Copilot Chat vatte wekenlang vertrouwelijke e-mail samen door een codebug

Microsoft 365 Copilot Chat las en vatte e-mails samen die volgens zijn eigen configuratie buiten zijn bereik hadden moeten blijven. Microsofts servicewaarschuwing, in het admin Message Center geregistreerd als CW1226324, dateert de eerste detectie op 21 januari 2026, en de oplossing werd vier weken later nog steeds uitgerold. Het trof de chat op het tabblad 'Werk' in Microsoft 365 Copilot Chat, die berichten uit de mappen Verzonden items en Concepten van gebruikers haalde en samenvatte, zelfs wanneer die berichten een gevoeligheidslabel 'Vertrouwelijk' hadden en er een beleid voor preventie van gegevensverlies was geconfigureerd om precies dat te voorkomen. BleepingComputer meldde de waarschuwing op 18 februari 2026, de datum die het archief aan de vermelding toekent; Microsoft heeft niet gezegd hoeveel organisaties erdoor werden getroffen. Het volledige record, met de ernst- en betrouwbaarheidsclassificatie, staat in het Orca AI Incident Archive, samen met de andere vermeldingen in deze reeks.

Copilot Chat is Microsofts inhoudsbewuste assistent waarmee gebruikers AI-agenten kunnen bevragen vanuit Word, Excel, PowerPoint, Outlook en OneNote. Volgens BleepingComputer begon Microsoft het in september 2025 uit te rollen naar betalende Microsoft 365-zakelijke klanten. Daardoor bestaat de getroffen groep uit de enterprise-tenants die het product hadden gekocht en vervolgens de governancecontroles hadden toegepast die samen met het product werden verkocht.

Wat de servicewaarschuwing eigenlijk zei

Het primaire document hier is geen gepubliceerd advies of een CVE-record. Het is een bericht in het Microsoft 365-beheercentrum, zichtbaar voor tenantbeheerders, waarvan BleepingComputer zegt dat het het heeft gezien en geciteerd. De formulering van Microsoft, zoals het medium die heeft weergegeven, is specifiek over het mechanisme:

E-mailberichten van gebruikers met een label Vertrouwelijk worden onjuist verwerkt door Microsoft 365 Copilot-chat.

De Microsoft 365 Copilot 'werk-tab' Chat vat e-mailberichten samen, hoewel op deze e-mailberichten een gevoeligheidslabel is toegepast en er een DLP-beleid is geconfigureerd.

Een codefout zorgt ervoor dat items in de mappen Verzonden items en Concepten door Copilot worden opgepikt, zelfs als er vertrouwelijke labels zijn ingesteld.

BleepingComputer merkte op dat Microsoft het item als een advies in plaats van een incident heeft gemarkeerd — een label dat het medium beschrijft als gangbaar voor serviceproblemen met beperkte reikwijdte of impact. Er verschijnt geen CVE-identificatie in Microsofts waarschuwing of in de berichtgeving die voor dit artikel is doorgenomen. Dit is een defect aan de serverzijde in een gehoste service, geen productfout met een patchbulletin, daarom staat de registratie in een service-healthconsole en niet in het beveiligingsresponscentrum van Microsoft.

De tijdlijn die Microsoft publiceerde, en het deel dat het openliet

De datums van de waarschuwing zijn het stevigste gegeven in het dossier, en ze zijn van Microsoft zelf.

Vier weken liggen tussen de eerste detectie en het eerste openbare rapport. Microsofts eigen verslag zegt niet hoe lang het defect al actief was vóór 21 januari, en het geeft geen datum waarop elke tenant de oplossing heeft ontvangen. De update van 20 februari zegt dat de uitrol nog gaande was voor wat het "een klein deel van onze complexere serviceomgevingen" noemt — een uitspraak die erop neerkomt dat sommige klanten op dat moment nog steeds blootgesteld waren, zonder te zeggen welke of hoeveel.

Vier bedieningselementen, en het ene dat het begaf

De reden dat dit een governancefout is en niet een simpele afzwaaier, is dat alle controles aanwezig waren en alleen de laatste het begaf. Gevoeligheidslabels, DLP-beleid en tenanttoegangscontroles zijn drie afzonderlijke mechanismen, en Copilot's eigen ophaalpad is een vierde. De waarschuwing zegt dat de eerste twee waren geconfigureerd. Microsoft zegt dat de derde standhield. De vierde niet.

Dat onderscheid is belangrijk voor iedereen die het incident als een datalek leest. Een gevoeligheidslabel is een intentieverklaring die aan een bericht is gekoppeld; het stopt zelf niets. Er moet iets zijn dat het leest en weigert. In een normale Microsoft 365-tenant is dat iets de DLP-engine voor delen en de Copilot-ophaallaag voor AI-verwerking. Volgens de melding waren zowel het label als de DLP-regel aanwezig, en toch werden de berichten samengevat, omdat het codepad dat ze had moeten raadplegen dat niet deed.

Wat Microsoft zegt dat er is blootgelegd, en wat het niet zegt

Microsofts inhoudelijke reactie kwam op 19 februari, een dag na het artikel, in een verklaring aan BleepingComputer die het bedrijf herhaalde tegenover de BBC en IT Pro:

We hebben een probleem vastgesteld en verholpen waarbij Microsoft 365 Copilot Chat inhoud kon retourneren uit e-mails die als vertrouwelijk waren gemarkeerd, door een gebruiker waren opgesteld en in diens Concepten en Verzonden items in Outlook desktop waren opgeslagen. Dit gaf niemand toegang tot informatie die zij nog niet mochten zien.

Hoewel onze toegangscontroles en ons beleid voor gegevensbescherming intact bleven, voldeed dit gedrag niet aan onze beoogde Copilot-ervaring, die is ontworpen om beschermde inhoud uit te sluiten van toegang via Copilot. Er is wereldwijd een configuratie-update uitgerold voor enterprise-klanten.

Twee formuleringen in die verklaring beperken de reikwijdte flink, en beide zijn van Microsoft, geen onafhankelijke bevinding. De eerste is "door een gebruiker geschreven": de getroffen berichten zijn berichten die de gebruiker zelf heeft geschreven en in diens eigen Verzonden items of Concepten heeft bewaard, niet e-mail uit de mailboxen van anderen. De tweede is "Outlook desktop", waarmee de fout wordt beperkt tot één client in plaats van tot Copilot Chat overal. Samen gelezen beschrijft Microsoft een defect waarbij mensen samenvattingen van hun eigen beschermde correspondentie te zien kregen — niet een defect waarbij de ene gebruiker die van een ander las.

Dat is verenigbaar met het feit dat het archief echte schade en een hoge ernst vastlegt, omdat de schade in het dossier niet de openbaarmaking aan een derde partij is. Het is dat inhoud die een organisatie expliciet had geclassificeerd en afgeschermd, toch door een AI-systeem werd opgenomen en verwerkt, vanaf de eerste detectie op 21 januari totdat het herstel die tenant bereikte. Microsofts eigen zin geeft toe welke garantie is geschonden: het product "is ontworpen om beschermde inhoud uit te sluiten van Copilot-toegang", en dat deed het niet.

Wat Microsoft niet heeft gezegd, in geen enkele verklaring die voor dit artikel is bekeken: hoeveel tenants er zijn getroffen, of de verwerkte inhoud ergens anders dan in de samenvatting is bewaard, of deze zichtbaar was in auditlogs in een vorm die klanten konden reconstrueren, en of iets ervan een modeltrainingspipeline heeft bereikt. Het bedrijf vertelde BleepingComputer dat de omvang van de impact "kan veranderen naarmate het onderzoek vordert" en heeft sindsdien geen cijfer gepubliceerd.

Wie waren er getroffen, en hoe ver reikt het bewijs

Er is geen klantenlijst gepubliceerd. De enige met naam genoemde organisatie in de berichtgeving is de National Health Service in Engeland: de BBC meldde op 19 februari dat Microsofts kennisgeving was gedeeld op een IT-ondersteuningsdashboard van de NHS, en dat een deel van de kennisgeving op die site impliceert dat de NHS getroffen was. Hetzelfde BBC-bericht zegt ook dat er was meegedeeld dat de inhoud van e-mails die door Copilot Chat als concept waren opgesteld of verzonden, bij hun makers zou blijven, en dat patiëntinformatie niet was blootgelegd. VentureBeat meldt in een latere analyse dat de NHS het probleem intern registreerde als INC46740412.

De NHS-supportpagina waarnaar die media verwijzen, leidt nu door naar de voorpagina van supporthub.nhs.net, dus de kennisgeving zelf kon voor dit artikel niet worden gelezen; de karakterisering ervan door de BBC is het beschikbare bewijs, en dat is uit tweede hand. Het archief classificeert de regio als wereldwijd, wat in overeenstemming is met een configuratie-update waarvan Microsoft zegt dat die wereldwijd is uitgerold, maar geen enkel rechtsgebied heeft een lijst van getroffen tenants gepubliceerd.

Onafhankelijke bevestiging van de kernfeiten is overigens solide. De technologieverslaggever van de BBC, Liv McMahon, bevestigde het mechanisme en de verklaring van Microsoft op 19 februari; Nicole Kobie van IT Pro bevestigde de detectiedatum van 21 januari en de tracking-ID dezelfde dag; TechCrunch meldde op 18 februari dat Microsoft niet wilde zeggen hoeveel klanten getroffen waren. Geen van die media betwist de volgorde. Geen van hen heeft onafhankelijk geverifieerd wat Copilot met de inhoud deed.

Wat is er veranderd, en wat niet

Microsofts herstel bestond uit een gerichte codewijziging plus een configuratiewijziging. De waarschuwingsupdate van 20 februari, geciteerd door BleepingComputer, luidt:

Onze gerichte codereparatie om verdere impact te voorkomen, vordert en is inmiddels uitgerold naar de meerderheid van de getroffen omgevingen. Onze uitrol is alleen nog gaande voor een klein deel van onze complexere serviceomgevingen.

Daarom zijn we van mening dat de hoofdoorzaak van dit probleem voor de meeste klanten is verholpen, en dat nieuwe e-mailberichten voor klanten die de oplossing hebben ontvangen, voortaan niet meer worden getroffen.

Daarvoor, op 18 februari, zei Microsoft dat het de uitrol in de gaten hield en contact opnam met een deel van de getroffen gebruikers om te verifiëren of de oplossing werkte. Er werd toen geen definitieve tijdlijn voor herstel gegeven, en sindsdien is er ook geen gepubliceerd.

Wat niet is veranderd, is de controlearchitectuur die het falen mogelijk maakte. Het label en de DLP-regel beschrijven nog steeds de intentie; het ophaalpad van Copilot handhaaft die nog steeds. Microsofts verklaring dat zijn "toegangscontroles en gegevensbeschermingsbeleid intact bleven" is juist voor zover die strekt — het beleid is niet gewijzigd of verwijderd — maar het betekent ook dat het beleid nooit hetgeen was dat de blokkering deed.

Wat het dossier vaststelt, en wat het slechts beweert

Binnen dit incident zitten drie niveaus van bewering, en die zijn het waard uit elkaar te houden.

Vastgesteld: een codefout in het tabblad Werk van Copilot Chat zorgde ervoor dat gelabelde, door DLP beschermde berichten in Verzonden items en Concepten werden samengevat; Microsoft ontdekte dit op 21 januari 2026, registreerde het als CW1226324, begon begin februari met het verhelpen ervan en zei op 20 februari dat de hoofdoorzaak voor de meeste klanten was verholpen. Die feiten komen uit Microsofts eigen servicewaarschuwing en worden bevestigd door de BBC, IT Pro en TechCrunch.

Beweerd door Microsoft, niet onafhankelijk geverifieerd: dat niemand toegang heeft gekregen tot informatie die zij nog niet mochten zien; dat de betrokken berichten door de getroffen gebruiker zijn opgesteld en beperkt bleven tot Outlook desktop; en dat toegangscontroles en gegevensbeschermingsbeleid gedurende de hele periode intact bleven.

Door niemand vastgesteld: het aantal getroffen organisaties; het volume aan verwerkte berichten; wat er met de inhoud is gebeurd na het samenvatten; en of een toezichthouder een onderzoek heeft geopend. Geen van de voor dit artikel beoordeelde berichtgeving noemt er een.

Nader Henein, analist op het gebied van gegevensbescherming en AI-governance bij Gartner, zei tegen de BBC dat "dit soort misstappen onvermijdelijk zijn" gezien hoe vaak nieuwe AI-capaciteiten worden uitgebracht, en dat organisaties normaal gesproken een functie zouden uitschakelen en wachten tot governance bijbenen — maar dat de druk door AI-hype dat vrijwel onmogelijk maakt. Professor Alan Woodward van de University of Surrey zei tegen dezelfde omroep dat het incident laat zien waarom zulke tools standaard privé en alleen na expliciete toestemming zouden moeten zijn. Beide zijn typeringen van het patroon, geen bevindingen over dit specifieke defect, en moeten ook zo worden gelezen.

De beperkte les die uit het dossier valt te trekken, is minder dramatisch dan de koppen en nuttiger: de controle die faalde, was degene die de klant expliciet had geconfigureerd, en ze faalde in een laag die de klant niet kon inspecteren. Microsofts oplossing sloot het codepad. Ze gaf tenants geen manier om onafhankelijk te verifiëren dat het pad gesloten blijft.