코드 버그로 인해 Copilot Chat이 몇 주 동안 기밀 이메일을 요약했다

Microsoft 365 Copilot Chat이 자체 구성상 접근해서는 안 되었던 이메일을 읽고 요약했습니다. 관리자 메시지 센터에서 CW1226324로 추적되는 Microsoft의 서비스 경고는 최초 탐지를 2026년 1월 21일로 기록하며, 수정 사항은 4주 후에도 여전히 배포 중이었습니다. 이는 Microsoft 365 Copilot Chat 내의 "work tab" 채팅에 영향을 주었는데, 이 채팅은 사용자의 보낸 편지함 및 임시 보관함 폴더에서 메시지를 가져와 요약했으며, 해당 메시지에 Confidential 민감도 레이블이 지정되어 있고 바로 그런 일을 막도록 데이터 손실 방지 정책이 구성되어 있었던 경우에도 그렇게 했습니다. BleepingComputer는 2026년 2월 18일에 이 경고를 보도했으며, 아카이브가 해당 항목에 지정한 날짜도 이 날짜입니다. Microsoft는 영향을 받은 조직 수를 밝히지 않았습니다. 전체 기록은 심각도 및 신뢰도 등급과 함께Orca AI Incident Archive에 수록되어 있으며, 이 시리즈의 다른 항목들과 나란히 있습니다.

Copilot Chat은 Microsoft의 콘텐츠 인식 어시스턴트로, 사용자가 Word, Excel, PowerPoint, Outlook, OneNote 내에서 AI 에이전트에 질의할 수 있게 해줍니다. BleepingComputer에 따르면 Microsoft는 2025년 9월부터 유료 Microsoft 365 비즈니스 고객에게 이를 순차 배포하기 시작했습니다. 따라서 영향을 받은 집단은 해당 제품을 구매한 뒤 제품과 함께 판매된 거버넌스 제어를 적용한 엔터프라이즈 테넌트입니다.

서비스 경고가 실제로 뭐라고 했는지

여기서 핵심 문서는 공개된 권고문이나 CVE 기록이 아닙니다. 테넌트 관리자에게 표시되는 Microsoft 365 관리 센터의 메시지로, BleepingComputer가 이를 확인하고 인용했다고 밝힌 것입니다. 해당 매체가 재현한 Microsoft의 문구는 그 메커니즘을 구체적으로 설명합니다:

기밀 레이블이 적용된 사용자의 이메일 메시지가 Microsoft 365 Copilot 채팅에서 잘못 처리되고 있습니다.

Microsoft 365 Copilot의 '작업 탭' 채팅이 전자 메일 메시지에 민감도 레이블이 적용되어 있고 DLP 정책이 구성되어 있음에도 불구하고 해당 전자 메일 메시지를 요약하고 있습니다.

코드 문제로 인해 기밀 레이블이 설정되어 있음에도 불구하고 보낸 편지함과 임시 보관함 폴더의 항목이 Copilot에 의해 수집되고 있습니다.

BleepingComputer는 Microsoft가 해당 항목을 권고로 표시했으며 인시던트로 분류하지 않았다고 언급했습니다 — 이 매체는 이 표시가 범위나 영향이 제한적인 서비스 문제에 흔히 사용된다고 설명합니다. Microsoft의 알림이나 이 기사에서 검토한 어떤 보도에도 CVE 식별자는 나타나지 않습니다. 이는 패치 공지가 있는 제품 결함이 아니라 호스팅 서비스의 서버 측 결함이며, 따라서 해당 기록은 Microsoft의 보안 대응 센터가 아니라 서비스 상태 콘솔에 있습니다.

마이크로소프트가 공개한 일정, 그리고 그것이 열어 둔 부분

그 경고의 날짜는 기록에서 가장 확실한 요소이며, 마이크로소프트 자체에서 나온 것이다.

최초 탐지와 첫 공개 보고 사이에는 4주가 걸렸다. 마이크로소프트의 자체 설명에는 결함이 1월 21일 이전에 얼마나 오래 존재했는지 나와 있지 않으며, 모든 테넌트가 수정 사항을 받은 날짜도 제시하지 않는다. 2월 20일 업데이트에서는 자사가 "더 복잡한 서비스 환경 중 일부"라고 부르는 곳에 배포가 여전히 진행 중이라고 밝혔는데, 이는 그 시점에 일부 고객이 여전히 노출되어 있었다는 뜻이지만 어느 고객인지, 몇 명인지는 밝히지 않았다.

네 가지 통제, 그리고 무너진 하나

이것이 단순한 오작동이 아니라 거버넌스 실패인 이유는 통제 장치가 모두 갖춰져 있었고 마지막 하나만 무너졌기 때문이다. 민감도 레이블, DLP 정책, 테넌트 액세스 제어는 서로 별개의 세 가지 메커니즘이고, Copilot 자체의 검색 경로는 네 번째다. 경고에 따르면 처음 두 가지는 구성되어 있었다. Microsoft는 세 번째가 유지되었다고 말한다. 네 번째는 그렇지 않았다.

그 구분은 이 사건을 데이터 유출로 해석하는 사람이라면 누구에게나 중요하다. 민감도 레이블은 메시지에 첨부된 의도 표명일 뿐, 그 자체로 무언가를 막지는 않는다. 그것을 읽고 거부하는 무언가가 있어야 한다. Microsoft 365 테넌트의 정상적인 흐름에서는 공유를 위한 DLP 엔진과 AI 처리를 위한 Copilot 검색 계층이 그 역할을 한다. 경보에 따르면 레이블과 DLP 규칙이 모두 존재했는데도 메시지는 그대로 요약되었는데, 이를 참조해야 했던 코드 경로가 그렇게 하지 않았기 때문이다.

마이크로소프트가 노출됐다고 말하는 것, 그리고 말하지 않는 것

마이크로소프트의 실질적인 입장은 기사가 나온 다음 날인 2월 19일, BleepingComputer에 보낸 성명에서 나왔으며, 회사는 이 성명을 BBC와 IT Pro에도 그대로 전달했다.

Microsoft 365 Copilot Chat이 Outlook 데스크톱의 초안 및 보낸 편지함에 저장된, 사용자가 작성하고 기밀로 표시한 이메일의 콘텐츠를 반환할 수 있었던 문제를 확인하고 해결했습니다. 이로 인해 누구도 이미 볼 권한이 없는 정보에 접근할 수 있게 되지는 않았습니다.

액세스 제어와 데이터 보호 정책은 그대로 유지되었지만, 이 동작은 보호된 콘텐츠를 Copilot 액세스에서 제외하도록 설계된 의도된 Copilot 환경에 부합하지 않았습니다. 엔터프라이즈 고객을 위한 구성 업데이트가 전 세계적으로 배포되었습니다.

그 성명에서 두 구절은 범위를 크게 좁히는 역할을 하는데, 둘 다 독립적인 조사 결과가 아니라 Microsoft의 것입니다. 첫 번째는 "사용자가 작성한": 영향을 받은 메시지는 사용자가 직접 작성해 자신의 보낸 편지함이나 임시 보관함에 보관한 메시지이며, 다른 사람의 사서함에서 온 메일이 아닙니다. 두 번째는 "Outlook desktop", 이는 결함을 모든 곳의 Copilot Chat이 아니라 하나의 클라이언트로 한정합니다. 함께 읽어 보면, Microsoft는 사람들이 자신의 보호된 통신에 대한 요약을 보게 된 결함을 설명하는 것이지, 한 사용자가 다른 사용자의 내용을 읽은 결함을 설명하는 것이 아닙니다.

이는 아카이브가 실제 피해와 높은 심각도를 기록한 것과 부합합니다. 기록상의 피해는 제3자에게 공개된 것이 아니기 때문입니다. 문제는 조직이 명시적으로 분류하고 접근을 차단해 둔 콘텐츠가, 1월 21일 최초 탐지 시점부터 해당 테넌트에 수정 사항이 적용될 때까지, 그래도 AI 시스템에 의해 수집·처리되었다는 점입니다. Microsoft 자신의 문장은 깨진 보장을 인정합니다. 제품은 "Copilot 접근에서 보호된 콘텐츠를 제외하도록 설계"되었지만, 그렇게 하지 못했습니다.

이 기사에서 검토한 어떤 성명에서도 Microsoft가 밝히지 않은 것은 다음과 같다. 영향을 받은 테넌트가 몇 개인지, 처리된 콘텐츠가 요약 외에 어디엔가 보존되었는지, 고객이 재구성할 수 있는 형태로 감사 로그에 표시되었는지, 그리고 그중 일부라도 모델 학습 파이프라인에 도달했는지 여부다. 이 회사는 BleepingComputer에 영향 범위가 "조사가 진행됨에 따라 달라질 수 있다"고 말했으며, 그 이후로 어떤 수치도 공개하지 않았다.

누가 영향을 받았으며, 증거가 어디까지 미치는지

고객 목록은 공개되지 않았다. 보도에서 이름이 언급된 유일한 조직은 잉글랜드의 National Health Service(NHS)다. BBC는 2월 19일 Microsoft의 공지가 NHS IT 지원 대시보드에 공유되었으며, 해당 사이트에 있는 공지의 한 부분이 NHS가 영향을 받았음을 시사한다고 보도했다. 같은 BBC 보도는 또한 Copilot Chat이 처리한 초안 또는 발송된 이메일의 내용은 작성자에게 남고, 환자 정보는 노출되지 않았다고 들었다고 전한다. VentureBeat는 이후 분석에서 NHS가 이 문제를 내부적으로 INC46740412로 기록했다고 보도했다.

해당 매체들이 인용한 NHS 지원 페이지는 이제 supporthub.nhs.net 첫 페이지로 리디렉션되므로, 이 기사에서는 그 공지 자체를 읽을 수 없었다. BBC의 해당 공지에 대한 설명이 이용 가능한 증거이며, 이는 간접적인 것이다. 아카이브는 해당 지역을 글로벌로 분류하는데, 이는 마이크로소프트가 전 세계에 배포했다고 밝힌 구성 업데이트와 일치하지만, 어떤 관할권도 영향을 받은 테넌트 목록을 공개하지 않았다.

핵심 사실에 대한 독립적인 교차 검증은 그 외에는 탄탄하다. BBC의 기술 기자 리브 맥마흔은 2월 19일 그 메커니즘과 마이크로소프트의 성명을 확인했고, IT Pro의 니콜 코비는 같은 날 1월 21일 탐지 날짜와 추적 ID를 확인했다. 테크크런치는 2월 18일 마이크로소프트가 영향을 받은 고객 수를 밝히지 않겠다고 보도했다. 이들 매체 중 어느 곳도 그 순서에 이의를 제기하지 않는다. 어느 곳도 코파일럿이 그 콘텐츠로 무엇을 했는지 독립적으로 검증하지 않았다.

무엇이 바뀌었고, 무엇이 바뀌지 않았는가

마이크로소프트의 조치는 표적화된 코드 수정과 구성 변경이었습니다. BleepingComputer가 인용한 2월 20일 경고 업데이트는 다음과 같습니다:

추가 영향을 방지하기 위한 표적화된 코드 수정은 순조롭게 진행되어 영향을 받은 대부분의 환경에 적용이 완료되었습니다. 배포는 보다 복잡한 일부 서비스 환경에 대해서만 여전히 진행 중입니다.

이에 따라, 우리는 이 문제의 근본 원인이 대부분의 고객에 대해 해결되었다고 믿으며, 수정 사항을 받은 고객의 새로운 이메일 메시지는 앞으로 영향을 받지 않을 것입니다.

그에 앞서 마이크로소프트는 2월 18일 배포 상황을 모니터링하고 있으며 수정 사항이 제대로 작동하는지 확인하기 위해 영향을 받은 사용자 일부에게 연락하고 있다고 밝혔다. 당시 최종 해결 일정은 제시되지 않았고, 그 이후로도 공개된 바 없다.

변하지 않은 것은 그 실패를 허용한 통제 아키텍처다. 레이블과 DLP 규칙은 여전히 의도를 서술하며, Copilot의 검색 경로는 여전히 이를 강제한다. 마이크로소프트의 "액세스 제어와 데이터 보호 정책이 그대로 유지되었다"는 발언은 그 범위 내에서는 정확하다. 정책은 변경되거나 삭제되지 않았다. 그러나 그것은 또한 정책이 차단을 수행하는 주체가 아니었다는 뜻이기도 하다.

기록이 입증하는 것과 단지 주장하는 것

이 사건 안에는 세 가지 층위의 주장이 있으며, 이들은 구분해 둘 가치가 있다.

확인된 사실: Copilot Chat 작업 탭의 코드 결함으로 인해 '보낸 편지함'과 '임시 보관함'에 있는 라벨이 지정된 DLP 보호 메시지가 요약되는 문제가 발생했습니다. Microsoft는 2026년 1월 21일에 이를 감지하여 CW1226324로 추적했고, 2월 초에 수정을 시작했으며, 2월 20일까지 대부분의 고객에 대해 근본 원인이 해결되었다고 밝혔습니다. 이러한 사실은 Microsoft 자체의 서비스 경고에서 나온 것이며 BBC, IT Pro, TechCrunch에 의해 교차 확인되었습니다.

마이크로소프트가 주장한 내용이며, 독립적으로 검증되지는 않았습니다: 누구도 이미 열람 권한이 부여된 정보 외에는 접근하지 못했다는 점, 관련 메시지는 영향을 받은 사용자가 작성한 것이며 Outlook 데스크톱으로 한정되었다는 점, 그리고 접근 제어와 데이터 보호 정책이 그동안 온전하게 유지되었다는 점입니다.

누구도 확정하지 못한 사항: 영향을 받은 조직의 수, 처리된 메시지의 양, 요약 후 콘텐츠에 무슨 일이 일어났는지, 그리고 규제 기관이 조사를 개시했는지 여부. 이 기사를 위해 검토한 어떤 보도에서도 이 중 어느 것도 명시하지 않았다.

가트너의 데이터 보호 및 AI 거버넌스 분석가인 나데르 헤네인은 BBC에 새로운 AI 기능이 얼마나 자주 출시되는지를 고려하면 "이런 종류의 실수는 불가피하다"고 말했으며, 조직들은 보통 기능을 꺼 두고 거버넌스가 따라잡을 때까지 기다리지만 AI 과대광고가 만드는 압박 때문에 그것이 거의 불가능하다고 덧붙였다. 서리대학교의 앨런 우드워드 교수는 같은 매체에 이 사건이 그러한 도구가 기본적으로 비공개여야 하고 선택적으로만 사용해야 하는 이유를 보여준다고 말했다. 두 발언 모두 이 특정 결함에 대한 발견이라기보다는 이러한 패턴에 대한 설명이므로 그렇게 읽어야 한다.

기록이 뒷받침하는 좁은 교훈은 헤드라인보다 덜 극적이고 더 유용하다. 실패한 통제는 고객이 명시적으로 구성한 것이었고, 고객이 검사할 수 없는 계층에서 실패했다. Microsoft의 수정은 코드 경로를 닫았다. 그러나 테넌트가 그 경로가 계속 닫혀 있는지 독립적으로 검증할 방법을 제공하지는 않았다.