مايكروسوفت: لا تُشغِّل OpenClaw على أجهزة العمل العادية

في 19 فبراير 2026، نشر فريق أبحاث الأمن في Microsoft Defender منشورًا بعنوان "تشغيل OpenClaw بأمان: الهوية والعزل ومخاطر وقت التشغيل"، وقدّم فيه توصية لا ترد في أرشيف Orca AI Incident Archive مقترنة بأي مدخل آخر: ينبغي التعامل مع OpenClaw "كتنفيذ شيفرة غير موثوقة ببيانات اعتماد دائمة"، و"ليس من المناسب تشغيله على محطة عمل شخصية أو مؤسسية قياسية". OpenClaw هو بيئة تشغيل وكيل ذاتية الاستضافة — يثبّته المستخدم على جهازه الخاص، ويمنحه حسابات ورموزًا، ويتركه يثبّت مهارات من سجل عام ويتصرف بناءً على نص يقرأه من أي مكان. حجة Microsoft معمارية، وليست تقرير خطأ: تنقل بيئة التشغيل نقطة التنفيذ من شيفرة تطبيق ثابتة إلى محتوى يُقدَّم في وقت التشغيل، ولم تنتقل معها الضوابط المتعلقة بالهوية ومعالجة المدخلات والامتيازات. لا يذكر المنشور أي CVE أو حملة أو ضحية، ولا يسجّل أي اختراق. يقع السجل الكامل في Orca AI Incident Archive، حيث يُصنَّف كمدخل سياساتي بارز بدرجة ثقة A ودون تسجيل أي ضرر حقيقي.

ما قاله المنشور، وما لم يقله

يستغرق المنشور نحو اثنتي عشرة دقيقة من القراءة، ولا يحمل أي آلية إفصاح على الإطلاق: لا معرّف CVE، ولا نطاق إصدارات متأثرة، ولا بناء مُصلح، ولا مؤشر اختراق مرتبط بنشر فعلي. وتُدرج Microsoft Defender Security Research اسم Idan Hen كمساهم. وما يحمله بدلاً من ذلك هو نموذج تهديد وقاعدة نشر، ولهذا يؤرشفها السجل كسجل سياسة لا كحادثة — معلومات الخطورة، ودرجة الثقة A، ولا ضرر حقيقي مسجل، وتاريخ بدقة يوم واحد.

يُضغط الاستدلال في فقرة افتتاحية واحدة. يكتب الفريق أن OpenClaw «يتضمن ضوابط أمنية مدمجة محدودة»، لأن بيئة التشغيل «يمكنها استيعاب نص غير موثوق، وتنزيل المهارات (أي الشيفرة) من مصادر خارجية وتنفيذها، وتنفيذ إجراءات باستخدام بيانات الاعتماد المخصصة لها». وتُذكر النتيجة في السياق نفسه: وهذا «يُحوّل فعليًا حدود التنفيذ من شيفرة تطبيق ثابتة إلى محتوى يُقدَّم ديناميكيًا وقدرات طرف ثالث، دون ضوابط مكافئة حول الهوية أو معالجة المدخلات أو تحديد نطاق الامتيازات».

فيما يلي ثلاثة مخاطر، ويستحق الأمر قراءتها بكلمات مايكروسوفت نفسها، لأن معظم التغطية التي تلتها أعادت صياغتها إلى غموض:

• "قد تتعرّض بيانات الاعتماد والبيانات المتاحة للوصول للكشف أو للتسريب."

• "يمكن تعديل الحالة المستمرة للوكيل أو 'ذاكرته'، مما يجعله يتبع تعليمات يوفّرها المهاجم بمرور الوقت."

• "يمكن اختراق بيئة المضيف إذا جرى تحريض الوكيل على استرداد تعليمات برمجية خبيثة وتنفيذها."

لاحِظ ما هو غائب عن تلك القائمة. فلا يوجد عيب مُستغَل، ولا دالة قابلة للاستغلال، ولا تصحيح برمجي يُشحن. فمايكروسوفت لا تقول إن لدى OpenClaw خللاً أمنياً؛ بل تقول إن برنامجاً يقرر ما يفعله وقت التشغيل، استناداً إلى نص جلبه، وباستخدام بيانات اعتماد مُنحت له، لا يمكن جعله آمناً عبر الإعدادات على جهاز يحتفظ أيضاً بعمل المشغّل الحقيقي. والتوصية التي تتبع ذلك صريحة بالقدر نفسه — فبالنسبة لمعظم البيئات، «قد يكون القرار المناسب هو عدم نشره».

سلسلتا توريد، حلقة تنفيذ واحدة

الآلية التي تصفها التدوينة هي تقارب ما تسمّيه سلسلتَي التوريد لدى وكيل مستضاف ذاتيًا: شيفرة غير موثوقة، أي المهارات والإضافات، وتعليمات غير موثوقة، أي النص الخارجي. معظم البرمجيات لديها إحداهما دون الأخرى. فمدير الحزم يجلب شيفرة غير موثوقة لكنه لا يقرأ الإنترنت ليقرر ما الذي ينفّذه تاليًا؛ ونموذج محادثة يقرأ نصًا غير موثوق لكنه لا يستطيع تثبيت أي شيء. أما OpenClaw فيفعل الاثنين في حلقة واحدة، والحلقة تعمل تحت هوية المستخدم نفسه.

"تثبيت مهارة هو في الأساس تثبيت شيفرة ذات صلاحيات مرتفعة"، كما يقول المنشور. فالمهارات "غالبًا ما تُكتشف وتُثبَّت عبر ClawHub، سجل المهارات العام الخاص بـ OpenClaw"، وفي عمليات النشر المتساهلة "قد يُسمح لبيئة التشغيل بتنفيذ مسار التثبيت دون موافقة بشرية". وتُعالَج سلسلة التوريد الثانية بواسطة Moltbook، الذي يصفه المنشور بأنه منصة وطبقة هوية موجّهة للوكلاء، حيث ينشر الوكلاء ويقرؤون ويوثّقون عبر APIs — وبالتالي، وفقًا لصياغته، "تدفّق عالي الحجم من محتوى يمكن للمهاجم التأثير فيه، يستهلكه الوكلاء وفق جدول زمني". والضغط هو المقصد: "لذلك يمكن لمنشور خبيث واحد أن يصل إلى وكلاء متعددين".

ثم يقسّم المنشور حدود الثقة إلى ثلاثة مكوّنات، وهي الجزء الأكثر قابلية لإعادة الاستخدام في الوثيقة بأكملها: الهوية، أي الرموز المميزة التي يستخدمها الوكيل للقيام بالعمل عبر واجهات SaaS البرمجية والمستودعات والبريد ولوحات التحكم السحابية؛ والتنفيذ، أي الأدوات التي يمكنه تشغيلها والتي تغيّر الحالة، بما في ذلك الملفات وواجهة الصدفة والبنية التحتية والرسائل؛ والاستمرارية، أي الطرق التي يمكنه بها الإبقاء على التغييرات عبر التشغيلات، من خلال المهام والإعدادات والجداول الزمنية. الوكيل الذي يمتلك الثلاثة ليس تطبيقًا مزوّدًا بمطالبة إذن. إنه كيان رئيسي.

المهارة المسمومة، في خمس مراحل

تقدّم Microsoft سلسلة اختراق نموذجية موثّقة واحدة، موسومة بأنها سيناريو تمثيلي لا تقرير حالة، ويستحق استعراضها لأن خطوتيها الأخيرتين هما اللتان تتغلبان على دفاعات نقاط النهاية التقليدية. وتمهّد لها التدوينة بادعاء عن العالم الخارجي — "وثّق الإبلاغ العام ظهور مهارات خبيثة في السجلات العامة"، وفي بعض الحالات "كان محتوى السجل برمجيات خبيثة صريحة مغلّفة كمهارة، لا مجرد شبيه خفي" — لكنها لا تسمّي أي إدخال في السجل أو حملة أو فاعل أو ضحية، لذا تظل السلسلة حجة معقولة، لا إعادة بناء.

• التوزيع. ينشر المهاجم مهارة خبيثة على ClawHub، تارةً متنكّرًا في هيئة أداة نافعة وتارةً أخرى خبيثة علنًا، ويروّج لها عبر قنوات المجتمع؛ وفي أحيان أخرى يتم العثور عليها عضويًا عبر البحث وتُثبَّت لأن التثبيت سهل وبأقل قدر من العوائق.

• التثبيت. يبدأ أحد المطوّرين أو الوكيل نفسه عملية التثبيت لأن المهارة تبدو ذات صلة بالمهمة. وفي نشر متساهل، لا يوافق عليها أي إنسان.

• الوصول إلى الحالة. يستهدف المهاجم الرموز المميزة وبيانات الاعتماد المخزّنة مؤقتًا وبيانات التكوين والنصوص المسجّلة، إضافةً إلى قنوات التعليمات الدائمة — ملفات المهام والإجراءات المجدولة وتكوين الوكيل — التي توجّه عمليات التشغيل المستقبلية.

• إعادة استخدام الامتيازات. باستخدام مواد هوية صالحة، يعمل المهاجم عبر واجهات برمجة التطبيقات والأدوات القياسية، وغالبًا ما يشبه النشاط "الأتمتة المشروعة" ما لم تكن ضوابط قوية للمراقبة والتسجيل مطبّقة.

• الاستمرارية عبر التهيئة. ما يتبقى هو تغيير دائم في التهيئة: "موافقات OAuth جديدة، أو عمليات تنفيذ مجدولة، أو مهام وكيل معدّلة، أو أدوات تبقى معتمدة بشكل دائم."

الخطوة الخامسة تحمل أشدّ جملة في المنشور حدّةً، وهي الجملة التي تشرح على أفضل وجه لماذا تُعدّ هذه مشكلة سياسات لا مشكلة برمجيات خبيثة: «الهدف أقلّ ارتباطًا بنشر البرمجيات الخبيثة وأكثر ارتباطًا بالحفاظ على سيطرة طويلة الأمد على مسار الأتمتة». أدوات الأمان التي تبحث عن حمولة لن تجد شيئًا. ما سيتعيّن عليها التقاطه هو منح موافقة، أو مدخل cron، أو أداة تُركت موافَقًا عليها بهدوء.

الحد الأدنى من الموقف الذي ستقبله Microsoft

لا تترك مايكروسوفت القارئ عند "لا تفعل". بل تضع حدًا أدنى للمؤسسات التي تقرر تقييم بيئة التشغيل على أي حال، وهذا الحد الأدنى أكثر صرامة من بيئة معزولة. ينبغي أن تكون البيئة "جهازًا افتراضيًا مخصصًا أو جهازًا ماديًا منفصلًا لا يُستخدم للعمل اليومي"، وينبغي التعامل معها كقابلة للتخلص منها. وينبغي إنشاء بيانات الاعتماد حصريًا لغرض الوكيل، وأن تكون غير مميزة، وأن تُدوّر على افتراض أنها مخترقة بالفعل. ولا ينبغي أن يكون متاحًا سوى البيانات غير الحساسة. وينبغي مراجعة التعليمات والحالة المحفوظتان للوكيل بانتظام بحثًا عن قواعد دائمة غير متوقعة، أو مصادر موثوقة حديثًا، أو سلوك يتغير بين التشغيلات. وينبغي أن تكون إعادة البناء ضابطًا متوقعًا لا حالة طارئة: أعد التثبيت بانتظام، وأعد البناء فورًا عند أي سلوك شاذ.

ثمة تفصيل واحد في المنشور أكثر فائدة مما يوحي به طوله. إن أخذ نسخة احتياطية من .openclaw/workspace/ يلتقط حالة عمل الوكيل دون تضمين بيانات الاعتماد؛ أما نسخ دليل .openclaw/ بأكمله احتياطيًا فهو أبسط في الاستعادة لكنه يلتقط أيضًا الرموز المميزة وبيانات الاعتماد، ويحذر المنشور من أن ذلك قد يكون غير مناسب إذا كان يُشتبه في تعرض بيانات الاعتماد للاختراق. الفريق الذي ينسخ الدليل بأكمله احتياطيًا ويسمي ذلك التعافي من الكوارث قد أرشف الشيء الذي أراده المهاجم.

الإرشاد هو أيضًا خريطة للمنتج

يربط النصف الثاني من المنشور كل ضابط موصى به بمنتج من Microsoft: Microsoft Entra ID لأقل امتياز والوصول الشرطي على هويات الوكلاء، وMicrosoft Defender for Cloud Apps App Governance لجرد OAuth وانحراف الموافقات، وMicrosoft Defender for Endpoint لمضيف الوكيل، وMicrosoft Defender XDR للربط، وMicrosoft Purview لمنع فقدان البيانات على نقاط النهاية، وMicrosoft Defender for Cloud لخروج الشبكة، وMicrosoft Sentinel حيثما لزم احتفاظ أطول أو أتمتة. هذه ممارسة معتادة في مدونة أمنية لمورّد، ويجدر أيضًا قولها بصراحة: الوثيقة التي توصي باحتواء بيئة تشغيل وكيل طرف ثالث تنشرها شركة تبيع الاحتواء.

محتوى الاصطياد هو الجزء الذي ينجو من ذلك التأطير، لأنه محدد. يقدّم المنشور استعلامات KQL ضد جداول Defender XDR — DeviceProcessEvents وCloudProcessEvents وDeviceFileEvents وDeviceNetworkEvents وOAuthAppInfo — تبحث عن أسطر أوامر العمليات وأسماء الملفات التي تحتوي على "openclaw" أو "moltbot" أو "clawdbot"، وعن استدعاءات clawhub install ذات معرفات المهارات النادرة، وعن تقلّب مجلدات الإضافات على نقاط نهاية المطورين، وعن تطبيقات OAuth الجديدة عالية الامتياز، وعن خدمات الاستماع التي تفتحها عمليات الوكيل، وعن بيئات تشغيل الوكيل التي تُشغّل cmd.exe أو powershell.exe أو pwsh.exe أو bash أو sh أو curl أو wget. ومهما كان الرأي في تعيين المنتج، فإن تلك الاستعلامات قابلة للتشغيل من قبل أي عميل Defender XDR في يوم النشر، وهي تفترض عدم وجود معرفة مسبقة بالمضيفين الذين يشغّلون بيئة التشغيل.

ما هو ثابت، وما هو غير ثابت

مؤكَّد ومُعزَّز: نشرت مايكروسوفت المنشور في 19 فبراير 2026، والاقتباسات أعلاه مأخوذة منه. وقد أوردت Cybernews التحذير في 23 فبراير 2026، وأوردته TechRadar في 24 فبراير 2026، وكلتاهما أعادتا ذكر الجملتين المحوريتين وإرشادات العزل بدلًا من اختبارهما. ولم تُظهر عمليات البحث المتكررة تغطيةً في The Register أو BleepingComputer أو Wired أو TechCrunch، لذا كانت الموجة الصحفية حول هذا المنشور صغيرة ومشتقة؛ ولم ينشر أي طرف مستقل اختبارًا لادعاء مايكروسوفت المعماري، والتأكيد المتاح يثبت ما قالته مايكروسوفت، لا ما إذا كان صحيحًا.

كما أدخل الترحيل خطأً يستحق الإشارة إليه، لأنه يُظهر مدى السرعة التي يتحول بها تحذير بائع بشأن أداة طرف ثالث إلى تحذير البائع بشأن أداته الخاصة. يستهل تقرير Cybernews بوصف OpenClaw بأنه «مساعد الذكاء الاصطناعي من Microsoft»؛ وهو ليس كذلك. فـ OpenClaw بيئة تشغيل مستضافة ذاتيًا فحصها باحثو Defender من Microsoft، والمقال نفسه يوضح الفرق من حيث البنية، إذ يقابل بين بيئات التشغيل المستضافة ذاتيًا — حيث «أنت مسؤول عن نطاق الضرر» ويقع المضيف والإضافات والحالة المحلية جميعًا داخل حدود الثقة — والمساعدات المُدارة ومنصات الوكلاء، حيث تُدار بيئة التشغيل والتحديثات مركزيًا وتتركز الضوابط على نطاقات الهوية وحوكمة الموصلات وحدود البيانات.

لم يثبت: أن أي منظمة محددة قد تعرّضت للاختراق بالطريقة التي يصفها المنشور. وتؤكد Microsoft أن التقارير العامة وثّقت مهارات خبيثة في السجلات العامة، لكن المنشور لا يرفق اسم حملة ولا عددًا ولا تاريخًا ولا ضحية، ومن ثمّ لا يحمل هذا السجل ضررًا حقيقيًا. كما أن التوصية ليست ملزمة. فلم تصدرها أي جهة تنظيمية، ولم تتبنّها أي هيئة معايير، ولا يُظهر أي شيء في السجل أن عميلًا أو مدققًا أو مؤمّنًا يتعامل معها كمتطلب. إنها رأي مورّد بشأن كيفية تعامل عملائه مع أداة لا يتحكم بها — قاطع على نحو غير معتاد، وغير قابل للإنفاذ.

ما يغيّره المنشور هو شكل السؤال الذي يتعيّن على فريق الأمن أن يجيب عنه. قبل 19 فبراير 2026، كان يمكن الدفاع عن قرار تشغيل OpenClaw على حاسوب محمول للعمل باعتباره مسألة تتعلق بالإعداد واعتماد التجربة الأولية. أما بعده، فيتعيّن بناء الحجة في مواجهة وثيقة تقول إن تصميم بيئة التشغيل نفسه، لا إعداداتها، هو ما يعرّض الجهاز للخطر — ولا تقدّم أي إصدار يمكن الترقية إليه، ولا أي رقعة يمكن تطبيقها، ولا أي إصلاح على خارطة الطريق. وعلاجها هو نمط نشر: عزل بيئة التشغيل، وتقييد ما يمكنها الوصول إليه، ومراقبتها باستمرار، والاستعداد لإعادة بنائها دون تأخير.