Microsoft: đừng chạy OpenClaw trên máy làm việc thông thường

Ngày 19 tháng 2 năm 2026, Nhóm Nghiên cứu Bảo mật Microsoft Defender đã đăng một bài viết có tiêu đề "Chạy OpenClaw an toàn: danh tính, cô lập và rủi ro runtime", và trong đó đưa ra một khuyến nghị mà Orca AI Incident Archive không ghi nhận cho bất kỳ mục nào khác: OpenClaw "nên được coi là thực thi mã không đáng tin cậy với thông tin xác thực tồn tại lâu dài", và "Không phù hợp để chạy trên máy trạm cá nhân hoặc doanh nghiệp tiêu chuẩn." OpenClaw là một runtime tác nhân tự lưu trữ — người dùng cài đặt nó trên máy của chính họ, cấp cho nó tài khoản và token, rồi để nó cài đặt các skill từ một registry công khai và hành động dựa trên văn bản mà nó đọc được từ bất kỳ đâu. Lập luận của Microsoft mang tính kiến trúc, không phải báo cáo lỗi: runtime dịch chuyển điểm thực thi từ mã ứng dụng tĩnh sang nội dung được cung cấp tại thời điểm chạy, và các biện pháp kiểm soát xung quanh danh tính, xử lý đầu vào và đặc quyền chưa dịch chuyển theo. Bài viết không nêu CVE, chiến dịch hay nạn nhân nào, và không ghi nhận sự xâm phạm nào. Toàn bộ hồ sơ nằm trong Orca AI Incident Archive, nơi nó được phân loại là một mục chính sách mang tính bước ngoặt với mức độ tin cậy A và không có tổn hại thực tế nào được ghi nhận.

Bài đăng đã nói gì, và không nói gì

Bài đăng mất khoảng mười hai phút để đọc và hoàn toàn không có bộ máy công bố nào: không có mã định danh CVE, không có phạm vi phiên bản bị ảnh hưởng, không có bản dựng đã sửa, không có chỉ dấu xâm nhập gắn với một triển khai thực tế. Microsoft Defender Security Research ghi Idan Hen là người đóng góp. Thay vào đó, bài viết mang một mô hình mối đe dọa và một quy tắc triển khai, đó là lý do kho lưu trữ xếp nó như một hồ sơ chính sách chứ không phải một sự cố — thông tin mức độ nghiêm trọng, mức tin cậy A, không ghi nhận thiệt hại thực tế nào, một mốc ngày chỉ chính xác đến ngày.

Phần lập luận được nén vào một đoạn mở đầu. Nhóm viết rằng OpenClaw “bao gồm các kiểm soát bảo mật tích hợp hạn chế”, bởi vì runtime “có thể tiếp nhận văn bản không đáng tin cậy, tải xuống và thực thi các kỹ năng (tức mã) từ các nguồn bên ngoài, và thực hiện các hành động bằng thông tin xác thực được gán cho nó.” Hệ quả được nêu ngay sau đó: điều này “thực chất dịch chuyển ranh giới thực thi từ mã ứng dụng tĩnh sang nội dung được cung cấp động và các năng lực của bên thứ ba, mà không có các kiểm soát tương đương đối với danh tính, xử lý đầu vào hoặc phạm vi đặc quyền.”

Ba rủi ro sau đây, và đáng đọc bằng chính lời của Microsoft vì phần lớn các bài đưa tin sau đó đã diễn giải chúng thành mơ hồ:

• "Thông tin xác thực và dữ liệu có thể truy cập được có thể bị lộ hoặc bị đánh cắp ra ngoài."

• "Trạng thái lưu trữ liên tục hay 'bộ nhớ' của tác nhân có thể bị sửa đổi, khiến nó tuân theo các chỉ dẫn do kẻ tấn công cung cấp theo thời gian."

• "Môi trường máy chủ có thể bị xâm phạm nếu tác nhân bị dụ dỗ truy xuất và thực thi mã độc hại."

Hãy lưu ý những gì vắng mặt trong danh sách đó. Không có lỗ hổng bị khai thác, không có hàm dễ bị tổn thương, không có bản vá nào cần phát hành. Microsoft không nói rằng OpenClaw có lỗi bảo mật; họ nói rằng một chương trình tự quyết định làm gì tại thời điểm chạy, dựa trên văn bản mà nó đã tải về, sử dụng thông tin xác thực được cấp cho nó, thì không thể được làm an toàn bằng cấu hình trên một cỗ máy cũng chứa công việc thực tế của người vận hành. Khuyến nghị tiếp theo cũng tương ứng thẳng thừng — với hầu hết môi trường, "quyết định phù hợp có thể là không triển khai nó."

Hai chuỗi cung ứng, một vòng thực thi

Cơ chế mà bài viết mô tả là sự hội tụ của thứ mà bài gọi là hai chuỗi cung ứng của một agent tự vận hành: mã không đáng tin cậy, tức các kỹ năng và tiện ích mở rộng, và hướng dẫn không đáng tin cậy, tức văn bản bên ngoài. Hầu hết phần mềm chỉ có một trong hai. Trình quản lý gói kéo mã không đáng tin cậy nhưng không đọc internet rồi quyết định chạy gì tiếp theo; mô hình trò chuyện đọc văn bản không đáng tin cậy nhưng không thể cài đặt bất cứ thứ gì. OpenClaw làm cả hai trong một vòng lặp duy nhất, và vòng lặp đó chạy dưới danh tính của chính người dùng.

“Cài đặt một skill về cơ bản là cài đặt mã có đặc quyền,” bài đăng viết. Skill “thường được phát hiện và cài đặt thông qua ClawHub, sổ đăng ký skill công khai của OpenClaw”, và trong các triển khai dễ dãi “môi trường chạy có thể được phép thực thi quy trình cài đặt mà không cần con người phê duyệt.” Chuỗi cung ứng thứ hai do Moltbook xử lý, được bài đăng mô tả là một nền tảng và lớp định danh tập trung vào agent, nơi các agent đăng bài, đọc và xác thực thông qua API — và do đó, theo cách diễn đạt của bài đăng, là “một dòng nội dung khối lượng lớn mà kẻ tấn công có thể tác động, được các agent tiếp nhận theo lịch.” Sự cô đọng chính là điểm mấu chốt: “Vì vậy, một bài đăng độc hại duy nhất có thể tiếp cận nhiều agent.”

Bài viết sau đó chia ranh giới tin cậy thành ba thành phần, đây là phần dễ tái sử dụng nhất trong toàn bộ tài liệu: danh tính, tức các token mà tác nhân sử dụng để thực hiện công việc trên SaaS APIs, kho lưu trữ, thư và các mặt phẳng điều khiển đám mây; thực thi, tức các công cụ mà nó có thể chạy để thay đổi trạng thái, gồm tệp, shell, hạ tầng và tin nhắn; và khả năng duy trì, tức các cách nó có thể giữ lại thay đổi qua các lần chạy, thông qua tác vụ, cấu hình và lịch trình. Một tác nhân có cả ba không phải là một ứng dụng có lời nhắc cấp quyền. Nó là một chủ thể.

Kỹ năng bị đầu độc, qua năm giai đoạn

Microsoft đưa ra một chuỗi xâm nhập mẫu đã được dựng chi tiết, được gắn nhãn là kịch bản đại diện chứ không phải báo cáo trường hợp, và đáng để đi qua từng bước vì hai bước cuối của nó chính là những bước đánh bại các biện pháp phòng thủ điểm cuối thông thường. Bài đăng mở đầu bằng một khẳng định về thế giới bên ngoài — "Báo cáo công khai đã ghi nhận các skill độc hại xuất hiện trong các registry công khai", và trong một số trường hợp "nội dung registry là phần mềm độc hại thuần túy được đóng gói dưới dạng skill, chứ không phải một bản sao giống nhái tinh vi" — nhưng không nêu tên mục registry, chiến dịch, tác nhân hay nạn nhân nào, nên chuỗi này đứng như một lập luận về khả năng hợp lý, chứ không phải một bản tái dựng.

• Phân phối. Kẻ tấn công công bố một skill độc hại lên ClawHub, đôi khi được ngụy trang dưới dạng một tiện ích và đôi khi công khai độc hại, rồi quảng bá nó qua các kênh cộng đồng; những lần khác, nó được tìm thấy một cách tự nhiên thông qua tìm kiếm và được cài đặt vì việc cài đặt có ít rào cản.

• Cài đặt. Một nhà phát triển hoặc chính tác nhân khởi động việc cài đặt vì kỹ năng có vẻ liên quan đến nhiệm vụ. Trong một triển khai dễ dãi, không có con người phê duyệt.

• Truy cập trạng thái. Kẻ tấn công nhắm vào token, thông tin xác thực được lưu trong bộ nhớ đệm, dữ liệu cấu hình và bản ghi hội thoại, cùng các kênh chỉ dẫn bền vững — tệp nhiệm vụ, hành động theo lịch, cấu hình tác nhân — những thứ định hướng các lần chạy trong tương lai.

• Tái sử dụng đặc quyền. Với tài liệu nhận dạng hợp lệ, kẻ tấn công hành động thông qua các API và công cụ tiêu chuẩn, và hoạt động này "thường trông giống như tự động hóa hợp pháp trừ khi có các biện pháp kiểm soát giám sát và ghi nhật ký mạnh mẽ."

• Tính bền vững thông qua cấu hình. Điều còn lại là thay đổi cấu hình lâu dài: "các chấp thuận OAuth mới, các lần thực thi theo lịch, các tác vụ agent đã sửa đổi, hoặc các công cụ được phê duyệt vĩnh viễn."

Bước thứ năm chứa câu sắc bén nhất của bài đăng, và là câu giải thích rõ nhất vì sao đây là vấn đề chính sách chứ không phải vấn đề phần mềm độc hại: “Mục tiêu ít thiên về việc triển khai phần mềm độc hại hơn là duy trì kiểm soát lâu dài đối với con đường tự động hóa.” Các công cụ bảo mật tìm kiếm tải trọng sẽ không tìm thấy gì. Thứ mà chúng sẽ phải phát hiện là một khoản cấp quyền đồng ý, một mục cron hoặc một công cụ bị âm thầm để nguyên ở trạng thái đã được phê duyệt.

Lập trường tối thiểu mà Microsoft sẽ chấp nhận

Microsoft không chỉ để người đọc với câu "đừng". Nó đưa ra mức sàn cho các tổ chức quyết định dù sao vẫn đánh giá runtime, và mức sàn này nghiêm ngặt hơn một sandbox. Môi trường phải là "một máy ảo chuyên dụng hoặc một thiết bị vật lý riêng không được dùng cho công việc hằng ngày", và nên được coi là dùng một lần. Thông tin xác thực chỉ nên được tạo riêng cho mục đích của agent, không có đặc quyền, và được luân chuyển với giả định rằng chúng đã bị xâm phạm. Chỉ dữ liệu không nhạy cảm mới nên có thể truy cập được. Hướng dẫn và trạng thái đã lưu của agent nên được rà soát thường xuyên để tìm các quy tắc thường trực bất ngờ, các nguồn mới được tin cậy hoặc hành vi thay đổi giữa các lần chạy. Và việc dựng lại nên là một biện pháp kiểm soát được dự kiến chứ không phải tình huống khẩn cấp: cài đặt lại thường xuyên, và dựng lại ngay khi có hành vi bất thường.

Một chi tiết trong bài đăng hữu ích hơn độ dài của nó gợi ý. Việc sao lưu .openclaw/workspace/ sẽ ghi lại trạng thái làm việc của tác nhân mà không bao gồm thông tin xác thực; sao lưu toàn bộ thư mục .openclaw/ thì đơn giản hơn để khôi phục nhưng cũng ghi lại token và thông tin xác thực, và bài đăng cảnh báo rằng điều đó có thể không phù hợp nếu nghi ngờ thông tin xác thực bị xâm phạm. Một nhóm sao lưu toàn bộ thư mục và gọi đó là khôi phục sau thảm họa thì đã lưu trữ đúng thứ mà kẻ tấn công muốn.

Hướng dẫn này cũng là một bản đồ sản phẩm.

Nửa sau của bài viết ánh xạ từng biện pháp kiểm soát được khuyến nghị sang một sản phẩm Microsoft: Microsoft Entra ID cho đặc quyền tối thiểu và truy cập có điều kiện trên danh tính tác nhân, Microsoft Defender for Cloud Apps App Governance cho kiểm kê OAuth và sự lệch hướng đồng thuận, Microsoft Defender for Endpoint cho máy chủ tác nhân, Microsoft Defender XDR cho tương quan, Microsoft Purview cho ngăn chặn mất dữ liệu tại điểm cuối, Microsoft Defender for Cloud cho lưu lượng ra vào mạng, và Microsoft Sentinel khi cần lưu trữ lâu hơn hoặc tự động hóa. Đó là cách làm thông thường đối với một blog bảo mật của nhà cung cấp, và cũng đáng nói thẳng: tài liệu khuyến nghị rằng môi trường thực thi tác nhân của bên thứ ba phải bị kiểm soát lại được xuất bản bởi một công ty bán chính giải pháp kiểm soát đó.

Nội dung hunting là phần trụ lại được sau cách đóng khung đó, vì nó cụ thể. Bài đăng cung cấp các truy vấn KQL nhắm vào các bảng Defender XDR — DeviceProcessEvents, CloudProcessEvents, DeviceFileEvents, DeviceNetworkEvents và OAuthAppInfo — để tìm các dòng lệnh tiến trình và tên tệp chứa "openclaw", "moltbot" hoặc "clawdbot", tìm clawhub install được gọi với các skill slug hiếm, tìm sự xáo trộn thư mục tiện ích trên endpoint của nhà phát triển, tìm các ứng dụng OAuth đặc quyền cao mới, tìm các dịch vụ lắng nghe được mở bởi tiến trình agent, và tìm các runtime agent sinh ra cmd.exe, powershell.exe, pwsh.exe, bash, sh, curl hoặc wget. Dù người ta nghĩ gì về ánh xạ sản phẩm, những truy vấn đó có thể được bất kỳ khách hàng Defender XDR nào chạy ngay trong ngày công bố, và chúng không giả định phải biết trước host nào đang chạy runtime.

Điều gì đã được xác lập, và điều gì chưa.

Đã được xác lập và chứng thực: Microsoft đã đăng bài viết vào ngày 19 tháng 2 năm 2026, và các trích dẫn trên đây là từ bài đó. Cybernews đưa tin về cảnh báo này vào ngày 23 tháng 2 năm 2026 và TechRadar vào ngày 24 tháng 2 năm 2026, cả hai đều nhắc lại hai câu trọng tâm và hướng dẫn cách ly thay vì kiểm chứng chúng. Các tìm kiếm lặp lại không cho thấy tin đưa trên The Register, BleepingComputer, Wired hay TechCrunch, nên làn sóng báo chí quanh bài viết này nhỏ và mang tính phái sinh; chưa có bên độc lập nào công bố kiểm nghiệm tuyên bố kiến trúc của Microsoft, và bằng chứng củng cố hiện có xác nhận điều Microsoft đã nói, chứ không xác nhận liệu điều đó có đúng hay không.

Bản tin cũng đưa vào một lỗi đáng lưu ý, vì nó cho thấy cảnh báo của một nhà cung cấp về công cụ bên thứ ba có thể nhanh chóng trở thành cảnh báo của chính nhà cung cấp đó về sản phẩm của mình. Báo cáo của Cybernews mở đầu bằng việc mô tả OpenClaw là "trợ lý AI của Microsoft"; thực tế không phải vậy. OpenClaw là một runtime tự lưu trữ mà các nhà nghiên cứu của Microsoft Defender đã kiểm tra, và bản thân bài viết phân biệt rõ về mặt cấu trúc, đối chiếu các runtime tự lưu trữ — nơi "bạn chịu trách nhiệm về phạm vi ảnh hưởng" và máy chủ, plugin cùng trạng thái cục bộ đều nằm trong ranh giới tin cậy — với các trợ lý được quản lý và nền tảng tác nhân, nơi runtime và các bản cập nhật được quản lý tập trung và các biện pháp kiểm soát tập trung vào phạm vi danh tính, quản trị trình kết nối và ranh giới dữ liệu.

Chưa được chứng minh: rằng bất kỳ tổ chức cụ thể nào đã bị xâm phạm theo cách mà bài đăng mô tả. Microsoft khẳng định rằng các báo cáo công khai đã ghi nhận các kỹ năng độc hại trong các sổ đăng ký công khai, nhưng bài đăng không nêu tên chiến dịch, không có số lượng, không có ngày tháng và không có nạn nhân, và do đó hồ sơ này không ghi nhận thiệt hại thực sự nào. Khuyến nghị cũng không có tính ràng buộc. Không có cơ quan quản lý nào ban hành, không có tổ chức tiêu chuẩn nào thông qua, và không có nội dung nào trong hồ sơ cho thấy khách hàng, kiểm toán viên hoặc công ty bảo hiểm coi đó là yêu cầu. Đó là ý kiến của một nhà cung cấp về cách khách hàng của chính họ nên xử lý một công cụ mà họ không kiểm soát — mang tính tuyệt đối một cách bất thường và không thể thực thi.

Điều mà bài đăng thực sự thay đổi là hình dạng của câu hỏi mà một nhóm bảo mật phải trả lời. Trước ngày 19 tháng 2 năm 2026, quyết định chạy OpenClaw trên một laptop công việc có thể được lập luận như một vấn đề cấu hình và phê duyệt thí điểm. Sau đó, lập luận phải được đưa ra dựa trên một tài liệu nói rằng chính thiết kế của runtime, chứ không phải các cài đặt của nó, là thứ khiến máy tính gặp rủi ro — và tài liệu đó không đưa ra phiên bản nào để nâng cấp, không có bản vá nào để áp dụng, và không có bản sửa lỗi nào trên lộ trình. Biện pháp khắc phục của nó là một mô hình triển khai: cô lập runtime, hạn chế những gì nó có thể truy cập, giám sát nó liên tục, và sẵn sàng xây dựng lại mà không chậm trễ.