Copilot Chat ha riassunto per settimane email riservate a causa di un bug nel codice

Microsoft 365 Copilot Chat leggeva e riassumeva email che la sua stessa configurazione avrebbe dovuto tenergli lontane. L'avviso di servizio di Microsoft, tracciato nel Message Center per amministratori come CW1226324, fa risalire la prima rilevazione al 21 gennaio 2026, e la correzione era ancora in fase di distribuzione quattro settimane dopo. Ha interessato la chat della "scheda Lavoro" all'interno di Microsoft 365 Copilot Chat, che prelevava messaggi dalle cartelle Posta inviata e Bozze degli utenti e li riassumeva anche quando quei messaggi avevano un'etichetta di riservatezza Confidential ed era stato configurato un criterio di prevenzione della perdita dei dati per impedire esattamente questo. BleepingComputer ha riportato l'avviso il 18 febbraio 2026, la data che l'archivio assegna alla voce; Microsoft non ha detto quante organizzazioni siano state interessate. Il registro completo, con la sua classificazione di gravità e confidenza, si trova nell'Orca AI Incident Archive, insieme alle altre voci di questa serie.

Copilot Chat è l'assistente di Microsoft sensibile al contesto che consente agli utenti di interrogare agenti AI dall'interno di Word, Excel, PowerPoint, Outlook e OneNote. Secondo BleepingComputer, Microsoft ha iniziato a distribuirlo ai clienti business paganti di Microsoft 365 a settembre 2025. Ciò rende la popolazione interessata quella dei tenant aziendali che avevano acquistato il prodotto e poi applicato i controlli di governance con cui il prodotto veniva venduto.

Cosa diceva in realtà l'avviso di servizio

Il documento principale qui non è un avviso pubblicato né un record CVE. È un messaggio nel centro di amministrazione di Microsoft 365, visibile agli amministratori del tenant, che BleepingComputer afferma di aver visto e citato. La formulazione di Microsoft, così come la testata l'ha riprodotta, è specifica riguardo al meccanismo:

I messaggi di posta elettronica degli utenti con un'etichetta di riservatezza applicata vengono elaborati in modo errato dalla chat di Microsoft 365 Copilot.

La Chat della 'scheda di lavoro' di Microsoft 365 Copilot sta riassumendo i messaggi di posta elettronica anche se a questi messaggi è applicata un'etichetta di riservatezza ed è configurato un criterio DLP.

Un problema di codice consente a Copilot di rilevare gli elementi nelle cartelle Posta inviata e Bozze anche se sono impostate etichette di riservatezza.

BleepingComputer ha notato che Microsoft ha contrassegnato l'elemento come un avviso anziché un incidente — un indicatore che la testata descrive come comunemente usato per problemi di servizio con ambito o impatto limitati. Nessun identificatore CVE compare nell'avviso di Microsoft né in alcuna delle coperture esaminate per questo articolo. Si tratta di un difetto lato server in un servizio ospitato, non di un difetto di prodotto con un bollettino di patch, motivo per cui la voce risiede in una console di stato del servizio anziché nel centro di risposta alla sicurezza di Microsoft.

La cronologia pubblicata da Microsoft, e la parte che ha lasciato aperta

Le date dell'allerta sono la cosa più solida del registro, e sono quelle di Microsoft stessa.

Quattro settimane separano la prima individuazione dalla prima segnalazione pubblica. Il resoconto di Microsoft non dice per quanto tempo il difetto fosse attivo prima del 21 gennaio, né indica una data in cui ogni tenant abbia ricevuto la correzione. L'aggiornamento del 20 febbraio afferma che la distribuzione era ancora in corso per quella che definisce «una piccola parte dei nostri ambienti di servizio più complessi» — il che significa che alcuni clienti erano ancora esposti a quel punto, senza dire quali né quanti.

Quattro controlli, e quello che ha ceduto

Il motivo per cui si tratta di un fallimento di governance anziché di un semplice malfunzionamento è che i controlli erano tutti presenti e solo l'ultimo ha ceduto. Le etichette di riservatezza, i criteri DLP e i controlli di accesso al tenant sono tre meccanismi separati, e il percorso di recupero proprio di Copilot è un quarto. L'avviso dice che i primi due erano configurati. Microsoft dice che il terzo ha retto. Il quarto no.

Quella distinzione è importante per chiunque legga l'incidente come una violazione dei dati. Un'etichetta di sensibilità è una dichiarazione d'intento allegata a un messaggio; di per sé non blocca nulla. Qualcosa deve leggerla e rifiutare. Nel normale funzionamento di un tenant Microsoft 365, quel qualcosa è il motore DLP per la condivisione e il livello di recupero di Copilot per l'elaborazione AI. Secondo l'avviso, sia l'etichetta sia la regola DLP erano presenti, e i messaggi sono stati comunque riassunti, perché il percorso di codice che avrebbe dovuto consultarli non lo ha fatto.

Che cosa Microsoft dice sia stato esposto, e che cosa non dice

Il commento sostanziale di Microsoft è arrivato il 19 febbraio, un giorno dopo l'articolo, in una dichiarazione a BleepingComputer che l'azienda ha ripetuto alla BBC e a IT Pro:

Abbiamo identificato e risolto un problema per cui Microsoft 365 Copilot Chat poteva restituire contenuti di email contrassegnate come riservate, create da un utente e archiviate nelle relative cartelle Bozze e Posta inviata in Outlook desktop. Ciò non ha fornito a nessuno l'accesso a informazioni che non fossero già autorizzati a vedere.

Sebbene i nostri controlli di accesso e le nostre politiche di protezione dei dati siano rimasti invariati, questo comportamento non era conforme all'esperienza Copilot che intendevamo, progettata per escludere i contenuti protetti dall'accesso di Copilot. È stato distribuito in tutto il mondo un aggiornamento della configurazione per i clienti enterprise.

Due espressioni in quell'affermazione svolgono un ruolo importante nel restringere il campo, ed entrambe sono di Microsoft, non una constatazione indipendente. La prima è "scritto da un utente": i messaggi interessati sono quelli che l'utente ha scritto personalmente e conservato nella propria cartella Posta inviata o Bozze, non messaggi provenienti dalle caselle di altre persone. La seconda è "Outlook desktop", che circoscrive il difetto a un solo client anziché a Copilot Chat ovunque. Considerate insieme, Microsoft sta descrivendo un difetto in cui alle persone sono stati mostrati riepiloghi della propria corrispondenza protetta — non un difetto in cui un utente ha letto quella di un altro.

Ciò è compatibile con il fatto che l'archivio registri un danno reale e una gravità elevata, perché il danno registrato non è la divulgazione a terzi. È che contenuti che un'organizzazione aveva esplicitamente classificato e isolato sono stati comunque acquisiti ed elaborati da un sistema di IA, dal primo rilevamento il 21 gennaio fino a quando la correzione ha raggiunto quel tenant. La stessa frase di Microsoft ammette la garanzia venuta meno: il prodotto «è progettato per escludere i contenuti protetti dall'accesso di Copilot», e non lo ha fatto.

Ciò che Microsoft non ha detto, in nessuna dichiarazione esaminata per questo articolo: quanti tenant sono stati interessati, se il contenuto elaborato sia stato conservato da qualche parte oltre il riepilogo, se fosse visibile nei log di controllo in una forma che i clienti potessero ricostruire e se una qualsiasi parte sia arrivata a una pipeline di addestramento dei modelli. L'azienda ha dichiarato a BleepingComputer che l'ambito dell'impatto "potrebbe cambiare con il proseguire delle indagini" e da allora non ha pubblicato alcuna cifra.

Chi è stato colpito e fino a dove arrivano le prove

Nessun elenco di clienti è stato pubblicato. L'unica organizzazione nominata nel resoconto è il National Health Service in Inghilterra: la BBC ha riferito il 19 febbraio che l'avviso di Microsoft era stato condiviso su una dashboard di supporto IT del NHS e che una sezione dell'avviso su quel sito implica che il NHS sia stato coinvolto. Lo stesso resoconto della BBC afferma inoltre che le è stato detto che il contenuto di qualsiasi email bozza o inviata elaborata da Copilot Chat sarebbe rimasto ai suoi creatori, e che le informazioni dei pazienti non erano state esposte. VentureBeat, in un'analisi successiva, riferisce che il NHS ha registrato il problema internamente come INC46740412.

La pagina di supporto del NHS citata da quelle testate ora reindirizza alla pagina iniziale di supporthub.nhs.net, quindi l'avviso stesso non è stato leggibile per questo articolo; la caratterizzazione che ne dà la BBC è l'evidenza disponibile, ed è di seconda mano. L'archivio classifica la regione come globale, il che è coerente con un aggiornamento di configurazione che Microsoft afferma di aver distribuito in tutto il mondo, ma nessuna giurisdizione ha pubblicato un elenco dei tenant interessati.

La corroborazione indipendente dei fatti principali è per il resto solida. La giornalista tecnologica della BBC Liv McMahon ha confermato il meccanismo e la dichiarazione di Microsoft del 19 febbraio; Nicole Kobie di IT Pro ha confermato la data di rilevamento del 21 gennaio e l'ID di tracciamento lo stesso giorno; TechCrunch ha riportato il 18 febbraio che Microsoft non avrebbe detto quanti clienti fossero stati colpiti. Nessuna di queste testate contesta la sequenza. Nessuna di esse ha verificato in modo indipendente cosa abbia fatto Copilot con il contenuto.

Cosa è cambiato e cosa no

La correzione di Microsoft consisteva in una correzione mirata del codice più una modifica alla configurazione. L'aggiornamento dell'avviso del 20 febbraio, citato da BleepingComputer, recita:

La nostra correzione mirata del codice per prevenire ulteriori impatti sta procedendo e ha ormai coperto la maggior parte degli ambienti interessati. Il nostro deployment resta in corso solo per una piccola sezione dei nostri ambienti di servizio più complessi.

Pertanto, riteniamo che la causa principale di questo problema sia stata risolta per la maggior parte dei clienti e che nessun nuovo messaggio email per i clienti che hanno ricevuto la correzione sarà interessato in futuro.

Prima di ciò, il 18 febbraio, Microsoft ha affermato che stava monitorando la distribuzione e contattando un sottoinsieme di utenti interessati per verificare che la correzione avesse funzionato. All'epoca non è stata fornita una tempistica definitiva per la risoluzione, e nessuna è stata pubblicata da allora.

Ciò che non è cambiato è l'architettura di controllo che ha consentito il fallimento. L'etichetta e la regola DLP descrivono ancora l'intento; il percorso di recupero di Copilot lo applica ancora. L'affermazione di Microsoft secondo cui i suoi «controlli di accesso e le politiche di protezione dei dati sono rimasti intatti» è accurata per quanto può valere — le politiche non sono state modificate né eliminate — ma significa anche che le politiche non sono mai state ciò che effettuava il blocco.

Ciò che il verbale stabilisce e ciò che si limita ad affermare

Tre livelli di affermazione si trovano all'interno di questo incidente, e vale la pena tenerli distinti.

Accertato: un difetto del codice nella scheda di lavoro di Copilot Chat faceva sì che i messaggi etichettati e protetti da DLP in Posta inviata e Bozze venissero riepilogati; Microsoft lo ha rilevato il 21 gennaio 2026, lo ha tracciato come CW1226324, ha iniziato a correggerlo all'inizio di febbraio e entro il 20 febbraio ha dichiarato che la causa principale era stata risolta per la maggior parte dei clienti. Tali fatti provengono dall'avviso di servizio di Microsoft stesso e sono corroborati da BBC, IT Pro e TechCrunch.

Dichiarato da Microsoft, non verificato in modo indipendente: che nessuno abbia ottenuto accesso a informazioni che non fosse già autorizzato a vedere; che i messaggi in questione siano stati scritti dall'utente interessato e limitati a Outlook desktop; e che i controlli di accesso e le politiche di protezione dei dati siano rimasti intatti per tutta la durata.

Non stabilito da nessuno: il numero di organizzazioni colpite; il volume di messaggi elaborati; cosa è successo ai contenuti dopo la sintesi; e se qualche autorità di regolamentazione ha aperto un'indagine. Nessuno dei resoconti esaminati per questo articolo ne nomina una.

Nader Henein, analista di protezione dei dati e governance dell'IA presso Gartner, ha dichiarato alla BBC che "questo tipo di passo falso è inevitabile" dato quanto spesso vengono rilasciate nuove funzionalità di IA, e che normalmente le organizzazioni disattiverebbero una funzione e attenderebbero che la governance si allinei, ma che la pressione creata dall'hype sull'IA rende ciò quasi impossibile. Il professor Alan Woodward dell'Università del Surrey ha detto alla stessa testata che l'incidente dimostra perché tali strumenti dovrebbero essere privati per impostazione predefinita e solo su adesione esplicita. Entrambe sono descrizioni del fenomeno generale, non conclusioni su questo specifico difetto, e vanno lette in tal senso.

La lezione circoscritta che le evidenze supportano è meno drammatica dei titoli e più utile: il controllo che ha fallito era quello che il cliente aveva configurato esplicitamente, ed è fallito in uno strato che il cliente non poteva ispezionare. La correzione di Microsoft ha chiuso il percorso del codice. Non ha dato ai tenant un modo per verificare, in modo indipendente, che il percorso rimanga chiuso.