Microsoft Scout: Sıfırıncı Gün Açıkları Üzerine İnşa Edilmiş, 7/24 Çalışan Yapay Zeka İş Arkadaşınız

Scout, doğrudan Microsoft 365 ekosistemine entegre olur: Teams, Outlook, OneDrive ve SharePoint genelinde çalışarak sohbetlere, e-postalara, takvimlere ve kişilere bağlanır . Teams grup sohbetlerine katılabilir ve Outlook e-posta zincirlerini otonom olarak yönetebilir; bu, Microsoft'un bir ajanı bir kenar çubuğu aracı yerine tam bir katılımcı olarak doğrudan bu yüzeylerin içine yerleştirdiği ilk örnek .

Microsoft'un resmi blogu, temel yeteneklerini kullanıcıdan açık komutlar beklemeden toplantı hazırlığı, takvim çakışmalarını yönetme, e-posta taslağı hazırlama ve rutin görev koordinasyonu olarak tanımladı . Scout, zamanla bireysel çalışma düzenlerini öğrenir, kullanıcı geri bildirimlerinden kalıcı anılar oluşturur ve eylemlerini sürekli olarak izleyen ve kurumsal uyumluluk için denetim kayıtları üreten yerleşik bir politika uygunluk sistemi içerir .

Her Scout ajanı, kendi Microsoft Entra kimliğiyle çalışır; bu, mevcut kurumsal erişim politikaları tarafından yönetildiği anlamına gelir. Hassas eylemler insan onayı gerektirecek şekilde tasarlanmıştır; bu, Microsoft'un temkinli kurumsal güvenlik ekiplerini tatmin etmesini umduğu bir yönetişim katmanı oluşturur .

Lansmandaki kullanılabilirlik sınırlıdır: Scout, yalnızca Microsoft'un Frontier erken benimseyen programı aracılığıyla sunulur ve bir GitHub Copilot aboneliği gerektirir . Deneyimi iyileştirirken geniş erişimi kısıtlayan şimdilik özel bir önizleme olarak kalmaya devam ediyor.

OpenClaw Temeli: Kuşatma Altındaki Bir Çatı

Scout'un piyasaya sürülmesini özellikle kaygı verici kılan şey, teknik temelidir. Scout, son yazılım tarihinin en çalkantılı güvenlik yıllarından birini yaşayan açık kaynaklı bir otonom ajan çatısı olan OpenClaw üzerine inşa edilmiştir. Microsoft'un Work IQ bağlam motoru ek bir katman sağlar, ancak temel ajan orkestrasyonunu OpenClaw yönetir .

Scout'un tanıtıldığı zamana kadar, OpenClaw yalnızca 2026'da 138'den fazla belgelenmiş CVE biriktirmişti . Çatı, yılın doğrulanmış en büyük yapay zeka ajanı tedarik zinciri saldırısına maruz kaldı, 1.184 kötü amaçlı pazar yeri paketi keşfedildi ve 82 ülkede 135.000'den fazla örnek, çoğu kimlik doğrulaması olmadan genel internette açıkta bulundu .

Şubat 2026'da, Scout'un duyurusundan aylar önce, Microsoft'un kendi güvenlik blogu, OpenClaw'ın "standart bir kişisel veya kurumsal makinede çalıştırılmasının uygun olmadığını" açıkça belirten bir uyarı yayınladı . Kaspersky tarafından yapılan bağımsız bir denetim daha sonra çatıda 512 güvenlik açığı tespit etti, bunlardan sekizi kritik olarak sınıflandırıldı .

Bu ifşaatların ciddiyeti ve sıklığı, herhangi bir ürün lansmanı için, hele ki sürekli çalışan bir ajanı güvenilir bir kurumsal iş arkadaşı olarak konumlandıran bir lansman için, zorlu bir arka plan yarattı.

Build 2026'daki Beş Sıfırıncı Gün Açığı

Scout'un tanıtıldığı sıralarda araştırmacılar, OpenClaw'da, doğrudan güven sınırını ve izin listesi modelini—tam da Scout'un bir kullanıcı adına komutları güvenle yürütmek için güvendiği mekanizmayı—zayıflatan beş spesifik sıfırıncı gün açığını ifşa etti.

En ciddi bulgu, CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 ve CVE-2026-44118 tanımlayıcıları atanan "Claw Chain" adlı dört açıklık zinciriydi. Bu kusurlar, bir saldırgan tarafından geleneksel güvenlik uyarılarını tetiklemeden korumalı alan kod yürütmeden tam ana bilgisayar düzeyinde kalıcılığa ilerlemek için birbirine zincirlenebilir . Zincirdeki kritik açıklık olan CVE-2026-44112, 9.6 CVSS puanı taşır ve bir saldırganın dosya sistemi yazmalarını OpenClaw'ın korumalı alan sınırının dışına yönlendirmesine olanak tanıyarak, alttaki ana bilgisayarda yapılandırma değişikliği ve arka kapı kurulumu sağlar .

Ek sıfırıncı günler, OpenClaw'ın güvenilir komutları işleme biçimindeki zayıflıkları açığa çıkardı. CVE-2026-41390, çatının "her zaman izin ver" kalıcılık mekanizmasının, güven kararlarını saklamadan önce /usr/bin/script gibi belirli sistem sarmalayıcılarını çözmekte başarısız olduğunu ortaya koydu. Bu, bir saldırganın kullanıcıyı sarmalanmış, zararsız görünen tek bir komutu onaylamaya ikna ederek kalıcı olarak gelecekteki güvenlik uyarılarını atlayabileceği ve rastgele kod yürütebileceği anlamına gelir . CVE-2026-29607, benzer bir sarmalayıcı düzeyinde kalıcılık kusurunu açığa çıkardı: sarmalanmış bir system.run komutunu "her zaman izin ver" ile onaylamak, iç komut düzeyi yerine sarmalayıcı düzeyinde izin listesi girdilerini kalıcı hale getirerek, daha sonra tamamen farklı, kötü amaçlı yüklerin onay atlatmalı olarak yürütülmesini sağlayabilirdi .

CVE-2026-3689 (ZDI-26-227 olarak kayıtlı), OpenClaw Canvas'ta, uzak saldırganların etkilenen kurulumlardan hassas bilgileri ifşa etmesine olanak tanıyan bir yol geçişi (path traversal) güvenlik açığıydı . Bu belirli CVE'lerin ötesinde, araştırmacılar ayrıca saldırganların mesajlaşma platformlarında kendilerini basitçe izin listesine alınmış bir görünen adla eşleşecek şekilde yeniden adlandırarak güvenilir kullanıcıları taklit etmelerine ve birden fazla hizmette yapay zeka ajan erişimini ele geçirmelerine olanak tanıyan uygunsuz kimlik çözümleme kusurlarını da belirledi .

Tekrarlayan Model: İzin Listesi Atlatmaları

Bu güvenlik açıklarını birbirine bağlayan net bir model vardır. OpenClaw'ın güvenlik modeli, büyük ölçüde bir yürütme izin listesine (exec allowlist) dayanır—onaylanmış komutların bir listesini tutan ve tanınmayan bir şeyi yürütmeden önce kullanıcıya soran bir mekanizma. Araştırmacıların defalarca gösterdiği gibi sorun, izin listesi çözümlemesinin sarmalanmış, genişletilmiş veya zincirlenmiş komutları doğru şekilde yorumlamakta sürekli olarak başarısız olmasıydı.

Birden fazla bağımsız araştırma ekibi, OpenClaw'ın güven kararlarını sabit iç çalıştırılabilir düzeyi yerine sarmalayıcı düzeyinde kalıcı hale getirdiğini buldu . Saldırganlar, tırnak işareti konmamış heredoc gövdelerine kabuk genişletme belirteçleri yerleştirebilir, izin listesindeki komut çalıştırılmadan önce komut ikamesini tetiklemek için SHELLOPTS veya PS4 değişkenleri aracılığıyla ortam enjeksiyonu kullanabilir veya izin listesi çözümlemesiyle eşleşirken kabuk sarmalayıcı algılamasını bastıran derinlik ayrıştırma uyumsuzluklarını istismar edebilirdi .

Pratik sonuç yıkıcıydı: bir kullanıcı, zararsız görünen tek bir komutu onaylaması için sosyal mühendislikle kandırılabilir ve bu tek onay, saldırganlara ana makinede rastgele kod çalıştırabilen ve sonraki her güvenlik uyarısını atlayan kalıcı bir arka kapı sağlardı.

Bu Scout Dağıtımları İçin Neden Önemli?

Scout, OpenClaw'ın güven ve izin listesi mimarisini doğrudan miras alır . Ajan, Teams, Outlook ve SharePoint içinde sürekli erişimle çalışır; e-postaları okur, takvimleri yönetir, konuşmalara katılır ve arka planda eylemler gerçekleştirir. Güvenlik araştırmacıları ve kurumsal ekipler, bu seviyedeki kalıcı sistem erişimini, sistematik izin listesi atlatma açıkları göstermiş bir çatıyla birleştirmenin alışılmadık derecede geniş bir hasar yarıçapı yarattığı endişesini dile getirdi .

Microsoft, Scout'ta standart OpenClaw'ın ötesine geçen ek kontroller uygulamıştır. Her Scout ajanı, kurumsal politika uygulamasıyla birlikte kendi yönetilen Entra kimliğini taşır ve hassas eylemler açık insan onayı gerektirecek şekilde tasarlanmıştır . Yerleşik bir politika uygunluk sistemi, Scout'un eylemlerini sürekli olarak izler ve denetim kayıtları oluşturur .

Ancak, temel komut yürütme sınırı—onaylanmış bir ajanın hangi eylemleri gerçekleştirebileceğini fiilen uygulayan mekanizma—doğrudan OpenClaw'ın izin listesi uygulamasına dayanır. Eğer bir saldırgan bu sınırı aşabilirse, ek yönetişim katmanları gerçek önleme yerine ikincil savunmalar haline gelir.

Scout'un özel önizlemesini değerlendiren kurumsal güvenlik ekipleri için soru, ürünün kullanışlı olup olmadığı değil—erken gösterimler oldukça yetenekli olduğunu gösteriyor. Soru, alttaki çatının risk profilinin, geniş kurumsal erişime sahip sürekli çalışan bir ajanı sorumlu bir şekilde dağıtmak için yeterince sağlamlaştırılıp sağlamlaştırılmadığıdır.

Microsoft geçmişte OpenClaw'ın güvenlik kısıtlamaları konusunda şeffaf davranmıştı. Şirketin Şubat 2026 tarihli kılavuzu, çalışma zamanının sınırlı yerleşik güvenlik kontrolleri içerdiğini, güvenilmeyen metinleri yutabileceğini ve harici kaynaklardan çalıştırılabilir kod indirebileceğini ve atanan kimlik bilgilerini kullanarak eylemler gerçekleştirip, yürütme sınırını statik uygulama kodundan dinamik olarak sağlanan içeriğe, eşdeğer kimlik ve ayrıcalık kontrolleri olmaksızın kaydırabileceğini kabul etmişti .

Şimdilik Scout, Frontier programı ve bir GitHub Copilot aboneliğinin arkasında, özel önizlemede kalmaya devam ediyor. Bu, Microsoft'a, Build 2026 ifşaatlarının net bir şekilde ortaya çıkardığı çatı düzeyindeki endişeleri, ajanın açıkça tasarlandığı daha geniş kurumsal kitleye ulaşmadan önce ele alması için kontrollü bir pencere sağlıyor.