Copilot Chat неделями составлял сводки по конфиденциальной электронной почте из-за ошибки в коде

Microsoft 365 Copilot Chat читал и суммировал электронные письма, которые, согласно его собственной конфигурации, должны были быть от него скрыты. Сервисное оповещение Microsoft, отслеживаемое в Центре сообщений администратора под номером CW1226324, датирует первое обнаружение 21 января 2026 года, а исправление всё ещё развёртывалось четыре недели спустя. Это затронуло чат на вкладке «Работа» внутри Microsoft 365 Copilot Chat, который извлекал сообщения из папок «Отправленные» и «Черновики» пользователей и суммировал их, даже если эти сообщения имели метку чувствительности «Конфиденциально» и была настроена политика предотвращения потери данных, чтобы не допускать именно этого. BleepingComputer сообщил об этом оповещении 18 февраля 2026 года — дата, которую архив присваивает записи; Microsoft не сообщила, сколько организаций пострадало. Полная запись с оценкой серьёзности и степени уверенности находится в Orca AI Incident Archive, вместе с другими записями этой серии.

Copilot Chat — это контекстно-ориентированный помощник Microsoft, который позволяет пользователям запрашивать ИИ-агентов непосредственно из Word, Excel, PowerPoint, Outlook и OneNote. По данным BleepingComputer, в сентябре 2025 года Microsoft начала распространять его среди платящих бизнес-клиентов Microsoft 365. Таким образом, затронутая группа — это корпоративные тенанты, которые приобрели продукт, а затем применили средства управления, продававшиеся вместе с ним.

Что на самом деле говорилось в оповещении службы

Основным документом здесь является не опубликованное официальное уведомление и не запись CVE. Это сообщение в центре администрирования Microsoft 365, доступное администраторам клиентов, которое, по словам BleepingComputer, они видели и цитировали. Формулировка Microsoft, как её воспроизвело это издание, конкретно описывает механизм:

Сообщения электронной почты пользователей с примененной меткой конфиденциальности неправильно обрабатываются чатом Microsoft 365 Copilot.

Чат на вкладке «Работа» в Microsoft 365 Copilot суммирует сообщения электронной почты, хотя к этим сообщениям применена метка конфиденциальности и настроена политика DLP.

Проблема в коде позволяет Copilot подхватывать элементы в папках «Отправленные» и «Черновики», даже если установлены метки конфиденциальности.

BleepingComputer отметил, что Microsoft пометила этот элемент как рекомендацию, а не как инцидент — признак, который, по словам издания, обычно используется для проблем с сервисом с ограниченным масштабом или воздействием. Идентификатор CVE не фигурирует ни в предупреждении Microsoft, ни в каких-либо материалах, изученных для этой статьи. Это дефект на стороне сервера в хостируемом сервисе, а не изъян продукта с бюллетенем исправлений, поэтому запись находится в консоли работоспособности служб, а не в центре реагирования на инциденты безопасности Microsoft.

Хронология, которую опубликовала Microsoft, и та часть, которую она оставила открытой

Даты в оповещении — самое достоверное в записи, и они принадлежат самой Microsoft.

С первого обнаружения до первого публичного отчёта прошло четыре недели. В собственном отчёте Microsoft не говорится, как долго дефект существовал до 21 января, и не указывается дата, когда исправление получили все арендаторы. В обновлении от 20 февраля сказано, что развёртывание всё ещё продолжалось для того, что там называется «небольшой частью наших более сложных сервисных сред», — а это означает, что некоторые клиенты на тот момент всё ещё подвергались воздействию, хотя не уточняется, какие именно и сколько их.

Четыре органа управления — и один, который отказал

Причина, по которой это является провалом управления, а не простым сбоем, заключается в том, что все механизмы контроля были на месте, и сломался только последний. Метки конфиденциальности, политики DLP и элементы управления доступом к клиенту — это три отдельных механизма, а собственный путь извлечения данных Copilot — четвертый. В уведомлении говорится, что первые два были настроены. Microsoft утверждает, что третий сработал. Четвертый — нет.

Это различие важно для всех, кто рассматривает инцидент как утечку данных. Метка конфиденциальности — это заявление о намерении, прикреплённое к сообщению; сама по себе она ничего не останавливает. Должен существовать механизм, который прочитает её и откажет. В обычной работе клиента Microsoft 365 этим механизмом является модуль DLP, отвечающий за общий доступ, и слой извлечения Copilot, отвечающий за обработку ИИ. Согласно оповещению, и метка, и правило DLP присутствовали, но сообщения всё равно были обобщены, потому что путь выполнения кода, который должен был к ним обратиться, этого не сделал.

Что, по словам Microsoft, было раскрыто — и о чём она умалчивает

Содержательный комментарий Microsoft поступил 19 февраля, через день после публикации статьи, в заявлении для BleepingComputer, которое компания повторила для BBC и IT Pro:

Мы выявили и устранили проблему, из-за которой Microsoft 365 Copilot Chat мог возвращать содержимое писем, помеченных как конфиденциальные, созданных пользователем и хранящихся в его папках «Черновики» и «Отправленные» в настольной версии Outlook. Это не предоставило никому доступа к информации, которую они не имели права видеть и до этого.

Хотя наши механизмы контроля доступа и политики защиты данных остались в силе, такое поведение не соответствовало нашему предполагаемому принципу работы Copilot, который разработан так, чтобы исключать защищённый контент из доступа Copilot. Обновление конфигурации развернуто по всему миру для корпоративных клиентов.

Две фразы в этом утверждении существенно сужают трактовку, и обе принадлежат Microsoft, а не являются независимым выводом. Первая —«написано пользователем»: затронутые сообщения — это те, которые пользователь написал сам и хранил в собственных папках «Отправленные» или «Черновики», а не письма из почтовых ящиков других людей. Вторая —«Outlook desktop», что сужает проблему до одного клиента, а не до Copilot Chat повсюду. Если читать вместе, Microsoft описывает дефект, при котором людям показывали сводки их собственной защищённой переписки, — а не дефект, при котором один пользователь читал переписку другого.

Это согласуется с тем, что в архиве зафиксированы реальный вред и высокая степень серьезности, потому что вред в записи — это не раскрытие третьей стороне. Он состоит в том, что контент, который организация явно классифицировала и отгородила, все равно был принят и обработан системой ИИ — с момента первого обнаружения 21 января и до тех пор, пока исправление не дошло до этого арендатора. Собственная формулировка Microsoft признает нарушенную гарантию: продукт «спроектирован так, чтобы исключать защищенный контент из доступа Copilot», — и он этого не сделал.

Что Microsoft не сообщила ни в одном заявлении, рассмотренном для этой статьи: сколько тенантов было затронуто, сохранялось ли обработанное содержимое где-либо за пределами сводки, было ли оно видно в журналах аудита в форме, позволяющей клиентам восстановить его, и попадало ли что-либо из него в конвейер обучения модели. Компания сообщила BleepingComputer, что масштаб воздействия «может измениться по мере продолжения расследования», и с тех пор не опубликовала никаких цифр.

Кто был затронут и насколько далеко простираются доказательства

Список клиентов не публиковался. Единственная названная в публикации организация — National Health Service in England: 19 февраля BBC сообщила, что уведомление Microsoft было размещено на дашборде ИТ-поддержки NHS и что раздел уведомления на этом сайте подразумевает, что NHS затронута. В том же репортаже BBC также говорится, что ей сообщили: содержимое любого черновика или отправленного электронного письма, обработанного Copilot Chat, останется у их создателей, а информация о пациентах не была раскрыта. VentureBeat в более позднем анализе сообщает, что NHS зарегистрировала эту проблему внутри системы как INC46740412.

Страница поддержки NHS, на которую ссылаются эти издания, теперь перенаправляет на главную страницу supporthub.nhs.net, поэтому само уведомление не удалось прочитать для этой статьи; характеристика, данная ему BBC, — это доступное доказательство, и она получена из вторых рук. В архиве регион классифицируется как глобальный, что согласуется с обновлением конфигурации, которое, по словам Microsoft, было развернуто по всему миру, но ни одна юрисдикция не опубликовала список затронутых арендаторов.

В остальном независимое подтверждение ключевых фактов остаётся надёжным. Технический обозреватель BBC Лив Макмагон 19 февраля подтвердила механизм и заявление Microsoft; Николь Коби из IT Pro в тот же день подтвердила дату обнаружения — 21 января — и идентификатор отслеживания; TechCrunch 18 февраля сообщил, что Microsoft не стала говорить, сколько клиентов пострадало. Ни одно из этих изданий не оспаривает последовательность событий. Ни одно из них независимо не проверило, что Copilot сделал с содержимым.

Что изменилось, а что нет

Исправление Microsoft представляло собой точечное исправление кода плюс изменение конфигурации. Обновление предупреждения от 20 февраля, процитированное BleepingComputer, гласит:

Наше целевое исправление кода для предотвращения дальнейшего воздействия продвигается и уже охватило большинство затронутых сред. Развертывание продолжается только для небольшой части наших более сложных сервисных сред.

Таким образом, мы считаем, что первопричина этой проблемы была устранена для большинства клиентов, и новые электронные письма для клиентов, получивших исправление, не будут затронуты в дальнейшем.

До этого, 18 февраля, Microsoft заявила, что отслеживает ход развёртывания и связывается с частью затронутых пользователей, чтобы убедиться, что исправление сработало. Тогда окончательные сроки устранения проблемы не назывались, и с тех пор они так и не были опубликованы.

Что не изменилось — так это архитектура контроля, которая допустила сбой. Метка и правило DLP по-прежнему описывают замысел; механизм извлечения Copilot по-прежнему обеспечивает его соблюдение. Утверждение Microsoft о том, что её «элементы управления доступом и политики защиты данных остались неизменными», верно лишь в той мере, в какой оно простирается, — политики не были изменены или удалены, — но оно также означает, что эти политики никогда не были тем, что фактически выполняло блокировку.

Что устанавливает запись, а что она лишь утверждает

В этом инциденте присутствуют три уровня утверждений, и их стоит различать.

Установлено: дефект кода на вкладке работы Copilot Chat приводил к тому, что помеченные сообщения, защищённые DLP, в папках «Отправленные» и «Черновики» подвергались суммированию; Microsoft обнаружила его 21 января 2026 года, отслеживала его под номером CW1226324, начала исправлять его в начале февраля и к 20 февраля заявила, что первопричина устранена для большинства клиентов. Эти факты взяты из собственного оповещения службы Microsoft и подтверждаются BBC, IT Pro и TechCrunch.

Утверждается Microsoft, но независимо не подтверждено:что никто не получил доступа к информации, которую не был уже уполномочен просматривать; что соответствующие сообщения были созданы затронутым пользователем и ограничивались настольной версией Outlook; и что средства контроля доступа и политики защиты данных оставались неизменными на протяжении всего этого времени.

Никем не установлено: число затронутых организаций; объём обработанных сообщений; что произошло с содержимым после суммирования; и открыл ли какой-либо регулятор расследование. Ни в одном из материалов, рассмотренных для этой статьи, не называется ни одного.

Надер Хенеин, аналитик Gartner по защите данных и управлению ИИ, сказал BBC, что «такого рода промахи неизбежны», учитывая, как часто выпускаются новые возможности ИИ, и что организации обычно отключали бы функцию и ждали, пока механизмы управления не догонят, — но давление, создаваемое хайпом вокруг ИИ, делает это почти невозможным. Профессор Алан Вудворд из Университета Суррея сказал тому же изданию, что этот инцидент показывает, почему такие инструменты должны быть конфиденциальными по умолчанию и включаться только с явного согласия. Оба высказывания характеризуют общую закономерность, а не являются выводами об этом конкретном дефекте, и читать их следует именно так.

Узкий урок, который подтверждают материалы, менее драматичен, чем заголовки, и более полезен: отказал именно тот механизм контроля, который клиент явно настроил, причём отказ произошёл в слое, который клиент не мог проверить. Исправление Microsoft закрыло этот путь в коде. Но оно не дало арендаторам способа независимо убедиться, что этот путь остаётся закрытым.