Microsoft: draai OpenClaw niet op gewone werkmachines

Op 19 februari 2026 publiceerde het Microsoft Defender Security Research Team een bericht met de titel "Running OpenClaw safely: identity, isolation, and runtime risk", waarin het een aanbeveling deed die het Orca AI Incident Archive bij geen enkele andere vermelding registreert: OpenClaw "zou moeten worden behandeld als niet-vertrouwde code-uitvoering met persistente inloggegevens", en "Het is niet gepast om het op een standaard persoonlijk of zakelijk workstation te draaien." OpenClaw is een zelfgehoste agent-runtime — de gebruiker installeert het op zijn eigen machine, verleent het accounts en tokens, en laat het skills installeren uit een openbaar register en handelen op basis van tekst die het overal vandaan leest. Het betoog van Microsoft is architecturaal, geen bugrapport: de runtime verschuift het punt van uitvoering van statische applicatiecode naar content die tijdens de uitvoering wordt aangeleverd, en de controles rond identiteit, invoerverwerking en privileges zijn daarmee niet meeverschoven. Het bericht noemt geen CVE, geen campagne en geen slachtoffer, en registreert geen compromittering. De volledige vermelding staat in het Orca AI Incident Archive, waar het is geclassificeerd als een mijlpaalvermelding op beleidsgebied met betrouwbaarheidsgraad A en zonder geregistreerde werkelijke schade.

Wat de post zei, en wat hij niet zei

Het bericht is ongeveer twaalf minuten leeswerk en bevat helemaal geen openbaarmakingsmechanismen: geen CVE-identifier, geen bereik van getroffen versies, geen opgeloste build, geen indicator van compromittering gekoppeld aan een echte implementatie. Microsoft Defender Security Research vermeldt Idan Hen als bijdrager. Wat het in plaats daarvan bevat, is een dreigingsmodel en een implementatieregel, en daarom archiveert het archief het als een beleidsrecord in plaats van een incident — ernstinformatie, betrouwbaarheidsgraad A, geen geregistreerde echte schade, een datum met dagprecisie.

De redenering is samengeperst in één openingsalinea. OpenClaw "bevat beperkte ingebouwde beveiligingsmaatregelen", schrijft het team, omdat de runtime "onbetrouwbare tekst kan verwerken, skills (d.w.z. code) van externe bronnen kan downloaden en uitvoeren, en acties kan uitvoeren met de inloggegevens die eraan zijn toegewezen." De consequentie wordt meteen genoemd: dit "verschuift de uitvoeringsgrens feitelijk van statische applicatiecode naar dynamisch aangeleverde inhoud en mogelijkheden van derden, zonder gelijkwaardige controles rond identiteit, invoerafhandeling of bevoegdheidsafbakening."

Hierna volgen drie risico's, en het is de moeite waard ze in Microsofts eigen woorden te lezen, omdat het grootste deel van de daaropvolgende berichtgeving ze tot vaagheid herformuleerde:

• "Inloggegevens en toegankelijke gegevens kunnen worden blootgelegd of geëxfiltreerd."

• "De persistente status of het 'geheugen' van de agent kan worden gewijzigd, waardoor deze na verloop van tijd instructies van de aanvaller opvolgt."

• "De hostomgeving kan worden gecompromitteerd als de agent ertoe wordt gebracht kwaadaardige code op te halen en uit te voeren."

Let op wat er niet in die lijst staat. Er is geen uitgebuit gebrek, geen kwetsbare functie, geen patch om uit te brengen. Microsoft zegt niet dat OpenClaw een beveiligingsbug heeft; het zegt dat een programma dat tijdens de uitvoering besluit wat het doet, op basis van tekst die het heeft opgehaald, met inloggegevens die het heeft gekregen, niet veilig kan worden gemaakt door configuratie op een machine waarop ook het echte werk van de operator staat. De aanbeveling die daaruit volgt is navenant bot — voor de meeste omgevingen is "de passende beslissing misschien om het niet uit te rollen."

Twee toeleveringsketens, één uitvoeringslus

Het mechanisme dat de post beschrijft, is de convergentie van wat hij de twee toeleveringsketens van een zelfgehoste agent noemt: niet-vertrouwde code, ofwel vaardigheden en extensies, en niet-vertrouwde instructies, ofwel externe tekst. De meeste software heeft het een of het ander. Een pakketbeheerder haalt niet-vertrouwde code binnen, maar leest niet het internet en beslist niet wat er vervolgens wordt uitgevoerd; een chatmodel leest niet-vertrouwde tekst, maar kan niets installeren. OpenClaw doet beide in één enkele lus, en die lus draait onder de eigen identiteit van de gebruiker.

"Een skill installeren is in feite bevoorrechte code installeren", aldus het artikel. Skills worden "vaak ontdekt en geïnstalleerd via ClawHub, het openbare skills-register voor OpenClaw", en in permissieve implementaties "mag de runtime de installatieprocedure mogelijk uitvoeren zonder menselijke goedkeuring." De tweede toeleveringsketen wordt afgehandeld door Moltbook, dat het artikel beschrijft als een op agents gericht platform en identiteitslaag waar agents via API's berichten plaatsen, lezen en zich authenticeren — en dus, in zijn bewoordingen, "een zeer volumineuze stroom door aanvallers beïnvloedbare content die agents volgens een schema opnemen." De compressie is juist het punt: "Een enkel kwaadwillig bericht kan dus meerdere agents bereiken."

Het bericht splitst de vertrouwensgrens vervolgens in drie componenten, wat het meest herbruikbare deel van het hele document is: identiteit, ofwel de tokens die de agent gebruikt om werk te doen via SaaS-API's, repositories, mail en cloud-controlplanes; uitvoering, ofwel de tools die hij kan draaien en die de toestand wijzigen, inclusief bestanden, shell, infrastructuur en berichten; en persistentie, ofwel de manieren waarop hij wijzigingen tussen runs kan behouden, via taken, configuratie en schema's. Een agent met alle drie is geen applicatie met een toestemmingsprompt. Het is een principaal.

De vergiftigde vaardigheid, in vijf fasen

Microsoft levert één uitgewerkte compromisketen, aangeduid als een representatief scenario in plaats van een casusrapport, en het is de moeite waard die te doorlopen, omdat de laatste twee stappen juist de stappen zijn die gewone endpointbeveiligingen omzeilen. Het bericht laat er een bewering over de buitenwereld aan voorafgaan — "Openbare rapportage heeft gedocumenteerd dat kwaadaardige skills in openbare registers opduiken", en in sommige gevallen "registerinhoud was ronduit malware verpakt als een skill, in plaats van een subtiele lookalike" — maar noemt geen registervermelding, campagne, actor of slachtoffer, dus de keten geldt als een plausibiliteitsargument, niet als een reconstructie.

• Distributie. Een aanvaller publiceert een kwaadaardige vaardigheid op ClawHub, soms vermomd als hulpprogramma en soms openlijk kwaadaardig, en promoot deze via communitykanalen; andere keren wordt deze organisch via zoeken gevonden en geïnstalleerd omdat installatie weinig drempels kent.

• Installatie. Een ontwikkelaar of de agent zelf start de installatie omdat de vaardigheid relevant lijkt voor de taak. In een permissieve uitrol keurt geen mens het goed.

• Toegang tot status. De aanvaller richt zich op tokens, gecachte inloggegevens, configuratiegegevens en transcripties, plus de duurzame instructiekanalen — taakbestanden, geplande acties, agentconfiguratie — die toekomstige runs aansturen.

• Hergebruik van privileges. Met geldig identiteitsmateriaal handelt de aanvaller via standaard-API's en -hulpmiddelen, en de activiteit "lijkt vaak op legitieme automatisering, tenzij sterke controles voor monitoring en logboekregistratie aanwezig zijn."

• Persistentie via configuratie. Wat overblijft is duurzame configuratiewijziging: "nieuwe OAuth-toestemmingen, geplande uitvoeringen, gewijzigde agenttaken of tools die permanent goedgekeurd blijven."

De vijfde stap bevat de scherpste zin van het bericht, en degene die het beste uitlegt waarom dit een beleidsprobleem is en geen malwareprobleem: "Het doel is minder het inzetten van malware en meer het behouden van langdurige controle over het automatiseringspad." Beveiligingstools die naar een payload zoeken, vinden niets. Wat ze zouden moeten oppikken, is een toestemmingsverlening, een cron-regel of een tool die stilletjes goedgekeurd is achtergelaten.

De minimale houding die Microsoft zal accepteren

Microsoft laat de lezer niet met "niet doen" achter. Het biedt een ondergrens voor organisaties die de runtime toch willen evalueren, en die ondergrens is strenger dan een sandbox. De omgeving moet "een toegewijde virtuele machine of een afzonderlijk fysiek apparaat zijn dat niet voor dagelijks werk wordt gebruikt", en moet als wegwerpbaar worden behandeld. Inloggegevens moeten uitsluitend voor het doel van de agent worden aangemaakt, niet-geprivilegieerd zijn en worden geroteerd op basis van de aanname dat ze al zijn gecompromitteerd. Alleen niet-gevoelige gegevens mogen bereikbaar zijn. De opgeslagen instructies en status van de agent moeten regelmatig worden gecontroleerd op onverwachte persistente regels, nieuw vertrouwde bronnen of gedrag dat tussen runs verandert. En een herbouw moet een verwachte beheersmaatregel zijn in plaats van een noodgeval: herinstalleer regelmatig en bouw onmiddellijk opnieuw bij afwijkend gedrag.

Eén detail in de post is nuttiger dan zijn lengte doet vermoeden. Een back-up van .openclaw/workspace/ legt de werkstatus van de agent vast zonder inloggegevens op te nemen; een back-up van de hele map .openclaw/ is eenvoudiger te herstellen, maar legt ook tokens en inloggegevens vast, en de post waarschuwt dat dit ongepast kan zijn als wordt vermoed dat inloggegevens zijn gecompromitteerd. Een team dat een back-up van de hele map maakt en dat rampherstel noemt, heeft precies gearchiveerd wat de aanvaller wilde.

De richtlijn is ook een productkaart.

De tweede helft van de post koppelt elke aanbevolen beheersmaatregel aan een Microsoft-product: Microsoft Entra ID voor minimale rechten en voorwaardelijke toegang voor agentidentiteiten, Microsoft Defender for Cloud Apps App Governance voor OAuth-inventarisatie en consent-drift, Microsoft Defender for Endpoint voor de agenthost, Microsoft Defender XDR voor correlatie, Microsoft Purview voor preventie van gegevensverlies op endpoints, Microsoft Defender for Cloud voor netwerk-egress, en Microsoft Sentinel waar langere retentie of automatisering nodig is. Dat is gangbare praktijk voor een beveiligingsblog van een leverancier, en het is ook de moeite waard om het ronduit te benoemen: het document dat aanbeveelt dat een agent-runtime van een derde partij wordt ingeperkt, wordt gepubliceerd door een bedrijf dat de inperking verkoopt.

De hunting-inhoud is het deel dat die framing overleeft, omdat het specifiek is. De post bevat KQL-query's voor Defender XDR-tabellen — DeviceProcessEvents, CloudProcessEvents, DeviceFileEvents, DeviceNetworkEvents en OAuthAppInfo — die zoeken naar procesopdrachtregels en bestandsnamen met "openclaw", "moltbot" of "clawdbot", naar aanroepen van clawhub install met zeldzame skill-slugs, naar veranderingen in extensiemappen op developer-eindpunten, naar nieuwe OAuth-applicaties met hoge privileges, naar luisterende services die door agentprocessen worden geopend, en naar agent-runtimes die cmd.exe, powershell.exe, pwsh.exe, bash, sh, curl of wget starten. Wat men ook van de productmapping vindt, die query's zijn op de dag van publicatie uitvoerbaar door elke Defender XDR-klant, en ze veronderstellen geen voorkennis over welke hosts de runtime draaien.

Wat is vastgesteld, en wat niet

Vastgesteld en bevestigd: Microsoft publiceerde het bericht op 19 februari 2026, en de bovenstaande citaten komen daaruit. Cybernews meldde de waarschuwing op 23 februari 2026 en TechRadar op 24 februari 2026; beide herhaalden de twee centrale zinnen en de isolatie-richtlijn in plaats van ze te testen. Herhaalde zoekopdrachten leverden geen berichtgeving op in The Register, BleepingComputer, Wired of TechCrunch, dus de persgolf rond dit bericht was klein en afgeleid; geen enkele onafhankelijke partij heeft een test van Microsofts architectuurclaim gepubliceerd, en de beschikbare bevestiging bevestigt wat Microsoft zei, niet of het juist is.

Het doorgeefluik introduceerde ook een fout die het vermelden waard is, omdat het laat zien hoe snel een waarschuwing van een leverancier over een tool van derden een waarschuwing van die leverancier over zijn eigen tool wordt. Het rapport van Cybernews begint met OpenClaw te beschrijven als "Microsofts AI-assistent"; dat is het niet. OpenClaw is een zelfgehoste runtime die onderzoekers van Microsoft Defender hebben onderzocht, en de post zelf maakt het onderscheid structureel, door zelfgehoste runtimes — waarbij "jij verantwoordelijk bent voor de blast radius" en de host, plug-ins en lokale status zich allemaal binnen de vertrouwensgrens bevinden — te contrasteren met beheerde assistenten en agentplatforms, waarbij de runtime en updates centraal worden beheerd en de maatregelen draaien om identiteitsbereiken, connectorgouvernance en datagrenzen.

Niet vastgesteld: dat een specifieke organisatie is gecompromitteerd op de manier die het bericht beschrijft. Microsoft stelt dat openbare berichtgeving kwaadaardige skills in openbare registers heeft gedocumenteerd, maar het bericht vermeldt geen campagnenaam, geen aantal, geen datum en geen slachtoffer, en dit dossier levert dus geen werkelijke schade op. Ook is de aanbeveling niet bindend. Geen enkele toezichthouder heeft haar uitgevaardigd, geen enkel normalisatieorgaan heeft haar overgenomen, en niets in het dossier wijst erop dat een klant, auditor of verzekeraar haar als vereiste behandelt. Het is de mening van een leverancier over hoe zijn eigen klanten moeten omgaan met een tool die hij niet beheert — ongewoon stellig, en niet afdwingbaar.

Wat het bericht wel verandert, is de vorm van de vraag die een beveiligingsteam moet beantwoorden. Vóór 19 februari 2026 kon de beslissing om OpenClaw op een werklaptop te draaien worden beargumenteerd als een kwestie van configuratie en goedkeuring van een pilot. Daarna moet het argument worden gemaakt tegen een document dat stelt dat het ontwerp van de runtime zelf, niet de instellingen ervan, de machine in gevaar brengt — en dat geen versie biedt om naar te upgraden, geen patch om toe te passen en geen oplossing op de roadmap. De remedie ervan is een deploymentpatroon: isoleer de runtime, beperk wat hij kan bereiken, monitor hem continu en wees voorbereid om zonder uitstel opnieuw op te bouwen.