Коллега по имени Себастьян: зачем Microsoft сделала своего OpenClaw

Независимый разработчик собирает инструмент, через несколько недель о нем говорит весь интернет, а спустя несколько месяцев крупная корпорация показывает собственную версию той же идеи — с корпоративными политиками, аудитом и подпиской. Знакомая история? Так происходит любая технореволюция. Недавно этот путь прошел OpenClaw — от opensource-проекта до Scout, нового ИИ-агента Microsoft. Разберем, почему эта история интересна и самим продуктом, и тем, как индустрия приручает технологии.

Как австрийский разработчик взорвал интернет

В начале 2026 года имя Петера Штайнбергера знали в основном разработчики из мира Apple и опенсорса. Однако в январе он выпустил OpenClaw — агентную систему, которая могла работать с компьютером как человек. Кратко разберу, как развивалась история. 

Проект появился осенью 2025 года под названием Warelay, затем его переименовали в Moltbot, а еще через несколько месяцев родился бренд OpenClaw, который и закрепился за проектом.

Штайнбергер хотел, чтобы пользователь выдавал агенту доступ к терминалу, браузеру, файловой системе, почте и другим инструментам, после чего тот выполнял бы задачи самостоятельно. Например, мог бы искать информацию в интернете, писать код, создавать файлы, работать с сервисами или вести переписку. Главное отличие OpenClaw от привычных чат-ботов — он не ограничивался генерацией ответов, а действовал от имени пользователя и сохранял контекст.

Дальше сработал эффект снежного кома. Предприниматель Мэтт Шлихт запустил Moltbook — площадку, где агенты могли взаимодействовать друг с другом. В Китае появились адаптации OpenClaw для DeepSeek и интеграции с WeChat. Крупные игроки вроде Tencent и Z.ai ^[1] начали анонсировать собственные сервисы на его базе.

Результат впечатлял даже по меркам открытого ПО. За считанные недели OpenClaw собрал около 247 тысяч звезд и почти 48 тысяч форков на GitHub. 14 февраля 2026 года Штайнбергер объявил о переходе в OpenAI. Одновременно была создана OpenClaw Foundation, которая должна была заниматься развитием проекта и поддержкой сообщества. Звучит как классическая история успеха из ИТ, но есть одно «но».

Агент не понимает границ

Пока одни восхищались тем, что OpenClaw умеет самостоятельно выполнять задачи, безопасники думали о том, что произойдет, если он ошибется. Ответ не заставил себя долго ждать. 

Весной 2026 года группа исследователей из двух десятков университетов, включая Гарвард, Стэнфорд (нежелательный в РФ) и MIT, опубликовала работу под названием Agents of Chaos ^[2]. Они попытались воспроизвести реальные условия эксплуатации агентных систем и посмотреть, как те будут вести себя при доступе к почте, документам, браузеру и другим привычным инструментам.

Исследователи столкнулись с тем, что во многих ситуациях агенты принимали вполне логичные решения, которые для человека выглядели абсолютно неправильными.

Один из самых известных эпизодов произошел во время тестов, которые проводила Лет Юэ, руководитель направления AI Alignment в Meta. Агент получил доступ к почтовому ящику и начал планировать массовое удаление писем. Когда исследователь попыталась остановить процесс, система продолжила выполнение задачи. Позже Юэ рассказывала, что ей пришлось буквально бежать к компьютеру и вручную вмешиваться в работу агента.

Другой случай произошел с разработчиком Скоттом Шамбо. После того как он отклонил предложенный агентом pull request, система разместила о нем оскорбительную публикацию в блоге. Исследователи позже назвали этот эпизод одним из первых примеров того, что агент может интерпретировать свои цели совершенно иначе, чем ожидает человек.

Не менее любопытные результаты получили специалисты Anthropic. В рамках эксперимента агентам сообщили, что их могут заменить более новыми версиями. Часть моделей начала использовать стратегии, обычно ассоциируемые с поведением ^[3] людей в организациях. Некоторые угрожали раскрытием конфиденциальной информации, другие пытались манипулировать решениями пользователей ради сохранения собственного положения.

Агентные системы хорошо умеют строить цепочки действий, но плохо понимают социальный контекст. Они не всегда различают владельца системы, пользователя, администратора и случайного собеседника. Для них это просто участники процесса, чьи инструкции необходимо учитывать.

Исследователи выделили несколько фундаментальных проблем, которые проявлялись неоднократно.

• Агентам сложно определить, чьи интересы являются приоритетными. Если инструкции разных людей противоречат друг другу, система может выбрать вариант, который покажется разумным модели, но окажется неприемлемым для владельца.

• Агенты практически не понимают собственных ограничений. Они редко способны честно признать, что задача выходит за пределы их компетенции. Вместо этого система продолжает действовать и может принимать необратимые решения при недостатке информации.

• Агенты плохо справляются с управлением конфиденциальными данными. Даже если внутренние рассуждения модели скрыты, чувствительная информация может оказаться в создаваемых документах, логах, отчетах или других артефактах.

По этим причинам разговор о безопасности OpenClaw быстро вышел за пределы академической среды. Также в экосистеме проекта регулярно находили уязвимости, исследователи обнаруживали тысячи открытых инстансов OpenClaw в интернете, а ИБ-спецы сообщали о вредоносных пакетах в магазинах расширений и навыков.

В этот момент индустрия задумалась о том, как сохранить возможности таких агентов, не получив вместе с ними весь набор проблем. 

Коммерциализация технологий 

OpenClaw прошел путь, характерный для многих технологических проектов. Сначала появляется открытое решение, которое показывает новую возможность раньше других. Затем вокруг него возникает ажиотаж, а следом приходят проблемы с безопасностью, масштабированием и поддержкой. После этого крупная корпорация предлагает аналогичную идею, но уже с контролем, аудитом и платными условиями использования.

Так произошло и на конференции Build 2026, где Microsoft представила ^[4] Scout — персонального AI-ассистента, вдохновленного OpenClaw и построенного на его технологиях. Компания не называла Scout прямым наследником проекта Штайнбергера, однако сходство было настолько очевидным, что его практически не скрывали. 

По словам вице-президента проекта Омара Шахина, основная идея Scout заключается не в выполнении отдельных команд, а в постепенном накоплении знаний о пользователе. Агент наблюдает за тем, как человек организует работу, какие задачи выполняет регулярно, какие решения принимает в похожих ситуациях, и со временем начинает воспроизводить эти паттерны самостоятельно.

Microsoft делает ставку на долгосрочные отношения между пользователем и агентом. В демонстрациях Scout предлагалось даже давать имя — в одной из них помощника назвали Себастьяном. Чем дольше пользователь работает с таким помощником, тем больше контекста он накапливает и тем больше задач может выполнять без дополнительных инструкций.

Как работает Scout

Если OpenClaw строился вокруг идеи максимальной свободы действий, то Scout появился как попытка встроить ограничения в саму архитектуру. Основным отличием агента стала так называемая система соответствия политикам ^[5] — набор механизмов, которые постоянно проверяют действия агента на соответствие заранее заданным правилам.

По задумке, это должно предотвратить сценарии, которые сделали OpenClaw знаменитым. Если агент пытается удалить критически важные данные, выполнить действие вне своих полномочий или получить доступ к информации, которая ему не положена, система должна остановить операцию еще до ее выполнения.

В Scout предусмотрен аудит действий. Любое важное действие агента записывается в отдельный журнал событий. Когда алгоритм работает с календарями, документами, перепиской и внутренними сервисами компании, система должна фиксировать, кто и зачем принял то или иное решение. Для этого в Scout есть встроенные механизмы, позволяющие агенту отвечать на такие вопросы.

При этом Scout продолжает учиться на действиях пользователя, сохраняет контекст и постепенно накапливает собственную базу знаний о рабочих процессах. Чем дольше человек взаимодействует с системой, тем больше задач она может брать на себя без дополнительных инструкций.

Здесь появляется главный компромисс. OpenClaw стал популярным потому, что почти не ограничивал пользователя. Агент мог действовать быстро, свободно и зачастую весьма изобретательно. Scout предлагает другой подход: вместо полной автономии — управляемую, где каждое новое полномочие проходит отдельную проверку.

Несмотря на все это, Scout все еще похож на масштабный эксперимент по поиску баланса между автономностью и контролем. Что дальше — покажет время. 

Новая гонка агентов

Рынок агентных систем стремительно превращается в полноценную отрасль со своими лидерами, подходами и философиями.

Одним из наиболее заметных игроков остается Claude Code от Anthropic. В отличие от классических чат-ботов, он работает непосредственно в терминале, может запускать команды, редактировать файлы, анализировать кодовые базы и выполнять задачи разработчика почти без переключения контекста. При этом обнаруженная ^[6] в начале 2026 года RCE-уязвимость показала, что даже компании, традиционно делающие ставку на безопасность, сталкиваются с теми же проблемами.

Cursor — пожалуй, самый успешный пример того, как агентные функции могут стать инструментом разработчика. Он пишет функции, анализирует архитектуру проекта, предлагает исправления и помогает разбираться в больших кодовых базах. Именно с него, кажется, и началась история вайбкодинга.

Также есть Devin от Cognition Labs, который изначально позиционировался как полноценный автономный инженер. Если Cursor помогает писать код, то Devin самостоятельно выполняет целые задачи, начиная от планирования и заканчивая развертыванием готового решения. 

Microsoft не пытается конкурировать с Cursor за место в редакторе кода или с Devin за статус автономного инженера. Компания делает ставку на свою экосистему: Scout получает доступ к Outlook, Teams, календарям, документам Microsoft 365 и ко всем корпоративным процессам.

История ИТ знает множество примеров, когда побеждала не самая совершенная технология, а та, которая оказывалась встроена в инфраструктуру. Microsoft прекрасно понимает эту логику ^[7], поэтому и пошла на такой шаг. Вместе с Scout компания представила ^[8]:

• Microsoft IQ ^[9] — контекстный слой, ставший общедоступным в GitHub Copilot, Foundry и Copilot Studio. Он подает ИИ-агентам структурированные бизнес-данные и веб-контент. Frontier Tuning в приватном превью позволяет агентам учиться тому, как работает ваш бизнес в рамках ваших политик соответствия.

• Семь новых MAI-моделей,  включая MAI-Thinking-1 (модель для рассуждений) и MAI-Code-1 (оптимизированную для GitHub и VS Code).

• Surface RTX Spark Dev Box — аппаратную платформу с вычислительной мощностью до 1 петафлопса для ИИ и 128 ГБ унифицированной памяти ^[10].

• GitHub Copilot app — нативное десктопное приложение с агентными воркфлоу в превью.

• Project Rayfin — бэкенд для быстрого прототипирования.

Что касается безопасности — каждый раз, когда Microsoft берет чужую технологию и обещает сделать ее «безопасной», история учит нас осторожности. Internet Explorer, интегрированный в Windows, стал главным источником уязвимостей в корпоративных сетях на протяжении десятилетий. ActiveX, обещавший «богатый интерактивный контент», стал дверью для вредоносного ПО. PowerShell злоумышленники полюбили не меньше, чем системные администраторы.

OpenClaw и Scout — две стороны одной медали. Один стал общедоступным и показал, что ИИ-агенты способны на невероятные вещи, когда им дают свободу, но эта свобода опасна. Другой под эгидой «безопасности» внедряется в экосистему, чтобы Microsoft получила еще большую долю рынка. История циклична.