Copilot Chat đã tóm tắt email mật trong nhiều tuần vì một lỗi mã nguồn

Microsoft 365 Copilot Chat đã đọc và tóm tắt các email mà theo cấu hình của chính nó lẽ ra không được phép truy cập. Cảnh báo dịch vụ của Microsoft, được theo dõi trong Trung tâm thông báo dành cho quản trị viên với mã CW1226324, ghi nhận lần phát hiện đầu tiên vào ngày 21 tháng 1 năm 2026, và bản sửa lỗi vẫn đang được triển khai bốn tuần sau đó. Nó ảnh hưởng đến trò chuyện ở "tab công việc" trong Microsoft 365 Copilot Chat, vốn đã lấy các tin nhắn từ thư mục Thư đã gửi và Thư nháp của người dùng và tóm tắt chúng ngay cả khi những tin nhắn đó mang nhãn độ nhạy cảm Confidential và một chính sách ngăn chặn mất dữ liệu đã được cấu hình để ngăn chặn chính xác điều đó. BleepingComputer đã đưa tin về cảnh báo này vào ngày 18 tháng 2 năm 2026, ngày mà kho lưu trữ gán cho mục này; Microsoft chưa cho biết có bao nhiêu tổ chức bị ảnh hưởng. Hồ sơ đầy đủ, cùng với phân loại mức độ nghiêm trọng và độ tin cậy của nó, nằm trong Orca AI Incident Archive, cùng với các mục khác trong loạt bài này.

Copilot Chat là trợ lý nhận biết nội dung của Microsoft, cho phép người dùng truy vấn các tác nhân AI ngay từ bên trong Word, Excel, PowerPoint, Outlook và OneNote. Theo BleepingComputer, Microsoft bắt đầu triển khai nó tới các khách hàng doanh nghiệp trả phí của Microsoft 365 vào tháng 9 năm 2025. Điều đó đồng nghĩa nhóm bị ảnh hưởng là các tenant doanh nghiệp đã mua sản phẩm rồi áp dụng các biện pháp kiểm soát quản trị đi kèm khi sản phẩm được bán.

Cảnh báo dịch vụ thực sự đã nói gì

Tài liệu chính ở đây không phải là một bản tư vấn đã công bố hay một bản ghi CVE. Đó là một thông báo trong trung tâm quản trị Microsoft 365, hiển thị với quản trị viên tenant, mà BleepingComputer cho biết đã nhìn thấy và trích dẫn. Cách diễn đạt của Microsoft, như trang tin này đã tái hiện, nêu cụ thể về cơ chế:

Các tin nhắn email của người dùng được gắn nhãn bảo mật đang bị Microsoft 365 Copilot chat xử lý không đúng.

Chat trong tab "công việc" của Microsoft 365 Copilot đang tóm tắt các email mặc dù các email này đã được áp nhãn độ nhạy cảm và chính sách DLP đã được định cấu hình.

Một lỗi mã đang khiến các mục trong thư mục Thư đã gửi và Bản nháp bị Copilot thu thập, mặc dù nhãn bảo mật đã được thiết lập.

BleepingComputer lưu ý rằng Microsoft đã gắn nhãn mục này là khuyến cáo thay vì một sự cố — một dấu hiệu mà trang này mô tả là thường được dùng cho các vấn đề dịch vụ có phạm vi hoặc tác động hạn chế. Không có mã định danh CVE nào xuất hiện trong cảnh báo của Microsoft hoặc trong bất kỳ nội dung đưa tin nào được xem xét cho bài viết này. Đây là một khiếm khuyết phía máy chủ trong một dịch vụ được lưu trữ, không phải lỗi sản phẩm kèm bản tin vá, đó là lý do bản ghi nằm trong bảng điều khiển tình trạng dịch vụ thay vì trong trung tâm ứng phó bảo mật của Microsoft.

Dòng thời gian mà Microsoft đã công bố, và phần còn để ngỏ

Ngày tháng của cảnh báo là thứ chắc chắn nhất trong hồ sơ, và chúng là của chính Microsoft.

Bốn tuần là khoảng cách giữa lần phát hiện đầu tiên và báo cáo công khai đầu tiên. Bản tường trình của chính Microsoft không cho biết khiếm khuyết đã tồn tại bao lâu trước ngày 21 tháng 1, và cũng không đưa ra ngày mà mọi khách thuê đã nhận được bản sửa lỗi. Bản cập nhật ngày 20 tháng 2 cho biết quá trình triển khai vẫn đang diễn ra đối với thứ mà họ gọi là “một phần nhỏ trong các môi trường dịch vụ phức tạp hơn của chúng tôi” — đây là một tuyên bố rằng một số khách hàng vẫn còn bị ảnh hưởng vào thời điểm đó, mà không nói rõ là những ai hay bao nhiêu người.

Bốn biện pháp kiểm soát, và một biện pháp đã nhượng bộ

Lý do đây là một thất bại về quản trị chứ không phải chỉ là một sự cố trục trặc đơn giản là các biện pháp kiểm soát đều đã có sẵn và chỉ có biện pháp cuối cùng bị hỏng. Nhãn độ nhạy cảm, chính sách DLP và kiểm soát truy cập tenant là ba cơ chế riêng biệt, còn đường truy xuất riêng của Copilot là cơ chế thứ tư. Cảnh báo cho biết hai cơ chế đầu đã được cấu hình. Microsoft nói cơ chế thứ ba đã giữ vững hiệu lực. Cơ chế thứ tư thì không.

Sự phân biệt đó có ý nghĩa với bất kỳ ai đọc sự cố này như một vụ vi phạm dữ liệu. Nhãn độ nhạy cảm là một tuyên bố về ý định gắn với một thông điệp; bản thân nó không ngăn chặn bất cứ điều gì. Phải có thứ gì đó đọc nó và từ chối. Trong hoạt động bình thường của một tenant Microsoft 365, thứ đó là công cụ DLP đối với chia sẻ và lớp truy xuất Copilot đối với xử lý AI. Theo cảnh báo, cả nhãn và quy tắc DLP đều đã hiện diện, và các thông điệp vẫn được tóm tắt, vì đường dẫn mã lẽ ra phải tham chiếu đến chúng đã không làm vậy.

Những gì Microsoft nói đã bị phơi bày, và những gì họ không nói

Bình luận thực chất của Microsoft được đưa ra vào ngày 19 tháng 2, một ngày sau bài báo, trong một tuyên bố gửi BleepingComputer mà công ty đã lặp lại với BBC và IT Pro:

"Chúng tôi đã xác định và khắc phục một sự cố trong đó Microsoft 365 Copilot Chat có thể trả về nội dung từ các email được gắn nhãn bảo mật do một người dùng tạo và lưu trữ trong mục Bản nháp và Thư đã gửi của họ trong ứng dụng Outlook trên máy tính. Sự cố này không cấp cho bất kỳ ai quyền truy cập vào thông tin mà họ chưa được phép xem."

Mặc dù các biện pháp kiểm soát truy cập và chính sách bảo vệ dữ liệu của chúng tôi vẫn được giữ nguyên, hành vi này không đáp ứng trải nghiệm Copilot dự kiến của chúng tôi, vốn được thiết kế để loại trừ nội dung được bảo vệ khỏi quyền truy cập của Copilot. Một bản cập nhật cấu hình đã được triển khai trên toàn cầu cho các khách hàng doanh nghiệp.

Hai cụm từ trong câu đó làm rất nhiều việc thu hẹp phạm vi, và cả hai đều là của Microsoft, không phải một phát hiện độc lập. Cụm thứ nhất là "do người dùng tự soạn": những thư bị ảnh hưởng là thư do chính người dùng viết và lưu trong Thư đã gửi hoặc Thư nháp của họ, không phải thư từ hộp thư của người khác. Cụm thứ hai là "Outlook desktop", cụm này giới hạn lỗi trong một ứng dụng khách chứ không phải Copilot Chat ở mọi nơi. Đọc cùng nhau, Microsoft đang mô tả một khiếm khuyết trong đó mọi người được hiển thị bản tóm tắt thư từ được bảo vệ của chính họ — không phải một khiếm khuyết trong đó một người dùng đọc thư của người khác.

Điều đó khớp với việc hồ sơ lưu trữ ghi nhận tổn hại thực sự và mức độ nghiêm trọng cao, bởi vì tổn hại trong hồ sơ không phải là việc tiết lộ cho bên thứ ba. Mà là việc nội dung mà một tổ chức đã phân loại rõ ràng và rào chắn lại vẫn bị một hệ thống AI nạp vào và xử lý, từ lần phát hiện đầu tiên vào ngày 21 tháng 1 cho đến khi bản sửa lỗi đến được tenant đó. Câu văn của chính Microsoft thừa nhận cam kết đã bị phá vỡ: sản phẩm "được thiết kế để loại trừ nội dung được bảo vệ khỏi quyền truy cập của Copilot", và sản phẩm đã không làm vậy.

Những gì Microsoft chưa nói, trong bất kỳ tuyên bố nào được xem xét cho bài viết này: có bao nhiêu tenant bị ảnh hưởng, liệu nội dung đã xử lý có được lưu giữ ở bất kỳ đâu ngoài bản tóm tắt hay không, liệu nó có hiển thị trong nhật ký kiểm toán ở dạng mà khách hàng có thể tái dựng hay không, và liệu bất kỳ phần nào của nó có lọt vào quy trình huấn luyện mô hình hay không. Công ty nói với BleepingComputer rằng phạm vi ảnh hưởng "có thể thay đổi khi cuộc điều tra tiếp diễn" và chưa công bố con số nào kể từ đó.

Ai đã bị ảnh hưởng và bằng chứng cho thấy phạm vi vấn đề đến đâu

Không có danh sách khách hàng nào được công bố. Tổ chức duy nhất được nêu tên trong báo cáo là National Health Service ở Anh: BBC đưa tin vào ngày 19 tháng 2 rằng thông báo của Microsoft đã được chia sẻ trên một bảng điều khiển hỗ trợ CNTT của NHS, và rằng một phần của thông báo trên trang đó ngụ ý NHS đã bị ảnh hưởng. Cùng bản tin của BBC cũng cho biết họ được thông báo rằng nội dung của bất kỳ email nháp hoặc đã gửi nào được Copilot Chat xử lý sẽ vẫn thuộc về người tạo ra chúng, và thông tin bệnh nhân chưa bị lộ. VentureBeat, trong một phân tích sau đó, báo cáo rằng NHS đã ghi nhận sự cố này trong nội bộ là INC46740412.

Trang hỗ trợ NHS mà các hãng truyền thông đó trích dẫn hiện chuyển hướng đến trang chủ supporthub.nhs.net, nên không thể đọc được chính thông báo đó để phục vụ bài viết này; cách BBC mô tả thông báo là bằng chứng sẵn có, và đó là thông tin gián tiếp. Kho lưu trữ phân loại khu vực này là toàn cầu, phù hợp với một bản cập nhật cấu hình mà Microsoft cho biết đã triển khai trên toàn thế giới, nhưng chưa có khu vực tài phán nào công bố danh sách các đối tượng thuê bị ảnh hưởng.

Việc xác nhận độc lập các sự kiện cốt lõi otherwise vẫn vững chắc. Phóng viên công nghệ Liv McMahon của BBC đã xác nhận cơ chế và tuyên bố của Microsoft vào ngày 19 tháng 2; Nicole Kobie của IT Pro đã xác nhận ngày phát hiện 21 tháng 1 và mã theo dõi cùng ngày hôm đó; TechCrunch đưa tin vào ngày 18 tháng 2 rằng Microsoft sẽ không nói có bao nhiêu khách hàng bị ảnh hưởng. Không cơ quan nào trong số đó phản bác trình tự. Không cơ quan nào trong số họ đã xác minh độc lập những gì Copilot đã làm với nội dung đó.

Điều gì đã thay đổi, và điều gì thì không.

Biện pháp khắc phục của Microsoft là một bản sửa lỗi mã có mục tiêu cùng với một thay đổi cấu hình. Bản cập nhật cảnh báo ngày 20 tháng 2, được BleepingComputer trích dẫn, có nội dung:

Bản sửa lỗi mã có mục tiêu của chúng tôi nhằm ngăn chặn tác động thêm đang được triển khai và đã phủ khắp phần lớn các môi trường bị ảnh hưởng. Việc triển khai của chúng tôi vẫn đang tiếp tục chỉ đối với một phần nhỏ trong các môi trường dịch vụ phức tạp hơn của chúng tôi.

Do đó, chúng tôi tin rằng nguyên nhân gốc rễ của vấn đề này đã được khắc phục đối với hầu hết khách hàng và không có thông điệp email mới nào dành cho những khách hàng đã nhận được bản sửa lỗi sẽ bị ảnh hưởng trong thời gian tới.

Trước đó, vào ngày 18 tháng 2, Microsoft cho biết họ đang theo dõi việc triển khai và liên hệ với một nhóm người dùng bị ảnh hưởng để xác minh rằng bản sửa lỗi đã hoạt động. Khi đó, không có mốc thời gian khắc phục cuối cùng nào được đưa ra và kể từ đó cũng chưa có mốc nào được công bố.

Điều không thay đổi là kiến trúc kiểm soát đã cho phép sự cố đó xảy ra. Nhãn và quy tắc DLP vẫn mô tả ý định; luồng truy xuất của Copilot vẫn thực thi điều đó. Tuyên bố của Microsoft rằng "các biện pháp kiểm soát truy cập và chính sách bảo vệ dữ liệu vẫn nguyên vẹn" là chính xác trong phạm vi nó đề cập — các chính sách không bị sửa đổi hay xóa bỏ — nhưng điều đó cũng có nghĩa là các chính sách chưa bao giờ là thứ thực sự thực hiện việc chặn.

Điều mà hồ sơ xác lập, và điều mà nó chỉ khẳng định

Ba tầng khiếu nại nằm trong sự cố này, và chúng đáng được tách biệt rõ ràng.

Đã xác lập: một lỗi mã trong tab công việc của Copilot Chat đã khiến các tin nhắn có nhãn, được bảo vệ bởi DLP trong Sent Items và Drafts bị tóm tắt; Microsoft đã phát hiện lỗi này vào ngày 21 tháng 1 năm 2026, theo dõi lỗi với mã CW1226324, bắt đầu khắc phục vào đầu tháng 2 và cho biết đến ngày 20 tháng 2 rằng nguyên nhân gốc đã được xử lý đối với hầu hết khách hàng. Những dữ kiện đó đến từ cảnh báo dịch vụ của chính Microsoft và được BBC, IT Pro và TechCrunch xác nhận.

Microsoft khẳng định, chưa được xác minh độc lập: rằng không ai truy cập được thông tin mà họ chưa được phép xem; rằng các tin nhắn liên quan do người dùng bị ảnh hưởng soạn và chỉ giới hạn ở Outlook trên máy tính; và rằng các biện pháp kiểm soát truy cập và chính sách bảo vệ dữ liệu vẫn nguyên vẹn trong suốt quá trình.

Không ai xác lập được:số lượng tổ chức bị ảnh hưởng; khối lượng tin nhắn được xử lý; điều gì đã xảy ra với nội dung sau khi tóm tắt; và liệu có cơ quan quản lý nào đã mở cuộc điều tra hay không. Không có bài đưa tin nào được xem xét cho bài viết này nêu tên một cơ quan như vậy.

Nader Henein, chuyên gia phân tích về bảo vệ dữ liệu và quản trị AI tại Gartner, nói với BBC rằng "kiểu sai sót này là không thể tránh khỏi" khi các năng lực AI mới được tung ra thường xuyên đến vậy, và rằng thông thường các tổ chức sẽ tắt một tính năng và chờ bộ máy quản trị theo kịp — nhưng áp lực do sự cường điệu về AI tạo ra khiến điều đó gần như bất khả thi. Giáo sư Alan Woodward của Đại học Surrey nói với cùng cơ quan truyền thông rằng sự cố này cho thấy vì sao những công cụ như vậy nên riêng tư theo mặc định và chỉ được bật khi người dùng chủ động chọn. Cả hai đều là những mô tả về khuôn mẫu chung chứ không phải kết luận về lỗi cụ thể này, và nên được hiểu theo cách đó.

Bài học hẹp mà hồ sơ chứng cứ ủng hộ thì ít kịch tính hơn các tiêu đề và hữu ích hơn: biện pháp kiểm soát đã thất bại chính là biện pháp mà khách hàng đã cấu hình rõ ràng, và nó thất bại ở một lớp mà khách hàng không thể kiểm tra. Bản vá của Microsoft đã đóng đường dẫn mã. Nó không cho các đối tượng thuê một cách để xác minh độc lập rằng đường dẫn đó vẫn đóng.