Microsoft: jangan jalankan OpenClaw di komputer kerja biasa

Pada 19 Februari 2026, Microsoft Defender Security Research Team menerbitkan postingan berjudul "Menjalankan OpenClaw dengan aman: identitas, isolasi, dan risiko runtime", dan di dalamnya membuat rekomendasi yang tidak dicatat Orca AI Incident Archive pada entri lain mana pun: OpenClaw "harus diperlakukan sebagai eksekusi kode yang tidak tepercaya dengan kredensial persisten", dan "Tidak tepat menjalankannya di workstation pribadi atau perusahaan standar." OpenClaw adalah runtime agen yang di-hosting sendiri — pengguna memasangnya di mesin mereka sendiri, memberikannya akun dan token, serta membiarkannya memasang skill dari registri publik dan bertindak berdasarkan teks yang dibacanya dari mana saja. Argumen Microsoft bersifat arsitektural, bukan laporan bug: runtime tersebut menggeser titik eksekusi dari kode aplikasi statis ke konten yang disediakan saat runtime, dan kontrol seputar identitas, penanganan input, dan hak istimewa tidak ikut bergeser. Postingan tersebut tidak menyebut CVE, kampanye, maupun korban apa pun, dan tidak mencatat adanya kompromi. Catatan lengkapnya terdapat di Orca AI Incident Archive, tempat entri ini diklasifikasikan sebagai entri kebijakan penting dengan tingkat keyakinan A dan tanpa kerugian nyata yang tercatat.

Apa yang dikatakan unggahan itu, dan apa yang tidak dikatakannya

Pos ini membutuhkan waktu sekitar dua belas menit untuk dibaca dan sama sekali tidak memuat mekanisme pengungkapan apa pun: tidak ada pengenal CVE, tidak ada rentang versi yang terdampak, tidak ada build yang telah diperbaiki, tidak ada indikator kompromi yang terkait dengan penerapan nyata. Microsoft Defender Security Research mencantumkan Idan Hen sebagai kontributor. Yang dibawanya sebagai gantinya adalah model ancaman dan aturan penerapan, itulah sebabnya arsip tersebut mengklasifikasikannya sebagai catatan kebijakan, bukan insiden — info tingkat keparahan, tingkat keyakinan A, tidak ada kerugian nyata yang tercatat, tanggal dengan presisi satu hari.

Alasannya dipadatkan ke dalam satu paragraf pembuka. OpenClaw "mencakup kontrol keamanan bawaan yang terbatas", tulis tim, karena runtime "dapat menyerap teks yang tidak tepercaya, mengunduh dan mengeksekusi skill (yaitu kode) dari sumber eksternal, dan melakukan tindakan menggunakan kredensial yang diberikan kepadanya." Konsekuensinya dinyatakan dalam napas yang sama: ini "secara efektif menggeser batas eksekusi dari kode aplikasi statis ke konten yang disediakan secara dinamis dan kapabilitas pihak ketiga, tanpa kontrol yang setara seputar identitas, penanganan input, atau pembatasan cakupan hak istimewa."

Berikut tiga risiko, dan layak dibaca dalam kata-kata Microsoft sendiri karena sebagian besar liputan setelahnya memparafrasekannya menjadi samar-samar:

• "Kredensial dan data yang dapat diakses dapat terekspos atau dieksfiltrasi."

• "Keadaan persisten atau 'memori' agen dapat dimodifikasi, sehingga menyebabkan agen mengikuti instruksi yang disediakan penyerang seiring waktu."

• "Lingkungan host dapat dikompromikan jika agen dipicu untuk mengambil dan mengeksekusi kode berbahaya."

Perhatikan apa yang tidak ada dalam daftar itu. Tidak ada celah yang dieksploitasi, tidak ada fungsi yang rentan, tidak ada patch yang harus dikirim. Microsoft tidak mengatakan bahwa OpenClaw memiliki bug keamanan; yang dikatakannya adalah bahwa sebuah program yang memutuskan apa yang harus dilakukan saat runtime, dari teks yang diambilnya, menggunakan kredensial yang diberikan kepadanya, tidak dapat dibuat aman melalui konfigurasi pada mesin yang juga menyimpan pekerjaan nyata operator. Rekomendasi yang menyusul sama lugasnya — untuk sebagian besar lingkungan, "keputusan yang tepat mungkin adalah untuk tidak menerapkannya."

Dua rantai pasok, satu siklus eksekusi

Mekanisme yang dijelaskan dalam tulisan ini adalah konvergensi dari apa yang disebutnya dua rantai pasok agen yang di-host sendiri: kode tak tepercaya, yakni skill dan ekstensi, serta instruksi tak tepercaya, yakni teks eksternal. Sebagian besar perangkat lunak hanya memiliki salah satunya. Manajer paket menarik kode tak tepercaya tetapi tidak membaca internet dan memutuskan apa yang akan dijalankan berikutnya; model chat membaca teks tak tepercaya tetapi tidak dapat memasang apa pun. OpenClaw melakukan keduanya dalam satu loop, dan loop itu berjalan di bawah identitas pengguna itu sendiri.

"Memasang sebuah skill pada dasarnya adalah memasang kode berhak istimewa," kata postingan itu. Skill "sering ditemukan dan dipasang melalui ClawHub, registri skill publik untuk OpenClaw", dan dalam deployment yang permisif "runtime dapat diizinkan untuk menjalankan alur instalasi tanpa persetujuan manusia." Rantai pasok kedua ditangani oleh Moltbook, yang oleh postingan itu dijelaskan sebagai platform dan lapisan identitas yang berfokus pada agen tempat agen memposting, membaca, dan mengautentikasi melalui API — dan karena itu, dalam frasa postingan tersebut, "aliran konten bervolume tinggi yang dapat dipengaruhi penyerang yang diingesti agen sesuai jadwal." Intinya adalah pemadatan: "Satu postingan berbahaya karena itu dapat menjangkau beberapa agen."

Postingan itu kemudian membagi batas kepercayaan menjadi tiga komponen, yang merupakan bagian paling dapat digunakan ulang dari keseluruhan dokumen: identitas, yaitu token yang digunakan agen untuk melakukan pekerjaan di berbagai SaaS API, repositori, email, dan control plane cloud; eksekusi, yaitu alat yang dapat dijalankannya yang mengubah status, termasuk berkas, shell, infrastruktur, dan pesan; serta persistensi, yaitu cara-cara ia dapat mempertahankan perubahan lintas eksekusi, melalui tugas, konfigurasi, dan jadwal. Agen yang memiliki ketiganya bukanlah aplikasi dengan prompt izin. Ia adalah sebuah principal.

Keterampilan yang teracuni, dalam lima tahap

Microsoft menyediakan satu rantai kompromi yang telah diuraikan, dilabeli sebagai skenario representatif dan bukan laporan kasus, dan rantai itu layak ditelusuri karena dua langkah terakhirnya adalah langkah yang mengalahkan pertahanan endpoint biasa. Tulisan tersebut membukanya dengan klaim tentang dunia luar — "Pelaporan publik telah mendokumentasikan skill berbahaya yang muncul di registri publik", dan dalam beberapa kasus "konten registri merupakan malware langsung yang dikemas sebagai skill, bukan tiruan halus" — tetapi tidak menyebut entri registri, kampanye, aktor, atau korban mana pun, sehingga rantai tersebut berdiri sebagai argumen plausibilitas, bukan rekonstruksi.

• Distribusi. Seorang penyerang menerbitkan skill berbahaya ke ClawHub, kadang menyamar sebagai utilitas dan kadang terang-terangan berbahaya, lalu mempromosikannya melalui saluran komunitas; di lain waktu, skill tersebut ditemukan secara organik melalui pencarian dan dipasang karena pemasangannya rendah hambatan.

• Instalasi. Seorang developer atau agen itu sendiri memulai instalasi karena keterampilan tersebut tampak relevan dengan tugas. Dalam penerapan yang permisif, tidak ada manusia yang menyetujuinya.

• Akses status. Penyerang menargetkan token, kredensial yang di-cache, data konfigurasi, dan transkrip, plus saluran instruksi yang persisten — file tugas, tindakan terjadwal, konfigurasi agen — yang mengarahkan proses di masa mendatang.

• Penggunaan ulang hak istimewa. Dengan materi identitas yang valid, penyerang bertindak melalui API dan perkakas standar, dan aktivitas tersebut "sering kali menyerupai otomasi yang sah kecuali kontrol pemantauan dan pencatatan log yang kuat diterapkan."

• Persistensi melalui konfigurasi. Yang tersisa adalah perubahan konfigurasi yang tahan lama: "persetujuan OAuth baru, eksekusi terjadwal, tugas agen yang dimodifikasi, atau alat yang tetap disetujui secara permanen."

Langkah kelima memuat kalimat paling tajam dalam unggahan itu, dan kalimat yang paling baik menjelaskan mengapa ini merupakan masalah kebijakan, bukan masalah malware: "Tujuannya bukan sekadar menyebarkan malware, melainkan mempertahankan kendali jangka panjang atas jalur otomasi." Alat keamanan yang mencari payload tidak akan menemukan apa pun. Yang harus mereka tangkap adalah pemberian izin (consent grant), entri cron, atau alat yang diam-diam dibiarkan tetap disetujui.

Postur minimum yang akan diterima Microsoft

Microsoft tidak membiarkan pembaca hanya dengan pesan "jangan". Microsoft menyediakan batas bawah bagi organisasi yang tetap memutuskan untuk mengevaluasi runtime tersebut, dan batas bawah itu lebih ketat daripada sandbox. Lingkungannya harus berupa "mesin virtual khusus atau perangkat fisik terpisah yang tidak digunakan untuk pekerjaan sehari-hari", dan harus diperlakukan sebagai sekali pakai. Kredensial harus dibuat semata-mata untuk tujuan agen, tanpa hak istimewa, dan dirotasi dengan asumsi bahwa kredensial tersebut sudah disusupi. Hanya data yang tidak sensitif yang boleh dapat dijangkau. Instruksi dan status tersimpan agen harus ditinjau secara berkala untuk menemukan aturan persisten yang tidak terduga, sumber yang baru dipercaya, atau perilaku yang berubah antara satu eksekusi dan eksekusi lainnya. Dan pembangunan ulang harus menjadi kontrol yang diharapkan, bukan keadaan darurat: pasang ulang secara berkala, dan bangun ulang segera saat terjadi perilaku anomali.

Satu detail dalam postingan ini lebih berguna daripada yang disiratkan panjangnya. Mencadangkan .openclaw/workspace/ mencakup status kerja agen tanpa menyertakan kredensial; mencadangkan seluruh direktori .openclaw/ lebih sederhana untuk dipulihkan tetapi juga mencakup token dan kredensial, dan postingan itu memperingatkan bahwa hal tersebut mungkin tidak tepat jika kredensial diduga telah dikompromikan. Tim yang mencadangkan seluruh direktori dan menyebutnya pemulihan bencana telah mengarsipkan hal yang diinginkan penyerang.

Panduan ini juga merupakan peta produk

Paruh kedua tulisan ini memetakan setiap kontrol yang direkomendasikan ke produk Microsoft: Microsoft Entra ID untuk prinsip hak istimewa minimum dan akses bersyarat pada identitas agen, Microsoft Defender for Cloud Apps App Governance untuk inventaris OAuth dan penyimpangan persetujuan, Microsoft Defender for Endpoint untuk host agen, Microsoft Defender XDR untuk korelasi, Microsoft Purview untuk pencegahan kehilangan data endpoint, Microsoft Defender for Cloud untuk egress jaringan, dan Microsoft Sentinel jika diperlukan retensi yang lebih lama atau otomatisasi. Itu adalah praktik biasa untuk blog keamanan vendor dan juga layak disebutkan secara terus terang: dokumen yang merekomendasikan agar runtime agen pihak ketiga dibatasi diterbitkan oleh perusahaan yang menjual solusi pembatasan tersebut.

Konten perburuan adalah bagian yang bertahan dari framing tersebut, karena sifatnya spesifik. Postingan tersebut menyediakan kueri KQL terhadap tabel Defender XDR — DeviceProcessEvents, CloudProcessEvents, DeviceFileEvents, DeviceNetworkEvents, dan OAuthAppInfo — yang mencari command line proses dan nama file yang berisi "openclaw", "moltbot", atau "clawdbot", untuk clawhub install yang dipanggil dengan slug skill langka, untuk perputaran folder ekstensi pada endpoint pengembang, untuk aplikasi OAuth baru dengan hak istimewa tinggi, untuk layanan listening yang dibuka oleh proses agen, dan untuk runtime agen yang menjalankan cmd.exe, powershell.exe, pwsh.exe, bash, sh, curl, atau wget. Apa pun pendapat orang tentang pemetaan produk tersebut, kueri itu dapat dijalankan oleh pelanggan Defender XDR mana pun pada hari publikasi, dan kueri tersebut tidak mengasumsikan pengetahuan sebelumnya tentang host mana yang menjalankan runtime tersebut.

Apa yang sudah mapan, dan apa yang belum

Terkonfirmasi dan diperkuat: Microsoft menerbitkan postingan tersebut pada 19 Februari 2026, dan kutipan di atas berasal darinya. Cybernews melaporkan peringatan itu pada 23 Februari 2026 dan TechRadar pada 24 Februari 2026, keduanya mengulang dua kalimat inti dan panduan isolasi alih-alih mengujinya. Pencarian berulang tidak memunculkan liputan di The Register, BleepingComputer, Wired, atau TechCrunch, sehingga gelombang pemberitaan seputar postingan ini kecil dan bersifat turunan; belum ada pihak independen yang menerbitkan pengujian atas klaim arsitektural Microsoft, dan koroborasi yang tersedia mengonfirmasi apa yang dikatakan Microsoft, bukan apakah klaim itu benar.

Relay itu juga memunculkan kesalahan yang layak ditandai, karena ini menunjukkan betapa cepatnya peringatan vendor tentang alat pihak ketiga berubah menjadi peringatan vendor tentang alat miliknya sendiri. Laporan Cybernews dibuka dengan menggambarkan OpenClaw sebagai “asisten AI Microsoft”; padahal bukan. OpenClaw adalah runtime yang dihosting sendiri yang diperiksa oleh para peneliti Defender Microsoft, dan postingan itu sendiri membedakan secara struktural, membandingkan runtime yang dihosting sendiri — tempat “Anda bertanggung jawab atas radius dampaknya” dan host, plugin, serta status lokal semuanya berada di dalam batas kepercayaan — dengan asisten terkelola dan platform agen, tempat runtime dan pembaruan dikelola secara terpusat dan kontrolnya berpusat pada cakupan identitas, tata kelola konektor, dan batas data.

Tidak terbukti: bahwa organisasi tertentu mana pun telah disusupi sebagaimana dijelaskan dalam postingan. Microsoft menyatakan bahwa pelaporan publik telah mendokumentasikan skill berbahaya di registri publik, tetapi postingan tersebut tidak mencantumkan nama kampanye, jumlah, tanggal, maupun korban, sehingga catatan ini tidak menunjukkan kerugian nyata. Rekomendasi tersebut juga tidak mengikat. Tidak ada regulator yang menerbitkannya, tidak ada badan standar yang mengadopsinya, dan tidak ada apa pun dalam catatan yang menunjukkan bahwa pelanggan, auditor, atau perusahaan asuransi memperlakukannya sebagai persyaratan. Ini adalah pendapat vendor tentang bagaimana pelanggannya sendiri harus memperlakukan alat yang tidak dikendalikannya — luar biasa kategoris, dan tidak dapat ditegakkan.

Yang diubah oleh postingan itu adalah bentuk pertanyaan yang harus dijawab oleh tim keamanan. Sebelum 19 Februari 2026, keputusan untuk menjalankan OpenClaw di laptop kerja dapat diperdebatkan sebagai persoalan konfigurasi dan persetujuan pilot. Setelahnya, argumennya harus dibuat terhadap sebuah dokumen yang menyatakan bahwa desain runtime itu sendiri, bukan pengaturannya, yang menempatkan mesin pada risiko — dan dokumen itu tidak menawarkan versi untuk ditingkatkan, tidak ada patch untuk diterapkan, dan tidak ada perbaikan dalam peta jalan. Solusinya adalah pola penerapan: isolasi runtime, batasi apa yang dapat dijangkau, pantau secara terus-menerus, dan bersiaplah untuk membangun ulang tanpa penundaan.