Copilot Chat a résumé des e-mails confidentiels pendant des semaines à cause d’un bug de code

Microsoft 365 Copilot Chat a lu et résumé des e-mails que sa propre configuration était censée lui tenir à l'écart. L'alerte de service de Microsoft, suivie dans le Centre de messages administrateur sous la référence CW1226324, situe la première détection au 21 janvier 2026, et le correctif était encore en cours de déploiement quatre semaines plus tard. Elle concernait le chat de l'« onglet Travail » dans Microsoft 365 Copilot Chat, qui extrayait des messages des dossiers Éléments envoyés et Brouillons des utilisateurs et les résumait même lorsque ces messages portaient une étiquette de sensibilité Confidentiel et qu'une politique de prévention des pertes de données avait été configurée pour empêcher exactement cela. BleepingComputer a signalé l'alerte le 18 février 2026, date que l'archive attribue à l'entrée ; Microsoft n'a pas précisé combien d'organisations étaient concernées. Le dossier complet, avec sa gravité et sa notation de confiance, se trouve dans l'Orca AI Incident Archive, aux côtés des autres entrées de cette série.

Copilot Chat est l'assistant contextuel de Microsoft qui permet aux utilisateurs d'interroger des agents IA depuis Word, Excel, PowerPoint, Outlook et OneNote. Selon BleepingComputer, Microsoft a commencé à le déployer auprès des clients professionnels payants de Microsoft 365 en septembre 2025. La population concernée est donc constituée des tenants d'entreprise qui avaient acheté le produit puis appliqué les contrôles de gouvernance vendus avec celui-ci.

Ce que disait réellement l'alerte de service

Le document principal ici n'est pas un avis publié ni une fiche CVE. Il s'agit d'un message dans le centre d'administration Microsoft 365, visible par les administrateurs de locataires, que BleepingComputer dit avoir vu et cité. La formulation de Microsoft, telle que le média l'a reproduite, est précise quant au mécanisme :

Les messages électroniques des utilisateurs auxquels une étiquette confidentielle est appliquée sont traités de manière incorrecte par le chat Microsoft 365 Copilot.

Le Chat de l’onglet « Travail » de Microsoft 365 Copilot résume des messages électroniques alors même que ces messages électroniques ont une étiquette de confidentialité appliquée et qu’une stratégie DLP est configurée.

Un problème de code permet à Copilot de récupérer des éléments dans les dossiers Éléments envoyés et Brouillons, même si des étiquettes de confidentialité sont en place.

BleepingComputer a noté que Microsoft a classé l'élément comme un avis plutôt qu'un incident — un indicateur que le média décrit comme couramment utilisé pour des problèmes de service à portée ou à impact limité. Aucun identifiant CVE n'apparaît dans l'alerte de Microsoft ni dans aucune des couvertures examinées pour cet article. Il s'agit d'un défaut côté serveur dans un service hébergé, et non d'une faille produit accompagnée d'un bulletin de correctif, c'est pourquoi l'enregistrement figure dans une console d'état des services plutôt que dans le centre de réponse de sécurité de Microsoft.

Le calendrier publié par Microsoft, et la partie qu’il a laissée ouverte

Les dates de l’alerte sont l’élément le plus solide du dossier, et elles sont celles de Microsoft.

Quatre semaines séparent la première détection du premier rapport public. Le propre compte rendu de Microsoft ne précise pas combien de temps le défaut était actif avant le 21 janvier, et il ne donne pas de date à laquelle chaque locataire a reçu le correctif. La mise à jour du 20 février indique que le déploiement était toujours en cours pour ce qu’elle appelle « une petite partie de nos environnements de service plus complexes » — ce qui signifie que certains clients étaient encore exposés à ce moment-là, sans préciser lesquels ni combien.

Quatre contrôles, et celui qui a cédé

La raison pour laquelle il s’agit d’une défaillance de gouvernance plutôt que d’un simple raté, c’est que tous les contrôles étaient en place et que seul le dernier a cédé. Les étiquettes de sensibilité, les politiques DLP et les contrôles d’accès au locataire sont trois mécanismes distincts, et le propre chemin de récupération de Copilot en est un quatrième. L’alerte indique que les deux premiers étaient configurés. Microsoft affirme que le troisième a tenu. Le quatrième, non.

Cette distinction compte pour quiconque lit l’incident comme une violation de données. Une étiquette de sensibilité est une déclaration d’intention attachée à un message ; elle n’arrête rien en soi. Quelque chose doit la lire et refuser. Dans le fonctionnement normal d’un locataire Microsoft 365, ce quelque chose est le moteur DLP pour le partage et la couche de récupération de Copilot pour le traitement par IA. Selon l’alerte, l’étiquette et la règle DLP étaient toutes deux présentes, et les messages ont quand même été résumés, parce que le chemin de code censé les consulter ne l’a pas fait.

Ce que Microsoft dit avoir été exposé, et ce qu’elle ne dit pas

Le commentaire substantiel de Microsoft est venu le 19 février, un jour après l'article, dans une déclaration à BleepingComputer que l'entreprise a répétée à la BBC et à IT Pro :

Nous avons identifié et corrigé un problème dans lequel Microsoft 365 Copilot Chat pouvait renvoyer le contenu d’e-mails marqués comme confidentiels, rédigés par un utilisateur et stockés dans ses dossiers Brouillons et Éléments envoyés dans Outlook pour ordinateur de bureau. Cela ne donnait à personne accès à des informations qu’il n’était pas déjà autorisé à voir.

Bien que nos contrôles d’accès et nos politiques de protection des données soient restés intacts, ce comportement ne correspondait pas à l’expérience Copilot que nous avions prévue, laquelle est conçue pour exclure le contenu protégé de l’accès à Copilot. Une mise à jour de configuration a été déployée à l’échelle mondiale pour les clients entreprise.

Deux expressions dans cette déclaration jouent un grand rôle de restriction, et toutes deux émanent de Microsoft, et non d'une conclusion indépendante. La première est « rédigés par un utilisateur » : les messages concernés sont ceux que l'utilisateur a lui-même écrits et conservés dans ses propres Éléments envoyés ou Brouillons, et non des courriels provenant des boîtes aux lettres d'autres personnes. La seconde est « Outlook desktop », qui circonscrit le défaut à un seul client plutôt qu'à Copilot Chat dans son ensemble. Lues ensemble, ces deux expressions indiquent que Microsoft décrit un défaut dans lequel des personnes se sont vu présenter des résumés de leur propre correspondance protégée — et non un défaut dans lequel un utilisateur aurait lu celle d'un autre.

Cela est compatible avec le fait que l’archive consigne un préjudice réel et une gravité élevée, car le préjudice consigné dans le dossier n’est pas une divulgation à un tiers. Il réside dans le fait que du contenu qu’une organisation avait explicitement classifié et isolé a malgré tout été ingéré et traité par un système d’IA, depuis la première détection le 21 janvier jusqu’à ce que le correctif atteigne ce locataire. La propre phrase de Microsoft admet la garantie qui a été rompue : le produit « est conçu pour exclure le contenu protégé de l’accès de Copilot », et il ne l’a pas fait.

Ce que Microsoft n’a pas dit, dans aucune déclaration examinée pour cet article : combien de locataires ont été touchés, si le contenu traité a été conservé ailleurs au-delà du résumé, s’il était visible dans les journaux d’audit sous une forme que les clients pouvaient reconstituer, et si une partie de celui-ci a atteint un pipeline d’entraînement de modèle. L’entreprise a déclaré à BleepingComputer que l’ampleur de l’impact « pourrait changer à mesure que l’enquête se poursuit » et n’a publié aucun chiffre depuis.

Qui a été touché, et jusqu’où vont les preuves

Aucune liste de clients n’a été publiée. La seule organisation nommée dans les articles est le National Health Service en Angleterre : la BBC a rapporté le 19 février que l’avis de Microsoft avait été partagé sur un tableau de bord d’assistance informatique du NHS, et qu’une section de l’avis sur ce site implique que le NHS a été affecté. Le même reportage de la BBC indique également qu’on lui avait dit que le contenu de tout e-mail rédigé ou envoyé traité par Copilot Chat resterait chez ses créateurs, et que des informations sur les patients n’avaient pas été exposées. VentureBeat, dans une analyse ultérieure, rapporte que le NHS a consigné le problème en interne sous la référence INC46740412.

La page d'assistance du NHS citée par ces médias redirige désormais vers la page d'accueil de supporthub.nhs.net, si bien que l'avis lui-même n'a pas pu être lu pour cet article ; la description qu'en fait la BBC constitue la preuve disponible, et elle est de seconde main. L'archive classe la région comme mondiale, ce qui est cohérent avec une mise à jour de configuration que Microsoft dit avoir déployée dans le monde entier, mais aucune juridiction n'a publié de liste des locataires concernés.

La corroboration indépendante des faits essentiels est par ailleurs solide. La journaliste technologique de la BBC, Liv McMahon, a confirmé le mécanisme et la déclaration de Microsoft le 19 février ; Nicole Kobie, d’IT Pro, a confirmé la date de détection du 21 janvier et l’identifiant de suivi le jour même ; TechCrunch a rapporté le 18 février que Microsoft refusait de dire combien de clients étaient concernés. Aucun de ces médias ne conteste la chronologie. Aucun d’eux n’a vérifié de manière indépendante ce que Copilot a fait du contenu.

Ce qui a changé, et ce qui n’a pas changé

La correction apportée par Microsoft consistait en un correctif de code ciblé accompagné d’un changement de configuration. La mise à jour de l’alerte du 20 février, citée par BleepingComputer, indique :

Notre correctif ciblé visant à prévenir de nouveaux impacts progresse et a été déployé sur la majorité des environnements concernés. Notre déploiement se poursuit uniquement pour une petite partie de nos environnements de service les plus complexes.

Par conséquent, nous pensons que la cause profonde de ce problème a été traitée pour la plupart des clients, et qu'aucun nouveau message électronique ne sera affecté à l'avenir pour les clients ayant reçu le correctif.

Avant cela, le 18 février, Microsoft a déclaré qu’elle surveillait le déploiement et contactait un sous-ensemble d’utilisateurs concernés pour vérifier que le correctif fonctionnait. Aucun calendrier final de remédiation n’a été donné à ce moment-là, et aucun n’a été publié depuis.

Ce qui n'a pas changé, c'est l'architecture de contrôle qui a permis la défaillance. L'étiquette et la règle DLP décrivent toujours l'intention ; le chemin de récupération de Copilot l'applique toujours. L'affirmation de Microsoft selon laquelle ses « contrôles d'accès et politiques de protection des données sont restés intacts » est exacte dans la mesure où elle va — les politiques n'ont été ni modifiées ni supprimées — mais elle signifie aussi que les politiques n'ont jamais été ce qui effectuait le blocage.

Ce que le dossier établit, et ce qu’il ne fait qu’affirmer

Trois niveaux de revendication se situent au sein de cet incident, et ils méritent d’être distingués.

Établi : un défaut de code dans l’onglet de travail de Copilot Chat a fait que des messages étiquetés et protégés par DLP dans Éléments envoyés et Brouillons ont été résumés ; Microsoft l’a détecté le 21 janvier 2026, l’a suivi sous la référence CW1226324, a commencé à le corriger début février et a déclaré le 20 février que la cause racine avait été traitée pour la plupart des clients. Ces faits proviennent de l’alerte de service de Microsoft elle-même et sont corroborés par la BBC, IT Pro et TechCrunch.

Affirmé par Microsoft, sans vérification indépendante : que personne n'a eu accès à des informations qu'il n'était pas déjà autorisé à voir ; que les messages concernés ont été rédigés par l'utilisateur affecté et limités à Outlook pour ordinateur ; et que les contrôles d'accès et les politiques de protection des données sont restés intacts tout au long de l'incident.

Non établi par quiconque : le nombre d’organisations touchées ; le volume de messages traités ; ce qu’il est advenu du contenu après la synthèse ; et si un régulateur a ouvert une enquête. Aucune des couvertures examinées pour cet article n’en nomme un.

Nader Henein, analyste en protection des données et gouvernance de l’IA chez Gartner, a déclaré à la BBC que « ce genre de bourde est inévitable » étant donné la fréquence à laquelle de nouvelles capacités d’IA sont déployées, et que les organisations désactiveraient normalement une fonctionnalité et attendraient que la gouvernance rattrape son retard — mais que la pression créée par l’engouement pour l’IA rend cela presque impossible. Le professeur Alan Woodward, de l’Université de Surrey, a déclaré au même média que l’incident montre pourquoi ces outils devraient être privés par défaut et uniquement activés sur opt-in. Toutes deux sont des descriptions du schéma plutôt que des conclusions sur ce défaut précis, et doivent être lues comme telles.

La leçon étroite que le dossier étaye est moins spectaculaire que les gros titres et plus utile : le contrôle qui a échoué était celui que le client avait explicitement configuré, et il a échoué dans une couche que le client ne pouvait pas inspecter. Le correctif de Microsoft a fermé le chemin de code. Il n’a pas donné aux locataires un moyen de vérifier, indépendamment, que ce chemin reste fermé.