Copilot Chat 因代码缺陷连续数周摘要机密电子邮件

Microsoft 365 Copilot Chat 读取并汇总了其自身配置本应使其无法访问的电子邮件。Microsoft 的服务警报（在管理员消息中心中追踪为 CW1226324）将首次检测时间定为 2026 年 1 月 21 日，而修复在四周后仍在逐步推出。该问题影响了 Microsoft 365 Copilot Chat 内的“工作”选项卡聊天，该聊天从用户的“已发送邮件”和“草稿”文件夹中提取邮件并进行汇总，即使这些邮件带有“机密”敏感度标签，且已配置数据丢失防护策略来专门阻止这种情况。BleepingComputer 于 2026 年 2 月 18 日报道了该警报，档案中该条目所标注的日期正是这一天；Microsoft 尚未说明有多少组织受到影响。完整记录及其严重性和置信度评级收录于 Orca AI Incident Archive，与本系列的其他条目并列。

Copilot Chat 是微软的内容感知助手，允许用户从 Word、Excel、PowerPoint、Outlook 和 OneNote 内部向 AI 代理发起查询。据 BleepingComputer 报道，微软于 2025 年 9 月开始向付费的 Microsoft 365 商业客户逐步推出该功能。这意味着受影响群体是那些购买了该产品、随后又应用了与该产品一同销售时配套的治理控制措施的企业租户。

服务警报实际上说了什么

这里的主要文档不是已发布的公告或 CVE 记录。它是 Microsoft 365 管理中心中的一条消息，租户管理员可见，BleepingComputer 称其看到并引用了这条消息。正如该媒体所转载的，Microsoft 的措辞明确说明了其机制：

应用了机密标签的用户电子邮件正被 Microsoft 365 Copilot 聊天错误地处理。

“Microsoft 365 Copilot‘工作选项卡’中的聊天正在汇总电子邮件，即使这些电子邮件已应用敏感度标签且已配置 DLP 策略。”

一个代码问题导致，即使已设置机密标签，Copilot 仍能获取“已发送邮件”和“草稿”文件夹中的项目。

BleepingComputer 指出，微软将该条目标记为 公告，而非事件——该媒体称，这一标记通常用于范围或影响有限的服务问题。微软的警报以及本文所查阅的任何报道中均未出现 CVE 标识符。这是托管服务中的服务器端缺陷，而不是带有补丁公告的产品缺陷，因此该记录存在于服务运行状况控制台中，而不是微软的安全响应中心。

微软公布的时间线，以及它未予说明的部分

该警报中的日期是记录中最确凿的信息，而且它们出自微软自己。

首次发现与首份公开报告之间相隔四周。Microsoft 自己的说明没有提及该缺陷在1月21日之前已存在多久，也没有给出所有租户都收到修复的日期。2月20日的更新称，对于其所谓的“一小部分更复杂的服务环境”，部署仍在进行中——这一说法意味着当时仍有一些客户处于暴露状态，但没有说明是哪些客户或有多少。

四项控制，以及那个让步的

这起事件之所以是治理失效，而不是一次简单的误触发，是因为所有控制措施都已到位，只有最后一道失效了。敏感度标签、DLP 策略和租户访问控制是三种相互独立的机制，而 Copilot 自身的检索路径是第四种。警报称前两项已配置。Microsoft 表示第三项守住了。第四项没有。

这种区分对于任何将该事件视为数据泄露的人来说都很重要。敏感度标签是附加在消息上的意图声明；它本身并不能阻止任何事情。必须有某个组件读取它并拒绝执行。在 Microsoft 365 租户的正常运行过程中，这个组件就是用于共享的 DLP 引擎，以及用于 AI 处理的 Copilot 检索层。根据该警报，标签和 DLP 规则都存在，但消息还是被总结了，因为本应查询它们的代码路径并没有这样做。

微软称哪些内容被暴露，以及它没有说什么

微软于2月19日——文章发布后的第二天——向BleepingComputer发表声明，作出了实质性评论；公司随后向BBC和IT Pro重复了该声明：

我们发现并解决了一个问题：Microsoft 365 Copilot Chat 可能会返回由用户撰写、标记为机密并存储在其 Outlook 桌面版“草稿”和“已发送邮件”中的电子邮件内容。这并未使任何人获得其原本无权查看的信息。

虽然我们的访问控制和数据保护策略仍然完好，但此行为不符合我们预期的 Copilot 体验，该体验旨在将受保护内容排除在 Copilot 访问范围之外。我们已在全球范围为企业客户部署了一项配置更新。

那句话里的两个短语起到了很大的收窄作用，而且两者都出自微软，而非独立调查的发现。第一个是“由用户撰写”：受影响的邮件是用户自己撰写并保存在自己的“已发送邮件”或“草稿”中的邮件，而不是来自他人邮箱的邮件。第二个是“Outlook 桌面版”，它把故障限定在一个客户端，而不是所有地方的 Copilot Chat。合起来看，微软描述的是一种缺陷：用户被展示了自己受保护通信的摘要——而不是一个用户读到了另一个用户邮件的缺陷。

这与该档案所记录的真实伤害及高严重性相符，因为记录中的伤害并不是向第三方披露，而是一个组织已明确归类并隔离的内容仍被 AI 系统摄取和处理——从 1 月 21 日首次发现，一直到修复措施到达该租户。Microsoft 自己的表述承认了被打破的保证：该产品“旨在将受保护内容排除在 Copilot 访问之外”，但它并没有做到。

微软在本文查阅的所有声明中都没有说明：有多少租户受到影响、被处理的内容是否在摘要之外的任何地方留存、这些内容是否以客户可以还原的形式出现在审核日志中，以及其中是否有任何部分进入了模型训练流程。该公司对 BleepingComputer 表示，影响范围“可能会随着调查的深入而变化”，但此后一直没有公布任何具体数字。

谁受到了影响，以及证据能覆盖到什么程度

尚未公布任何客户名单。报道中唯一被点名的组织是英格兰的 National Health Service：BBC 于2月19日报道称，微软的通知已被分享在一个 NHS IT 支持仪表板上，并且该网站上通知的某一部分暗示 NHS 受到了影响。同一篇 BBC 报道还称，它被告知，Copilot Chat 处理的任何草稿或已发送电子邮件的内容都将保留在其创建者处，并且患者信息未被泄露。VentureBeat 在后来的一篇分析中报道称，NHS 在内部将该问题记录为 INC46740412。

那些媒体机构引用的 NHS 支持页面现在重定向到 supporthub.nhs.net 首页，因此本文无法读取该通知本身；BBC 对其的描述是现有证据，且属于二手信息。该存档将该地区归类为全球，这与 Microsoft 所称已在全球范围部署的配置更新一致，但尚无任何司法管辖区公布受影响租户名单。

除此之外，对核心事实的独立佐证是可靠的。BBC科技记者Liv McMahon于2月19日确认了该机制以及微软的声明；IT Pro的Nicole Kobie于当天确认了1月21日的检测日期和追踪ID；TechCrunch于2月18日报道称，微软不愿透露有多少客户受到影响。这些媒体均未对事件顺序提出异议。它们也都没有独立核实Copilot对内容做了什么。

哪些变了，哪些没变

微软的补救措施是一次有针对性的代码修复外加一项配置更改。BleepingComputer 引述的 2 月 20 日警报更新内容如下：

我们旨在防止进一步影响的针对性代码修复正在推进，并已覆盖大多数受影响的运行环境。我们的部署仍在进行中，仅剩一小部分较为复杂的服务环境尚未完成。

“因此，我们认为，对大多数客户而言，该问题的根本原因已经得到解决；对于已收到修复的客户，今后新的电子邮件消息将不会受到影响。”

在此之前，微软于2月18日表示，正在监控部署情况，并联系部分受影响用户以核实修复是否有效。当时未给出最终修复时间表，此后也未曾公布。

没有改变的是那个让故障得以发生的控制架构。标签和 DLP 规则仍然描述的是意图；Copilot 的检索路径仍然在执行它。微软关于其“访问控制和数据保护策略保持完好”的说法就其本身而言是准确的——这些策略没有被更改或删除——但这也意味着，策略从来都不是实际执行阻止的东西。

记录所确立的内容，以及它仅仅断言的内容

这起事件中包含着三个层次的主张，值得将它们区分开来。

已确认：Copilot Chat 工作选项卡中的一个代码缺陷导致“已发送邮件”和“草稿”中带标签且受 DLP 保护的消息被生成摘要；Microsoft 于 2026 年 1 月 21 日检测到该缺陷，将其作为 CW1226324 跟踪，于 2 月初开始修复，并在 2 月 20 日前表示大多数客户的根本原因已得到解决。这些事实来自 Microsoft 自己的服务警报，并得到 BBC、IT Pro 和 TechCrunch 的佐证。

微软声称，但未经独立核实：没有人获取到其原本未获授权查看的信息；所涉及的消息均由受影响用户本人撰写，且仅限于 Outlook 桌面端；访问控制与数据保护策略自始至终保持完好。

无人证实：受影响组织的数量；已处理消息的数量；内容在生成摘要后发生了什么；以及是否有任何监管机构启动了调查。本文所查阅的报道均未提及其中任何一项。

Gartner 的数据保护与 AI 治理分析师 Nader Henein 告诉 BBC，鉴于新的 AI 能力发布得如此频繁，“这类失误是不可避免的”；他还表示，组织通常会关闭某项功能，等待治理跟上，但 AI 炒作带来的压力使这几乎不可能。萨里大学的 Alan Woodward 教授对同一家媒体表示，这一事件表明，为什么此类工具应当默认保护隐私，并且只能选择加入。这两者都是对这一模式的概括，而非关于这一具体缺陷的调查结论，应当如此理解。

记录所支持的教训并不宽泛，也不像新闻标题那样耸动，却更有用：失效的正是客户明确配置的那项控制措施，而且它失效在客户无法检查的层级。微软的修复关闭了该代码路径，却没有给租户提供一种独立验证该路径持续保持关闭的方法。