O Copilot Chat resumiu e-mails confidenciais durante semanas devido a um bug de código

O Microsoft 365 Copilot Chat leu e resumiu e-mails que a sua própria configuração deveria manter afastados dele. O alerta de serviço da Microsoft, registado no Centro de Mensagens de administração como CW1226324, data a primeira deteção em 21 de janeiro de 2026, e a correção ainda estava a ser implementada quatro semanas depois. Afetou o chat do separador "work tab" dentro do Microsoft 365 Copilot Chat, que recolhia mensagens das pastas Itens Enviados e Rascunhos dos utilizadores e resumia-as mesmo quando essas mensagens tinham um rótulo de confidencialidade Confidencial e uma política de prevenção de perda de dados tinha sido configurada para impedir exatamente isso. A BleepingComputer noticiou o alerta em 18 de fevereiro de 2026, a data que o arquivo atribui à entrada; a Microsoft não disse quantas organizações foram afetadas. O registo completo, com a sua classificação de gravidade e confiança, encontra-se no Orca AI Incident Archive, juntamente com as outras entradas desta série.

O Copilot Chat é o assistente sensível ao conteúdo da Microsoft que permite aos usuários consultar agentes de IA de dentro do Word, Excel, PowerPoint, Outlook e OneNote. Segundo o BleepingComputer, a Microsoft começou a distribuí-lo para clientes empresariais pagantes do Microsoft 365 em setembro de 2025. Isso faz com que a população afetada seja formada pelos tenants empresariais que haviam comprado o produto e depois aplicado os controles de governança vendidos junto com ele.

O que o alerta de serviço realmente dizia

O documento principal aqui não é um aviso publicado nem um registro CVE. É uma mensagem no centro de administração do Microsoft 365, visível para administradores de locatários, que o BleepingComputer diz ter visto e citado. A redação da Microsoft, conforme reproduzida pelo veículo, é específica sobre o mecanismo:

As mensagens de email dos usuários com um rótulo de confidencial aplicado estão sendo processadas incorretamente pelo chat do Microsoft 365 Copilot.

O Chat da "guia de trabalho" do Microsoft 365 Copilot está resumindo mensagens de email, embora essas mensagens de email tenham um rótulo de confidencialidade aplicado e uma política de DLP esteja configurada.

Um problema no código está permitindo que itens nas pastas de itens enviados e rascunhos sejam capturados pelo Copilot, mesmo com rótulos de confidencialidade aplicados.

O BleepingComputer observou que a Microsoft marcou o item como um aviso em vez de um incidente — um sinalizador que o veículo descreve como comumente usado para problemas de serviço com escopo ou impacto limitados. Nenhum identificador CVE aparece no alerta da Microsoft nem em nenhuma das matérias consultadas para este artigo. Este é um defeito do lado do servidor em um serviço hospedado, não uma falha de produto com um boletim de correção, e é por isso que o registro fica em um console de integridade do serviço, e não no centro de resposta de segurança da Microsoft.

O cronograma que a Microsoft publicou, e a parte que deixou em aberto

As datas do alerta são o elemento mais sólido do registro, e são da própria Microsoft.

Quatro semanas separam a primeira detecção do primeiro relatório público. O próprio relato da Microsoft não diz há quanto tempo o defeito estava ativo antes de 21 de janeiro, e não informa uma data em que todos os locatários receberam a correção. A atualização de 20 de fevereiro diz que a implantação ainda estava em andamento para o que chama de "uma pequena parte dos nossos ambientes de serviço mais complexos" — o que é uma declaração de que alguns clientes ainda estavam expostos naquele momento, sem dizer quais ou quantos.

Quatro controles, e o que cedeu

A razão de isso ser uma falha de governança, e não um simples erro, é que todos os controles estavam implementados e apenas o último falhou. Rótulos de sensibilidade, políticas DLP e controles de acesso de locatário são três mecanismos separados, e o próprio caminho de recuperação do Copilot é um quarto. O alerta diz que os dois primeiros estavam configurados. A Microsoft diz que o terceiro se manteve. O quarto não.

Essa distinção é importante para quem interpreta o incidente como uma violação de dados. Um rótulo de sensibilidade é uma declaração de intenção anexada a uma mensagem; ele próprio não impede nada. Algo precisa lê-lo e recusar. No funcionamento normal de um tenant do Microsoft 365, esse algo é o mecanismo de DLP para compartilhamento e a camada de recuperação do Copilot para processamento de IA. De acordo com o alerta, tanto o rótulo quanto a regra de DLP estavam presentes, e as mensagens foram resumidas mesmo assim, porque o caminho de código que deveria consultá-los não o fez.

O que a Microsoft diz que foi exposto, e o que ela não diz

O comentário substancial da Microsoft veio em 19 de fevereiro, um dia após o artigo, em uma declaração ao BleepingComputer que a empresa repetiu à BBC e ao IT Pro:

Identificamos e corrigimos um problema em que o Microsoft 365 Copilot Chat podia retornar conteúdo de emails rotulados como confidenciais, criados por um usuário e armazenados em suas pastas Rascunhos e Itens Enviados no Outlook desktop. Isso não concedeu a ninguém acesso a informações que já não estivessem autorizados a ver.

Embora nossos controles de acesso e políticas de proteção de dados tenham permanecido intactos, esse comportamento não atendeu à experiência do Copilot que pretendíamos, projetada para excluir conteúdo protegido do acesso do Copilot. Uma atualização de configuração foi implantada em todo o mundo para clientes corporativos.

Duas expressões nessa declaração fazem um grande trabalho de delimitação, e ambas são da Microsoft, não uma constatação independente. A primeira é "escrita por um usuário": as mensagens afetadas são aquelas que o próprio usuário escreveu e manteve em seus próprios Itens Enviados ou Rascunhos, não e-mails de caixas de correio de outras pessoas. A segunda é "Outlook desktop", que restringe a falha a um cliente em vez de ao Copilot Chat em todos os lugares. Lidas em conjunto, a Microsoft descreve um defeito no qual as pessoas viram resumos de sua própria correspondência protegida — não um defeito no qual um usuário leu a de outro.

Isso é compatível com o registro arquivado de dano real e alta gravidade, porque o dano no registro não é a divulgação a terceiros. É que conteúdo que uma organização havia classificado e isolado explicitamente foi ingerido e processado por um sistema de IA mesmo assim, desde a primeira detecção em 21 de janeiro até a correção chegar àquele tenant. A própria declaração da Microsoft admite a garantia que foi violada: o produto "foi projetado para excluir conteúdo protegido do acesso do Copilot", e não o fez.

O que a Microsoft não disse, em nenhuma declaração revisada para este artigo: quantos tenants foram afetados, se o conteúdo processado foi retido em algum lugar além do resumo, se ele era visível nos logs de auditoria de uma forma que os clientes pudessem reconstruir e se algo dele chegou a um pipeline de treinamento de modelo. A empresa disse ao BleepingComputer que o escopo do impacto "pode mudar à medida que a investigação continua" e não publicou nenhum número desde então.

Quem foi afetado e até onde chegam as evidências

Nenhuma lista de clientes foi publicada. A única organização nomeada na reportagem é o National Health Service da Inglaterra: a BBC noticiou em 19 de fevereiro que o aviso da Microsoft tinha sido partilhado num painel de suporte de TI do NHS, e que uma secção do aviso nesse site implica que o NHS foi afetado. O mesmo relatório da BBC diz também que lhe foi dito que o conteúdo de qualquer e-mail em rascunho ou enviado processado pelo Copilot Chat permaneceria com os seus criadores, e que as informações dos pacientes não tinham sido expostas. A VentureBeat, numa análise posterior, relata que o NHS registou o problema internamente como INC46740412.

A página de suporte do NHS citada por esses veículos agora redireciona para a página inicial do supporthub.nhs.net, portanto o próprio aviso não pôde ser lido para este artigo; a caracterização feita pela BBC é a evidência disponível, e é de segunda mão. O arquivo classifica a região como global, o que é consistente com uma atualização de configuração que a Microsoft diz ter implantado em todo o mundo, mas nenhuma jurisdição publicou uma lista de locatários afetados.

A corroboração independente dos fatos centrais é, de resto, sólida. A repórter de tecnologia da BBC, Liv McMahon, confirmou o mecanismo e a declaração da Microsoft em 19 de fevereiro; Nicole Kobie, da IT Pro, confirmou a data de detecção de 21 de janeiro e o ID de rastreamento no mesmo dia; a TechCrunch noticiou em 18 de fevereiro que a Microsoft não diria quantos clientes foram afetados. Nenhum desses veículos contesta a sequência. Nenhum deles verificou de forma independente o que o Copilot fez com o conteúdo.

O que mudou e o que não mudou

A remediação da Microsoft foi uma correção de código direcionada somada a uma alteração de configuração. A atualização do alerta de 20 de fevereiro, citada pelo BleepingComputer, diz:

A nossa correção de código direcionada para evitar mais impactos está a avançar e já abrangeu a maioria dos ambientes afetados. A nossa implementação continua em curso apenas para uma pequena parte dos nossos ambientes de serviço mais complexos.

Como tal, acreditamos que a causa raiz deste problema foi resolvida para a maioria dos clientes, e nenhuma nova mensagem de e-mail para os clientes que receberam a correção será afetada daqui em diante.

Antes disso, em 18 de fevereiro, a Microsoft disse que estava monitorando a implantação e entrando em contato com um subconjunto de usuários afetados para verificar se a correção funcionou. Nenhum prazo final de remediação foi dado naquele momento, e nenhum foi publicado desde então.

O que não mudou foi a arquitetura de controle que permitiu a falha. O rótulo e a regra de DLP ainda descrevem a intenção; o caminho de recuperação do Copilot ainda a aplica. A declaração da Microsoft de que seus "controles de acesso e políticas de proteção de dados permaneceram intactos" é precisa até onde vai — as políticas não foram alteradas nem excluídas —, mas também significa que as políticas nunca foram o que fazia o bloqueio.

O que o registro estabelece, e o que ele apenas afirma

Três níveis de alegação estão presentes neste incidente, e vale a pena mantê-los separados.

Estabelecido: um defeito de código na aba de trabalho do Copilot Chat fez com que mensagens rotuladas e protegidas por DLP em Itens Enviados e Rascunhos fossem resumidas; a Microsoft detectou-o em 21 de janeiro de 2026, acompanhou-o como CW1226324, começou a corrigi-lo no início de fevereiro e afirmou, até 20 de fevereiro, que a causa raiz havia sido tratada para a maioria dos clientes. Esses fatos vêm do próprio alerta de serviço da Microsoft e são corroborados pela BBC, IT Pro e TechCrunch.

Afirmado pela Microsoft, sem verificação independente: que ninguém obteve acesso a informações que já não estivesse autorizado a ver; que as mensagens em causa foram escritas pelo utilizador afetado e limitadas ao Outlook para desktop; e que os controlos de acesso e as políticas de proteção de dados permaneceram intactos durante todo o processo.

Não estabelecido por ninguém: o número de organizações afetadas; o volume de mensagens processadas; o que aconteceu com o conteúdo após a sumarização; e se algum regulador abriu um inquérito. Nenhuma das reportagens analisadas para este artigo nomeia um.

Nader Henein, analista de proteção de dados e governança de IA da Gartner, disse à BBC que "esse tipo de deslize é inevitável", dada a frequência com que novos recursos de IA são lançados, e que as organizações normalmente desativariam um recurso e esperariam a governança acompanhar — mas que a pressão criada pelo hype da IA torna isso quase impossível. O professor Alan Woodward, da Universidade de Surrey, disse ao mesmo veículo que o incidente mostra por que tais ferramentas deveriam ser privadas por padrão e apenas com adesão voluntária. Ambas são caracterizações do padrão, e não conclusões sobre esse defeito específico, e devem ser lidas assim.

A lição estreita que o registro sustenta é menos dramática do que as manchetes e mais útil: o controle que falhou era aquele que o cliente havia configurado explicitamente, e ele falhou em uma camada que o cliente não podia inspecionar. A correção da Microsoft fechou o caminho do código. Ela não deu aos locatários uma forma de verificar, de maneira independente, que o caminho permanece fechado.