Copilot Chat przez tygodnie podsumowywał poufne e-maile z powodu błędu w kodzie

Microsoft 365 Copilot Chat odczytywał i podsumowywał wiadomości e-mail, do których jego własna konfiguracja miała mu blokować dostęp. Alert usługi Microsoftu, śledzony w centrum komunikatów administratora pod numerem CW1226324, wskazuje 21 stycznia 2026 r. jako datę pierwszego wykrycia, a poprawka była wdrażana jeszcze cztery tygodnie później. Dotyczył czatu na karcie „Praca” w Microsoft 365 Copilot Chat, który pobierał wiadomości z folderów Elementy wysłane i Wersje robocze użytkowników i podsumowywał je nawet wtedy, gdy wiadomości te miały etykietę wrażliwości „Confidential”, a skonfigurowano politykę zapobiegania utracie danych, która miała dokładnie temu zapobiegać. BleepingComputer poinformował o alercie 18 lutego 2026 r., czyli dacie, którą archiwum przypisuje temu wpisowi; Microsoft nie ujawnił, ile organizacji zostało dotkniętych. Pełny zapis, wraz z oceną istotności i poziomem pewności, znajduje się w Orca AI Incident Archive, obok pozostałych wpisów z tej serii.

Copilot Chat to świadomy treści asystent Microsoftu, który pozwala użytkownikom odpytywać agentów AI z poziomu Worda, Excela, PowerPointa, Outlooka i OneNote'a. Według BleepingComputer Microsoft zaczął udostępniać go płacącym firmowym klientom Microsoft 365 we wrześniu 2025 r. W efekcie dotknięta grupa to dzierżawy przedsiębiorstw, które kupiły produkt, a następnie zastosowały mechanizmy kontroli zarządzania sprzedawane wraz z produktem.

Co faktycznie mówił alert usługi

Głównym dokumentem w tym przypadku nie jest opublikowany biuletyn doradczy ani rekord CVE. Jest to komunikat w centrum administracyjnym Microsoft 365, widoczny dla administratorów dzierżaw, który — jak twierdzi BleepingComputer — serwis ten widział i cytował. Sformułowanie Microsoftu, w postaci przytoczonej przez ten serwis, konkretnie odnosi się do mechanizmu:

Wiadomości e-mail użytkowników z zastosowaną etykietą poufności są nieprawidłowo przetwarzane przez czat Microsoft 365 Copilot.

„Czat na karcie „Praca” w Microsoft 365 Copilot podsumowuje wiadomości e-mail, mimo że do tych wiadomości zastosowano etykietę poufności i skonfigurowano zasady DLP.”

Problem w kodzie powoduje, że elementy w folderach Wysłane i Wersje robocze są wychwytywane przez Copilot, mimo że ustawiono etykiety poufności.

BleepingComputer zauważył, że Microsoft oznaczył ten element jako komunikat doradczy a nie incydent — oznaczenie, które – jak opisuje ten serwis – jest powszechnie stosowane w przypadku problemów z usługami o ograniczonym zakresie lub wpływie. W alercie Microsoftu ani w żadnym z materiałów przejrzanych na potrzeby tego artykułu nie pojawia się identyfikator CVE. To usterka po stronie serwera w usłudze hostowanej, a nie wada produktu z biuletynem poprawek, dlatego wpis znajduje się w konsoli kondycji usług, a nie w centrum reagowania na zagrożenia bezpieczeństwa Microsoftu.

Harmonogram opublikowany przez Microsoft i część, którą pozostawił otwartą

Daty w alercie są najbardziej niepodważalnym elementem w całym zapisie i pochodzą od samego Microsoftu.

Cztery tygodnie dzielą pierwsze wykrycie od pierwszego publicznego raportu. Własny opis Microsoftu nie mówi, jak długo usterka była aktywna przed 21 stycznia, ani nie podaje daty, w której każdy dzierżawca otrzymał poprawkę. Aktualizacja z 20 lutego mówi, że wdrażanie nadal trwało w przypadku tego, co nazywa „niewielką częścią naszych bardziej złożonych środowisk usługowych” — co oznacza, że niektórzy klienci byli wówczas nadal narażeni, bez wskazania którzy ani ilu.

Cztery mechanizmy kontrolne i ten jeden, który ustąpił

Powodem, dla którego jest to porażka ładu zarządzania, a nie zwykła usterka, jest to, że wszystkie mechanizmy kontroli były na miejscu i zawiódł tylko ostatni z nich. Etykiety poufności, zasady DLP i mechanizmy kontroli dostępu do dzierżawy to trzy odrębne mechanizmy, a ścieżka wyszukiwania samego Copilota to czwarty. Alert wskazuje, że pierwsze dwa zostały skonfigurowane. Microsoft twierdzi, że trzeci wytrzymał. Czwarty nie.

Ta różnica ma znaczenie dla każdego, kto odczytuje ten incydent jako naruszenie danych. Etykieta poufności to deklaracja intencji dołączona do wiadomości; sama w sobie niczego nie zatrzymuje. Coś musi ją odczytać i odmówić. W normalnym funkcjonowaniu dzierżawy Microsoft 365 tym czymś jest silnik DLP odpowiedzialny za udostępnianie oraz warstwa wyszukiwania Copilot odpowiedzialna za przetwarzanie przez AI. Według alertu zarówno etykieta, jak i reguła DLP były obecne, a wiadomości i tak zostały podsumowane, ponieważ ścieżka kodu, która miała je uwzględniać, tego nie zrobiła.

Co Microsoft twierdzi, że ujawniono, a czego nie mówi

Merytoryczny komentarz Microsoftu pojawił się 19 lutego, dzień po artykule, w oświadczeniu dla BleepingComputer, które firma powtórzyła dla BBC i IT Pro:

Zidentyfikowaliśmy i rozwiązaliśmy problem, w wyniku którego Microsoft 365 Copilot Chat mógł zwracać zawartość wiadomości e-mail oznaczonych jako poufne, których autorem był użytkownik i które były przechowywane w jego folderach Wersje robocze i Elementy wysłane w programie Outlook dla komputerów stacjonarnych. Nie dawało to nikomu dostępu do informacji, do których i tak nie był upoważniony.

Chociaż nasze mechanizmy kontroli dostępu i zasady ochrony danych pozostały nienaruszone, takie zachowanie nie odpowiadało zamierzonemu przez nas doświadczeniu Copilot, które ma wykluczać chronione treści z dostępu Copilot. Aktualizacja konfiguracji została wdrożona na całym świecie dla klientów korporacyjnych.

Dwa sformułowania w tym oświadczeniu w dużym stopniu zawężają zakres i oba pochodzą od Microsoftu, a nie z niezależnego ustalenia. Pierwsze to „autorstwa użytkownika”: dotyczy to wiadomości, które użytkownik sam napisał i zachował we własnych Elementach wysłanych lub Wersjach roboczych, a nie poczty ze skrzynek innych osób. Drugie to "Outlook desktop", co ogranicza usterkę do jednego klienta, a nie do Copilot Chat w każdym przypadku. Czytane razem, Microsoft opisuje defekt, w którym ludziom pokazywano podsumowania ich własnej chronionej korespondencji — a nie defekt, w którym jeden użytkownik czytał korespondencję innego.

Jest to spójne z tym, że archiwum odnotowuje rzeczywistą szkodę i wysoki stopień ciężkości, ponieważ szkodą w zapisie nie jest ujawnienie stronie trzeciej. Jest nią to, że treść, którą organizacja wyraźnie sklasyfikowała i odgrodziła, została mimo to pobrana i przetworzona przez system AI — od pierwszego wykrycia 21 stycznia aż do momentu, gdy poprawka dotarła do tego dzierżawcy. Samo zdanie Microsoftu przyznaje, że złamano gwarancję: produkt „jest zaprojektowany tak, aby wykluczyć chronioną treść z dostępu Copilota”, a nie wykluczył.

Czego Microsoft nie powiedział w żadnym oświadczeniu przeanalizowanym na potrzeby tego artykułu: ile dzierżaw zostało dotkniętych, czy przetworzona zawartość była gdziekolwiek przechowywana poza podsumowaniem, czy była widoczna w dziennikach audytu w formie, którą klienci mogliby odtworzyć, oraz czy jakakolwiek jej część trafiła do potoku szkolenia modeli. Firma powiedziała BleepingComputer, że zakres wpływu „może się zmienić w miarę kontynuowania dochodzenia”, i od tego czasu nie opublikowała żadnych liczb.

Kogo to dotyczyło i jak daleko sięgają dowody

Nie opublikowano żadnej listy klientów. Jedyną nazwaną organizacją w doniesieniach jest National Health Service w Anglii: BBC poinformowało 19 lutego, że powiadomienie Microsoftu udostępniono na pulpicie wsparcia IT NHS oraz że fragment tego powiadomienia na tej stronie sugeruje, iż NHS został objęty problemem. Ten sam materiał BBC podaje również, że poinformowano je, iż zawartość dowolnej wersji roboczej lub wysłanego e-maila przetwarzanego przez Copilot Chat pozostanie u ich autorów, a informacje o pacjentach nie zostały ujawnione. VentureBeat w późniejszej analizie podaje, że NHS zarejestrowało problem wewnętrznie jako INC46740412.

Strona pomocy NHS, na którą powołują się te media, przekierowuje obecnie na stronę główną supporthub.nhs.net, więc samego komunikatu nie można było odczytać na potrzeby tego artykułu; dostępnym dowodem jest sposób przedstawienia go przez BBC, a pochodzi on z drugiej ręki. Archiwum klasyfikuje region jako globalny, co jest spójne z aktualizacją konfiguracji, którą według Microsoftu wdrożono na całym świecie, ale żadna jurysdykcja nie opublikowała listy dotkniętych dzierżawców.

Niezależne potwierdzenie kluczowych faktów jest poza tym solidne. Reporterka technologiczna BBC Liv McMahon potwierdziła mechanizm i oświadczenie Microsoftu z 19 lutego; Nicole Kobie z IT Pro potwierdziła datę wykrycia 21 stycznia i identyfikator śledzenia tego samego dnia; TechCrunch poinformował 18 lutego, że Microsoft nie chciał powiedzieć, ilu klientów zostało dotkniętych. Żaden z tych serwisów nie kwestionuje sekwencji zdarzeń. Żaden z nich nie zweryfikował niezależnie, co Copilot zrobił z treścią.

Co się zmieniło, a co nie

Remediacja Microsoftu polegała na ukierunkowanej poprawce kodu oraz zmianie konfiguracji. Cytowana przez BleepingComputer aktualizacja alertu z 20 lutego brzmi:

Nasza ukierunkowana poprawka kodu mająca zapobiec dalszym skutkom postępuje i objęła już większość dotkniętych środowisk. Nasze wdrożenie nadal trwa tylko w niewielkiej części naszych bardziej złożonych środowisk usługowych.

W związku z tym uważamy, że główna przyczyna tego problemu została rozwiązana w przypadku większości klientów, a nowe wiadomości e-mail klientów, którzy otrzymali poprawkę, nie będą już dalej dotknięte tym problemem.

Wcześniej, 18 lutego, Microsoft poinformował, że monitoruje wdrożenie i kontaktuje się z podzbiorem dotkniętych użytkowników, aby zweryfikować, czy poprawka zadziałała. Wówczas nie podano ostatecznego harmonogramu naprawy i od tamtej pory żaden nie został opublikowany.

To, co się nie zmieniło, to architektura kontroli, która umożliwiła tę awarię. Etykieta i reguła DLP nadal opisują intencję; ścieżka wyszukiwania Copilota nadal ją egzekwuje. Stwierdzenie Microsoftu, że jego „mechanizmy kontroli dostępu i zasady ochrony danych pozostały nienaruszone”, jest trafne w takim zakresie, w jakim sięga — zasady nie zostały zmienione ani usunięte — ale oznacza też, że zasady nigdy nie były tym, co blokowało.

Co dokument ustala, a co jedynie twierdzi

W tym incydencie mieszczą się trzy poziomy roszczeń i warto je od siebie oddzielić.

Ustalono: błąd kodu w karcie roboczej Copilot Chat powodował podsumowywanie oznaczonych wiadomości chronionych przez DLP w Wysłanych i Wersjach roboczych; Microsoft wykrył go 21 stycznia 2026 r., śledził go jako CW1226324, rozpoczął jego naprawę na początku lutego i do 20 lutego poinformował, że główna przyczyna została usunięta w przypadku większości klientów. Fakty te pochodzą z własnego alertu usługi Microsoft i potwierdzają je BBC, IT Pro i TechCrunch.

Twierdzenie Microsoftu, niezweryfikowane niezależnie: że nikt nie uzyskał dostępu do informacji, do których nie był już uprawniony; że wiadomości, których to dotyczyło, zostały utworzone przez dotkniętego użytkownika i ograniczały się do aplikacji Outlook dla komputerów; oraz że mechanizmy kontroli dostępu i zasady ochrony danych przez cały czas pozostawały nienaruszone.

Nikt nie ustalił: liczby dotkniętych organizacji; liczby przetworzonych wiadomości; co stało się z treścią po dokonaniu streszczenia; oraz czy jakikolwiek organ regulacyjny wszczął dochodzenie. Żaden z materiałów przejrzanych na potrzeby tego artykułu nie wymienia żadnej z nich.

Nader Henein, analityk ds. ochrony danych i ładu zarządczego w obszarze AI w Gartnerze, powiedział BBC, że „tego rodzaju wpadka jest nieunikniona”, biorąc pod uwagę, jak często na rynek trafiają nowe możliwości AI, oraz że organizacje zwykle wyłączyłyby daną funkcję i poczekały, aż ład zarządczy nadąży — ale presja wywołana hype’em wokół AI czyni to niemal niemożliwym. Profesor Alan Woodward z University of Surrey powiedział temu samemu medium, że incydent pokazuje, dlaczego takie narzędzia powinny być domyślnie prywatne i dostępne wyłącznie na zasadzie opt-in. Oba stwierdzenia opisują wzorzec, a nie są ustaleniami dotyczącymi tego konkretnego defektu, i tak należy je odczytywać.

Wąska lekcja, którą potwierdza zapis, jest mniej dramatyczna niż nagłówki i bardziej użyteczna: kontrola, która zawiodła, była tą, którą klient wyraźnie skonfigurował, a zawiodła w warstwie, której klient nie mógł sprawdzić. Poprawka Microsoftu zamknęła ścieżkę kodu. Nie dała jednak dzierżawcom sposobu, by niezależnie zweryfikować, że ścieżka pozostaje zamknięta.