-3689 (ลงทะเบียนเป็น ZDI-26-227) เป็นช่องโหว่ Path Traversal ใน OpenClaw Canvas ที่อนุญาตให้ผู้โจมตีระยะไกลเปิดเผยข้อมูลที่ละเอียดอ่อนจากการติดตั้งที่ได้รับผลกระทบ นอกจาก CVE เฉพาะเหล่านี้แล้ว นักวิจัยยังระบุถึงข้อบกพร่องในการระบุตัวตนที่ไม่เหมาะสม ซึ่งทำให้ผู้โจมตีสามารถปลอมเป็นผู้ใช้ที่เชื่อถือได้ เพียงแค่เปลี่ยนชื่อให้ตรงกับชื่อที่แสดงในรายชื่อ Allowlist บนแพลตฟอร์มส่งข้อความ ซึ่งเป็นการขโมยการเข้าถึงของ AI Agent ข้ามหลายบริการ

รูปแบบที่เกิดซ้ำ: การเลี่ยงผ่าน Allowlist

รูปแบบที่ชัดเจนเชื่อมโยงช่องโหว่เหล่านี้เข้าด้วยกัน โมเดลความปลอดภัยของ OpenClaw พึ่งพา Exec Allowlist อย่างมาก ซึ่งเป็นกลไกที่รักษารายการคำสั่งที่ได้รับอนุมัติและถามผู้ใช้ก่อนดำเนินการอะไรก็ตามที่ไม่รู้จัก ปัญหาคือ ตามที่นักวิจัยได้สาธิตซ้ำแล้วซ้ำเล่าคือ การแก้ไข Allowlist (Allowlist Resolution) ล้มเหลวในการแปลความคำสั่งที่ถูกห่อหุ้ม ขยาย หรือต่อกันอย่างสม่ำเสมอ

ทีมวิจัยอิสระหลายทีมพบว่า OpenClaw ทำให้การตัดสินใจเชื่อถือคงอยู่ที่ระดับ wrapper มากกว่าระดับคำสั่งปฏิบัติการภายในที่เสถียร ผู้โจมตีสามารถแทรก Shell Expansion Tokens ในเนื้อหา Heredoc ที่ไม่มีเครื่องหมายคำพูด (unquoted heredoc) ใช้ Environment Injection ผ่านตัวแปร SHELLOPTS หรือ PS4 เพื่อกระตุ้นการแทนที่คำสั่งก่อนที่คำสั่งที่อยู่ใน Allowlist จะทำงาน หรือใช้ประโยชน์จากความไม่ตรงกันในการแยกวิเคราะห์ความลึก (depth-parsing mismatches) ซึ่งกดการตรวจจับ Shell-Wrapper ในขณะที่ยังคงตรงกับการแก้ไข Allowlist

ผลลัพธ์ในทางปฏิบัติคือหายนะ: ผู้ใช้สามารถถูก Social Engineering ให้อนุมัติคำสั่งที่ดูไม่เป็นอันตรายเพียงหนึ่งคำสั่ง และการอนุมัติครั้งเดียวนั้น จะทำให้ผู้โจมตีได้ Backdoor ถาวรที่สามารถเรียกใช้โค้ดใดๆ บนเครื่องโฮสต์ โดยหลีกเลี่ยงการแจ้งเตือนด้านความปลอดภัยทุกครั้งในภายหลัง

ทำไมสิ่งนี้ถึงสำคัญสำหรับการปรับใช้ Scout

Scout สืบทอดสถาปัตยกรรมความน่าเชื่อถือและ Allowlist ของ OpenClaw โดยตรง เอเจนต์นี้ทำงานด้วยการเข้าถึงแบบ Always-On ภายใน Teams, Outlook และ SharePoint อ่านอีเมล จัดการปฏิทิน เข้าร่วมการสนทนา และดำเนินการต่างๆ ในเบื้องหลัง นักวิจัยด้านความปลอดภัยและทีมระดับองค์กรต่างตั้งข้อกังวลว่า การรวมการเข้าถึงระบบอย่างต่อเนื่องในระดับนี้ เข้ากับเฟรมเวิร์กที่มีช่องโหว่การเลี่ยงผ่าน Allowlist อย่างเป็นระบบ จะสร้างรัศมีการโจมตี (Blast Radius) ที่กว้างผิดปกติ

Microsoft ได้ใช้การควบคุมเพิ่มเติมใน Scout ที่เหนือกว่า OpenClaw รุ่นมาตรฐาน เอเจนต์ Scout แต่ละตัวมีข้อมูลประจำตัว Entra ID ที่ถูกกำกับดูแลด้วยการบังคับใช้นโยบายขององค์กร และการกระทำที่อ่อนไหวถูกออกแบบให้ต้องได้รับการอนุมัติจากมนุษย์อย่างชัดเจน ระบบการตรวจสอบการปฏิบัติตามนโยบายในตัว จะคอยเฝ้าติดตามการกระทำของ Scout และสร้างเส้นทางการตรวจสอบ อย่างต่อเนื่อง

แต่ขอบเขตการดำเนินการคำสั่งหลัก (Core Command-Execution Boundary) ซึ่งเป็นกลไกที่บังคับใช้ว่าตัวแทนที่ได้รับอนุมัติแล้วสามารถดำเนินการอะไรได้บ้างนั้น สืบย้อนกลับไปที่การใช้งาน Allowlist ของ OpenClaw โดยตรง หากผู้โจมตีสามารถบุกรุกขอบเขตนั้นได้ ชั้นการกำกับดูแลเพิ่มเติมเหล่านี้ จะกลายเป็นเพียงการป้องกันขั้นที่สอง มากกว่าที่จะเป็นการป้องกันที่แท้จริง

สำหรับทีมความปลอดภัยองค์กรที่กำลังประเมิน Private Preview ของ Scout คำถามไม่ใช่ว่าผลิตภัณฑ์มีประโยชน์หรือไม่ - การสาธิตเบื้องต้นชี้ให้เห็นว่ามันมีความสามารถอย่างน่าทึ่ง - แต่คำถามคือ โปรไฟล์ความเสี่ยงของเฟรมเวิร์กต้นแบบ ได้รับการทำให้แข็งแกร่งพอที่จะปรับใช้เอเจนต์แบบ Always-On ที่มีการเข้าถึงในวงกว้างขององค์กรอย่างมีความรับผิดชอบหรือยัง

ในอดีต Microsoft เคยโปร่งใสเกี่ยวกับข้อจำกัดด้านความปลอดภัยของ OpenClaw คำแนะนำของบริษัทในเดือนกุมภาพันธ์ 2026 ยอมรับว่า Runtime นี้มีระบบควบคุมความปลอดภัยในตัวที่จำกัด สามารถรับข้อความที่ไม่น่าเชื่อถือและดาวน์โหลดโค้ดที่ทำงานได้จากแหล่งภายนอก และดำเนินการโดยใช้ข้อมูลประจำตัวที่กำหนดให้ ซึ่งเปลี่ยนขอบเขตการดำเนินการจากโค้ดแอปพลิเคชันแบบคงที่ ไปเป็นเนื้อหาที่ให้มาแบบไดนามิก โดยไม่มีการควบคุมตัวตนและการจัดการสิทธิ์ที่เท่าเทียมกัน

ในตอนนี้ Scout ยังคงอยู่ใน Private Preview โดยถูกจำกัดการเข้าถึงผ่านโปรแกรม Frontier และการสมัคร GitHub Copilot นั่นทำให้ Microsoft มีช่วงเวลาที่ควบคุมได้เพื่อจัดการกับข้อกังวลระดับเฟรมเวิร์กที่การเปิดเผยข้อมูลในงาน Build 2026 ทำให้เห็นเด่นชัดขึ้น ก่อนที่เอเจนต์นี้จะเข้าถึงผู้ชมในวงกว้างขององค์กรตามที่มันถูกออกแบบมาอย่างชัดเจน