Copilot Chat Merangkum Email Rahasia Selama Berminggu-minggu karena Bug Kode

Microsoft 365 Copilot Chat membaca dan merangkum email yang seharusnya dijauhkan darinya oleh konfigurasinya sendiri. Peringatan layanan Microsoft, yang dilacak di Pusat Pesan admin sebagai CW1226324, mencatat deteksi pertama pada 21 Januari 2026, dan perbaikannya masih diluncurkan secara bertahap empat minggu kemudian. Hal ini memengaruhi chat "tab kerja" di dalam Microsoft 365 Copilot Chat, yang menarik pesan dari folder Item Terkirim dan Draf pengguna serta merangkumnya bahkan ketika pesan tersebut memiliki label sensitivitas Confidential dan kebijakan pencegahan kehilangan data telah dikonfigurasi untuk menghentikan hal itu secara tepat. BleepingComputer melaporkan peringatan tersebut pada 18 Februari 2026, tanggal yang diberikan arsip untuk entri itu; Microsoft belum menyebutkan berapa banyak organisasi yang terdampak. Catatan lengkapnya, beserta tingkat keparahan dan penilaian keyakinannya, terdapat dalam Orca AI Incident Archive, bersama entri lain dalam seri ini.

Copilot Chat adalah asisten sadar konten Microsoft yang memungkinkan pengguna mengkueri agen AI dari dalam Word, Excel, PowerPoint, Outlook, dan OneNote. Microsoft mulai meluncurkannya kepada pelanggan bisnis Microsoft 365 berbayar pada September 2025, menurut BleepingComputer. Itu menjadikan kelompok yang terdampak adalah tenant perusahaan yang telah membeli produk tersebut lalu menerapkan kontrol tata kelola yang disertakan saat produk itu dijual.

Apa isi sebenarnya dari pemberitahuan layanan itu

Dokumen utama di sini bukanlah advisory yang dipublikasikan atau catatan CVE. Itu adalah pesan di pusat admin Microsoft 365, yang terlihat oleh administrator tenant, yang menurut BleepingComputer dilihat dan dikutip oleh mereka. Rumusan Microsoft, sebagaimana direproduksi oleh media tersebut, spesifik mengenai mekanismenya:

"Pesan email pengguna dengan label rahasia yang diterapkan sedang diproses secara keliru oleh obrolan Microsoft 365 Copilot."

Chat 'work tab' Microsoft 365 Copilot merangkum pesan email meskipun pesan email tersebut memiliki label sensitivitas yang diterapkan dan kebijakan DLP telah dikonfigurasi.

"Masalah kode memungkinkan item di folder item terkirim dan draf ikut terambil oleh Copilot meskipun label rahasia sudah diterapkan."

BleepingComputer mencatat bahwa Microsoft menandai entri tersebut sebagai advisori, bukan insiden — sebuah penanda yang menurut media tersebut umum digunakan untuk masalah layanan dengan cakupan atau dampak terbatas. Tidak ada pengenal CVE yang muncul dalam peringatan Microsoft atau dalam liputan mana pun yang ditinjau untuk artikel ini. Ini adalah cacat sisi server pada layanan yang dihosting, bukan kelemahan produk dengan buletin patch, sehingga catatannya berada di konsol kesehatan layanan, bukan di pusat respons keamanan Microsoft.

Garis waktu yang diterbitkan Microsoft, dan bagian yang dibiarkannya terbuka

Tanggal-tanggal dalam peringatan itu adalah hal yang paling pasti dalam catatan, dan itu milik Microsoft sendiri.

Empat minggu memisahkan deteksi pertama dari laporan publik pertama. Keterangan Microsoft sendiri tidak menyebutkan berapa lama cacat itu aktif sebelum 21 Januari, dan tidak memberikan tanggal ketika setiap tenant menerima perbaikan. Pembaruan 20 Februari menyatakan bahwa penerapan masih berlangsung untuk apa yang disebutnya "bagian kecil dari lingkungan layanan kami yang lebih kompleks" — yang merupakan pernyataan bahwa beberapa pelanggan masih terpapar pada saat itu, tanpa menyebutkan yang mana atau berapa banyak.

Empat kendali, dan satu yang menyerah

Alasan ini merupakan kegagalan tata kelola, bukan sekadar kesalahan sederhana, adalah bahwa semua kontrol sudah ada dan hanya kontrol terakhir yang gagal. Label sensitivitas, kebijakan DLP, dan kontrol akses tenant adalah tiga mekanisme terpisah, dan jalur pengambilan milik Copilot sendiri adalah mekanisme keempat. Peringatan tersebut menyatakan dua yang pertama telah dikonfigurasi. Microsoft mengatakan yang ketiga bertahan. Yang keempat tidak.

Perbedaan itu penting bagi siapa pun yang membaca insiden ini sebagai pelanggaran data. Label sensitivitas adalah pernyataan niat yang dilekatkan pada sebuah pesan; label itu sendiri tidak menghentikan apa pun. Harus ada sesuatu yang membacanya dan menolaknya. Dalam kondisi normal sebuah tenant Microsoft 365, sesuatu itu adalah mesin DLP untuk berbagi dan lapisan pengambilan Copilot untuk pemrosesan AI. Menurut peringatan tersebut, baik label maupun aturan DLP sama-sama ada, dan pesan-pesan itu tetap diringkas, karena jalur kode yang seharusnya memeriksanya tidak melakukannya.

Apa yang menurut Microsoft telah terekspos, dan apa yang tidak dikatakannya

Komentar substantif Microsoft muncul pada 19 Februari, sehari setelah artikel tersebut, dalam sebuah pernyataan kepada BleepingComputer yang diulangi perusahaan itu kepada BBC dan IT Pro:

"Kami mengidentifikasi dan mengatasi masalah di mana Microsoft 365 Copilot Chat dapat menampilkan konten dari email berlabel rahasia yang ditulis oleh seorang pengguna dan disimpan dalam folder Draf serta Item Terkirim di Outlook desktop. Hal ini tidak memberikan akses kepada siapa pun terhadap informasi yang belum mereka berwenang untuk lihat."

Meskipun kontrol akses dan kebijakan perlindungan data kami tetap utuh, perilaku ini tidak sesuai dengan pengalaman Copilot yang kami tujukan, yang dirancang untuk mengecualikan konten yang dilindungi dari akses Copilot. Pembaruan konfigurasi telah diterapkan di seluruh dunia untuk pelanggan enterprise.

Dua frasa dalam pernyataan itu berperan besar dalam mempersempit cakupan, dan keduanya berasal dari Microsoft, bukan temuan independen. Yang pertama adalah "authored by a user": pesan yang terdampak adalah pesan yang ditulis sendiri oleh pengguna dan disimpan di Sent Items atau Drafts miliknya sendiri, bukan surel dari kotak surat orang lain. Yang kedua adalah "Outlook desktop", yang membatasi kesalahan itu pada satu klien, bukan pada Copilot Chat di mana-mana. Jika dibaca bersama, Microsoft sedang menjelaskan cacat di mana orang diperlihatkan ringkasan korespondensi terlindungi milik mereka sendiri — bukan cacat di mana satu pengguna membaca milik pengguna lain.

Itu konsisten dengan arsip yang mencatat kerugian nyata dan tingkat keparahan tinggi, karena kerugian dalam catatan itu bukanlah pengungkapan kepada pihak ketiga. Kerugiannya adalah bahwa konten yang telah secara eksplisit diklasifikasikan dan dipagari oleh suatu organisasi tetap dicerna dan diproses oleh sistem AI, sejak deteksi pertama pada 21 Januari hingga perbaikan mencapai tenant tersebut. Kalimat Microsoft sendiri mengakui jaminan yang dilanggar: produk tersebut "dirancang untuk mengecualikan konten yang dilindungi dari akses Copilot," dan ternyata tidak demikian.

Apa yang belum dikatakan Microsoft, dalam pernyataan apa pun yang ditinjau untuk artikel ini: berapa banyak tenant yang terdampak, apakah konten yang diproses disimpan di mana pun selain ringkasan, apakah konten itu terlihat dalam log audit dalam bentuk yang dapat direkonstruksi pelanggan, dan apakah ada bagian dari konten tersebut yang mencapai pipeline pelatihan model. Perusahaan memberi tahu BleepingComputer bahwa cakupan dampaknya "dapat berubah seiring berlanjutnya penyelidikan" dan belum menerbitkan angka apa pun sejak itu.

Siapa yang terdampak, dan sejauh mana buktinya menjangkau

Tidak ada daftar pelanggan yang dipublikasikan. Satu-satunya organisasi yang disebutkan namanya dalam laporan tersebut adalah National Health Service di Inggris: BBC melaporkan pada 19 Februari bahwa pemberitahuan Microsoft telah dibagikan di dasbor dukungan TI NHS, dan bahwa sebagian pemberitahuan di situs tersebut menyiratkan bahwa NHS terdampak. Laporan BBC yang sama juga menyatakan bahwa pihaknya diberi tahu bahwa isi dari setiap email draf atau email terkirim yang diproses oleh Copilot Chat akan tetap berada pada pembuatnya, dan bahwa informasi pasien tidak terekspos. VentureBeat, dalam analisis selanjutnya, melaporkan bahwa NHS mencatat masalah tersebut secara internal sebagai INC46740412.

Halaman dukungan NHS yang dikutip oleh media-media tersebut kini mengalihkan ke halaman depan supporthub.nhs.net, sehingga pemberitahuan itu sendiri tidak dapat dibaca untuk artikel ini; karakterisasi BBC atas pemberitahuan tersebut adalah bukti yang tersedia, dan itu merupakan informasi tangan kedua. Arsip tersebut mengklasifikasikan wilayah itu sebagai global, yang konsisten dengan pembaruan konfigurasi yang menurut Microsoft telah mereka terapkan di seluruh dunia, tetapi belum ada yurisdiksi yang menerbitkan daftar penyewa terdampak.

Konfirmasi independen atas fakta-fakta inti selain itu solid. Reporter teknologi BBC Liv McMahon mengonfirmasi mekanisme dan pernyataan Microsoft pada 19 Februari; Nicole Kobie dari IT Pro mengonfirmasi tanggal deteksi 21 Januari dan ID pelacakan pada hari yang sama; TechCrunch melaporkan pada 18 Februari bahwa Microsoft tidak mau mengatakan berapa banyak pelanggan yang terdampak. Tidak ada dari outlet-outlet tersebut yang membantah urutan tersebut. Tidak ada dari mereka yang secara independen memverifikasi apa yang dilakukan Copilot dengan konten tersebut.

Apa yang berubah, dan apa yang tidak

Remediasi Microsoft adalah perbaikan kode yang ditargetkan ditambah perubahan konfigurasi. Pembaruan peringatan 20 Februari, yang dikutip oleh BleepingComputer, berbunyi:

Perbaikan kode yang ditargetkan untuk mencegah dampak lebih lanjut terus berjalan dan telah menjangkau sebagian besar lingkungan yang terdampak. Penerapan kami masih berlangsung hanya untuk sebagian kecil lingkungan layanan kami yang lebih kompleks.

Oleh karena itu, kami yakin akar penyebab masalah ini telah ditangani untuk sebagian besar pelanggan, dan tidak ada pesan email baru bagi pelanggan yang telah menerima perbaikan yang akan terpengaruh ke depannya.

Sebelum itu, pada 18 Februari, Microsoft mengatakan sedang memantau penerapan dan menghubungi sebagian pengguna terdampak untuk memverifikasi bahwa perbaikan berhasil. Tidak ada tenggat waktu remediasi final yang diberikan saat itu, dan belum ada yang diterbitkan sejak itu.

Yang tidak berubah adalah arsitektur kontrol yang memungkinkan terjadinya kegagalan tersebut. Label dan aturan DLP masih menggambarkan maksudnya; jalur pengambilan Copilot masih menegakkannya. Pernyataan Microsoft bahwa "kontrol akses dan kebijakan perlindungan data tetap utuh" akurat sejauh yang dinyatakan — kebijakan tersebut tidak diubah atau dihapus — tetapi itu juga berarti kebijakan tersebut tidak pernah menjadi hal yang melakukan pemblokiran.

Apa yang dibuktikan oleh catatan, dan apa yang hanya dinyatakan.

Tiga tingkatan klaim berada di dalam insiden ini, dan semuanya perlu dibedakan.

Terkonfirmasi: cacat kode di tab kerja Copilot Chat menyebabkan pesan berlabel yang dilindungi DLP di Item Terkirim dan Draf diringkas; Microsoft mendeteksinya pada 21 Januari 2026, melacaknya sebagai CW1226324, mulai memperbaikinya pada awal Februari, dan pada 20 Februari menyatakan bahwa akar masalahnya telah ditangani bagi sebagian besar pelanggan. Fakta-fakta tersebut berasal dari pemberitahuan layanan Microsoft sendiri dan didukung oleh BBC, IT Pro, dan TechCrunch.

Diklaim oleh Microsoft, tidak diverifikasi secara independen: bahwa tidak ada seorang pun yang memperoleh akses ke informasi yang belum berwenang mereka lihat; bahwa pesan-pesan yang terlibat ditulis oleh pengguna yang terdampak dan terbatas pada Outlook desktop; dan bahwa kontrol akses serta kebijakan perlindungan data tetap utuh sepanjang waktu.

Tidak dipastikan oleh siapa pun: jumlah organisasi yang terdampak; volume pesan yang diproses; apa yang terjadi pada konten setelah peringkasan; dan apakah ada regulator yang telah membuka penyelidikan. Tidak ada liputan yang ditinjau untuk artikel ini yang menyebutkan salah satunya.

Nader Henein, seorang analis perlindungan data dan tata kelola AI di Gartner, mengatakan kepada BBC bahwa "kesalahan semacam ini tidak dapat dihindari" mengingat begitu seringnya kemampuan AI baru dirilis, dan bahwa organisasi biasanya akan menonaktifkan suatu fitur dan menunggu tata kelola menyusul — tetapi tekanan yang diciptakan oleh hype AI membuat hal itu hampir mustahil. Profesor Alan Woodward dari University of Surrey mengatakan kepada media yang sama bahwa insiden tersebut menunjukkan mengapa alat semacam itu harus bersifat privat secara default dan hanya dengan persetujuan (opt-in). Keduanya merupakan deskripsi tentang pola tersebut, bukan temuan tentang cacat spesifik ini, dan harus dibaca seperti itu.

Pelajaran sempit yang didukung oleh catatan tersebut kurang dramatis dibandingkan dengan berita utama dan lebih berguna: kontrol yang gagal adalah kontrol yang telah dikonfigurasi secara eksplisit oleh pelanggan, dan kegagalan itu terjadi di lapisan yang tidak dapat diperiksa oleh pelanggan. Perbaikan Microsoft menutup jalur kode tersebut. Namun, perbaikan itu tidak memberi penyewa cara untuk memverifikasi, secara independen, bahwa jalur tersebut tetap tertutup.