Copilot Chat、コードのバグにより数週間にわたり機密メールを要約

Microsoft 365 Copilot Chat は、自身の構成設定によって本来アクセスできないはずだったメールを読み取り、要約していた。Microsoft のサービス アラートは、管理センターのメッセージ センターで CW1226324 として追跡されており、最初の検出日を 2026 年 1 月 21 日としているが、修正プログラムは 4 週間後もまだ展開中だった。影響を受けたのは Microsoft 365 Copilot Chat 内の「作業タブ」チャットで、このチャットはユーザーの [送信済みアイテム] と [下書き] フォルダーからメッセージを取得して要約していた。しかも、それらのメッセージに「Confidential」秘密度ラベルが付与され、まさにそれを阻止するためにデータ損失防止ポリシーが構成されていた場合でもそうしていた。BleepingComputer は 2026 年 2 月 18 日にこのアラートを報じた。アーカイブがこの項目に割り当てている日付である。Microsoft は影響を受けた組織の数を明らかにしていない。完全な記録は、その重大度と信頼度の格付けとともに、Orca AI Incident Archiveに、このシリーズの他の項目と並んで収められている。

Copilot Chatは、Word、Excel、PowerPoint、Outlook、OneNoteの内部からユーザーがAIエージェントに問い合わせできる、Microsoftのコンテンツ認識型アシスタントです。BleepingComputerによると、Microsoftは2025年9月に有料のMicrosoft 365法人顧客への展開を開始しました。そのため、影響を受けるのは、この製品を購入し、その後、製品とともに販売されていたガバナンス制御を適用した企業テナントということになります。

サービスアラートが実際に何と言っていたか

ここでの一次資料は、公開されたアドバイザリやCVEレコードではない。Microsoft 365管理センター内のメッセージで、テナント管理者に表示されるものであり、BleepingComputerが閲覧して引用したと述べている。BleepingComputerが再現したところによると、Microsoftの文言はその仕組みについて具体的に述べている：

機密ラベルが適用されたユーザーのメールメッセージが、Microsoft 365 Copilot チャットによって正しく処理されていません。

Microsoft 365 Copilotの「作業タブ」のチャットが、これらのメールメッセージに秘密度ラベルが適用され、DLPポリシーが構成されているにもかかわらず、メールメッセージを要約しています。

コードの問題により、機密ラベルが設定されているにもかかわらず、送信済みアイテムフォルダーと下書きフォルダー内のアイテムがCopilotによって取得されてしまっています。

BleepingComputerは、Microsoftがこの項目をインシデントではなくアドバイザリとして分類したと指摘した——これは、範囲や影響が限定的なサービス問題によく使われるフラグだと同メディアは説明している。Microsoftの警告にも、本記事で確認したどの報道にもCVE識別子は見当たらない。これはホスト型サービスのサーバー側の欠陥であり、パッチ情報を伴う製品の欠陥ではない。そのため、この記録はMicrosoftのセキュリティ レスポンス センターではなく、サービス正常性コンソールに存在する。

マイクロソフトが公表したタイムラインと、それが未解決のままにした部分

その警告の日付は記録の中で最も確かなものであり、しかもマイクロソフト自身によるものだ。

最初の検出から最初の公開報告までには4週間の隔たりがある。マイクロソフト自身の説明には、その欠陥が1月21日より前にどれだけの期間存在していたかは記されておらず、すべてのテナントが修正を受け取った日付も示されていない。2月20日の更新では、「より複雑なサービス環境のごく一部」と呼ぶ対象で展開がまだ進行中だったとされており、これはその時点で一部の顧客が依然として影響を受けていたという表明だが、どの顧客か、また何人かは示していない。

4つのコントロール、そしてそのうちの1つが崩れた

これが単なる誤作動ではなくガバナンスの失敗である理由は、統制がすべて整っており、壊れたのは最後の一つだけだったからだ。秘密度ラベル、DLPポリシー、テナントアクセス制御は三つの別個のメカニズムであり、Copilot自身の取得経路は四つ目だ。アラートは最初の二つが構成済みだったと述べている。Microsoftは三つ目は機能したと述べている。四つ目は機能しなかった。

その区別は、このインシデントをデータ侵害として読む人にとって重要だ。秘密度ラベルはメッセージに付された意図の表明であり、それ自体が何かを止めるわけではない。何かがそれを読み取り、拒否する必要がある。Microsoft 365 テナントの通常の流れでは、その「何か」は共有のための DLP エンジンであり、AI 処理のための Copilot 取得層である。アラートによれば、ラベルと DLP ルールの両方が存在していたにもかかわらず、メッセージは要約された。それらを参照すべきコードパスが参照しなかったからだ。

マイクロソフトが暴露されたと述べていること、そして述べていないこと

マイクロソフトの実質的なコメントは、記事の翌日である2月19日に、同社がBleepingComputerに寄せ、BBCとIT Proにも繰り返した声明の中で示された：

「Microsoft 365 Copilot Chat が、あるユーザーが作成し機密としてラベル付けされたメールの内容を返す可能性がある問題を特定し、対処しました。これらのメールは、そのユーザーの Outlook デスクトップの下書きフォルダーおよび送信済みアイテムに保存されていたものです。この問題によって、本来アクセス権限のない情報に誰かがアクセスできるようになったわけではありません。」

当社のアクセス制御とデータ保護ポリシーは維持されていましたが、この動作は、保護されたコンテンツをCopilotのアクセス対象から除外するよう設計された、当社が意図するCopilotエクスペリエンスに適合していませんでした。エンタープライズ顧客向けに構成更新を全世界で展開しました。

その声明の中で2つの表現が大きな限定の役割を果たしており、どちらもMicrosoftによるもので、独立した調査結果ではありません。1つ目は「ユーザーによって作成された」です。影響を受けたメッセージは、ユーザー自身が書き、自分の送信済みアイテムまたは下書きに保存したものであり、他の人のメールボックスからのメールではありません。2つ目は「Outlookデスクトップ」で、これは不具合をCopilot Chat全体ではなく1つのクライアントに限定しています。合わせて読むと、Microsoftは、人々が自分自身の保護された通信の要約を表示されたという不具合を説明しているのであり、あるユーザーが別のユーザーの通信を読んだという不具合ではありません。

そのことは、アーカイブが実際の害と高い重大度を記録していることと整合する。なぜなら、記録上の害は第三者への開示ではないからだ。問題は、組織が明示的に分類して隔離していたコンテンツが、それでもAIシステムによって取り込まれ処理されたことにある。1月21日の最初の検知から、修正がそのテナントに届くまでの間だ。Microsoft自身の文面も、破られた保証を認めている。製品は「保護されたコンテンツをCopilotのアクセスから除外するよう設計されている」のに、そうならなかったのだ。

本記事のために確認したどの声明でも、Microsoftが明らかにしていないのは、影響を受けたテナントの数、処理されたコンテンツが要約以外のどこかに保持されたかどうか、顧客が再構成できる形で監査ログに表示されたかどうか、そしてそのいずれかがモデルトレーニングのパイプラインに到達したかどうかだ。同社はBleepingComputerに対し、影響範囲は「調査の進展に伴い変わる可能性がある」と述べ、それ以降、数値を公表していない。

誰が影響を受け、証拠はどこまで及ぶのか

顧客リストは公表されていない。報道で名前が挙がっている唯一の組織はイングランドの国民保健サービス（NHS）だ。BBCは2月19日、Microsoftの通知がNHSのITサポートダッシュボードで共有され、そのサイト上の通知の一部がNHSも影響を受けたことを示唆していると報じた。同じBBCの報道はまた、Copilot Chatが処理した下書きまたは送信済みメールの内容は作成者のもとに残り、患者情報は露出していないと伝えられたとしている。VentureBeatは後の分析で、NHSがこの問題を内部でINC46740412として記録したと報じている。

それらの報道機関が引用しているNHSのサポートページは現在、supporthub.nhs.netのフロントページにリダイレクトされるため、本記事ではその通知自体を読むことができなかった。BBCによるその性格づけが入手可能な証拠であり、それは二次情報である。アーカイブはこの地域をグローバルと分類しており、これはMicrosoftが世界中で展開したと述べている構成更新と整合するが、影響を受けたテナントの一覧を公表した管轄区域はまだない。

核心的事実の独立した裏付けは、それ以外の点では確固としている。BBCのテクノロジー担当記者リヴ・マクマホンは2月19日にその仕組みとマイクロソフトの声明を確認した。IT Proのニコール・コビーは1月21日の検出日と同日のトラッキングIDを確認した。TechCrunchは2月18日、マイクロソフトが影響を受けた顧客数を明らかにしないと報じた。これらの媒体はいずれもその経緯に異議を唱えていない。いずれも、Copilotがそのコンテンツをどう扱ったかを独自に検証してはいない。

何が変わり、何が変わらなかったのか

Microsoftの修復措置は、対象を絞ったコード修正と構成変更でした。BleepingComputerが引用した2月20日のアラート更新は、次のとおりです：

更なる影響を防ぐための対象を絞ったコード修正は進行しており、影響を受けた環境の大半に行き渡っています。当社のデプロイは、より複雑なサービス環境のごく一部でのみ進行中です。

そのため、この問題の根本原因はほとんどのお客様において対処済みであると考えており、修正が適用されたお客様については、今後新たに受信するメールメッセージが影響を受けることはありません。

それより前の2月18日、Microsoftは展開を監視し、修正が機能したことを確認するために影響を受けたユーザーの一部に連絡を取っていると述べた。当時、最終的な修復スケジュールは示されておらず、その後も公表されていない。

変わらなかったのは、その失敗を可能にした制御アーキテクチャだ。ラベルと DLP ルールは依然として意図を記述しており、Copilot の取得経路は依然としてそれを強制している。Microsoft の「アクセス制御とデータ保護ポリシーは維持されていた」という声明は、その範囲では正確である——ポリシーは変更も削除もされていなかった——が、それは同時に、ブロックを行っていたのがポリシーではなかったということも意味している。

記録が立証していることと、記録が単に主張しているにすぎないこと

この事件には三つの層の主張が含まれており、それらは区別して保つ価値がある。

確認済み：Copilot Chatの作業タブにおけるコードの欠陥により、送信済みアイテムと下書きにあるラベル付きのDLP保護メッセージが要約されていた。Microsoftは2026年1月21日にこれを検知し、CW1226324として追跡、2月初旬に修正を開始し、2月20日までにほとんどの顧客について根本原因に対処したと述べた。これらの事実はMicrosoft自身のサービス通知に由来し、BBC、IT Pro、TechCrunchによって裏付けられている。

Microsoftによる主張であり、独立した検証はされていません：誰も、すでに閲覧を許可されていた以上の情報にアクセスできなかったこと、該当するメッセージは影響を受けたユーザー自身が作成したものでありOutlookデスクトップに限定されていたこと、そしてアクセス制御とデータ保護ポリシーはその間ずっと維持されていたことです。

誰も確認していない：影響を受けた組織の数、処理されたメッセージの量、要約後に内容がどうなったか、規制当局が調査を開始したかどうか。この記事のために確認した報道のいずれも、これらを特定していない。

ガートナーのデータ保護・AIガバナンス担当アナリストであるNader Henein氏はBBCに対し、新しいAI機能がこれほど頻繁にリリースされる状況では「この種の失態は避けられない」と述べ、通常なら組織は機能をオフにしてガバナンスが追いつくのを待つだろうが、AIへの過熱が生む圧力によってそれはほぼ不可能になっていると語った。サリー大学のAlan Woodward教授は同メディアに対し、この出来事はこうしたツールがデフォルトで非公開とされ、オプトインのみであるべき理由を示していると述べた。いずれもこの特定の欠陥に関する知見ではなく、パターンについての特徴づけであり、そのように読むべきだ。

記録が裏付ける限定的な教訓は、見出しほど劇的ではなく、より有用だ。失敗した制御は顧客が明示的に設定したものであり、顧客が検査できない層で失敗した。Microsoftの修正はコードパスを閉じた。しかし、そのパスが閉じたままであることを顧客が独立して検証する手段をテナントに与えたわけではない。