Copilot Chat 因程式碼錯誤，數週來持續摘要機密電子郵件

Microsoft 365 Copilot Chat 讀取並摘要了其自身設定本應讓它無法接觸的電子郵件。Microsoft 的服務警示在系統管理員訊息中心以 CW1226324 追蹤，將首次偵測時間定為 2026 年 1 月 21 日，而修復措施在四週後仍在陸續推出。它影響了 Microsoft 365 Copilot Chat 內的「工作索引標籤」聊天，該聊天會從使用者的「寄件備份」和「草稿」資料夾提取郵件並加以摘要，即使這些郵件帶有「機密」敏感度標籤，且已設定資料外洩防護原則來阻止這種情況也一樣。BleepingComputer 於 2026 年 2 月 18 日報導此警示，該日期是檔案庫指派給此條目的日期；Microsoft 尚未說明有多少組織受到影響。完整記錄（包含其嚴重性與信心評級）收錄於 Orca AI Incident Archive，與本系列的其他條目並列。

Copilot Chat 是 Microsoft 的內容感知助理，讓使用者能在 Word、Excel、PowerPoint、Outlook 和 OneNote 內向 AI 代理提出查詢。根據 BleepingComputer 報導，Microsoft 於 2025 年 9 月開始向付費的 Microsoft 365 商業客戶推出此功能。這使得受影響的群體，正是那些已購買該產品、隨後又套用了與該產品一同銷售的治理控制措施的企業租戶。

服務警示實際上說了什麼

這裡的主要文件不是已發布的公告或 CVE 記錄。它是 Microsoft 365 系統管理中心的一則訊息，租用戶系統管理員可見，BleepingComputer 表示它看到並引用了這則訊息。如該媒體所轉述，Microsoft 的措辭對機制有具體說明：

使用者套用了機密標籤的電子郵件訊息，正被 Microsoft 365 Copilot 聊天功能錯誤地處理。

Microsoft 365 Copilot 的「工作索引標籤」Chat 正在摘要電子郵件訊息，即使這些電子郵件訊息已套用敏感度標籤，且已設定 DLP 原則。

程式碼問題導致即使已設定機密標籤，Copilot 仍會讀取寄件備份和草稿資料夾中的項目。

BleepingComputer 指出，Microsoft 將該項目標記為諮詢公告，而非事件——該媒體形容這個標記通常用於範圍或影響有限的服務問題。Microsoft 的警示或本文檢視的任何報導中，都沒有出現 CVE 識別碼。這是託管服務中的伺服器端缺陷，而非有修補公告的產品瑕疵，因此記錄位於服務健康狀態主控台，而不是 Microsoft 的安全回應中心。

微軟公布的時間表，以及它留下未交代的部分

這則警示的日期是紀錄中最確鑿的內容，而且出自微軟本身。

從首次偵測到第一份公開報告之間相隔四週。微軟自己的說法並未說明該缺陷在 1 月 21 日之前已存在多久，也未給出每個租用戶都收到修正的日期。2 月 20 日的更新表示，部署仍在進行中，對象是其所稱「我們較複雜服務環境中的一小部分」——這等於表明當時仍有部分客戶暴露於風險中，卻未說明是哪些客戶或有多少。

四項控制，以及其中讓步的那一項

這之所以是治理失效，而非單純的失誤，是因為所有控制措施原本都已到位，只有最後一道失效。敏感度標籤、DLP 原則與租用戶存取控制是三套各自獨立的機制，而 Copilot 本身的擷取路徑則是第四套。警示指出前兩項已設定。Microsoft 表示第三項仍有效。第四項則沒有。

這項區別對任何將該事件視為資料外洩的人來說都很重要。敏感度標籤是附加在訊息上的意圖聲明；它本身無法阻止任何事。必須有某個機制讀取它並加以拒絕。在 Microsoft 365 租用戶的正常運作中，這個機制對分享而言是 DLP 引擎，對 AI 處理而言則是 Copilot 擷取層。根據警示，標籤和 DLP 規則都存在，訊息卻仍被摘要，因為原本應該參照它們的程式碼路徑並沒有這麼做。

微軟表示哪些內容遭到曝光，以及它沒有說明的事

微軟的實質評論於2月19日出現，也就是文章發布後隔天，該公司在給BleepingComputer的聲明中作出評論，並向BBC和IT Pro重複了這份聲明：

我們已找出並處理一個問題：Microsoft 365 Copilot Chat 可能會傳回由使用者撰寫、標示為機密，並儲存在其 Outlook 桌面版「草稿」和「寄件備份」中的電子郵件內容。這並未讓任何人取得其原本未獲授權查看的資訊。

雖然我們的存取控制與資料保護政策仍維持不變，但這種行為並不符合我們預期的 Copilot 體驗，該體驗的設計本意是將受保護的內容排除在 Copilot 的存取範圍之外。我們已針對企業客戶在全球部署了一項設定更新。

該聲明中有兩個片語發揮了很大的限縮作用，而且兩者都出自微軟，並非獨立調查發現。第一個是「由使用者撰寫」：受影響的訊息是使用者自己撰寫並保留在自己「寄件備份」或「草稿」中的訊息，而不是來自他人信箱的郵件。第二個是「Outlook 桌面版」，這將問題範圍限定在單一用戶端，而非各處的 Copilot Chat。合起來看，微軟描述的是這樣一種缺陷：使用者被顯示了自己受保護通訊的摘要——而不是一種使用者讀取了他人通訊的缺陷。

這與檔案記錄了真實損害及高嚴重性是一致的，因為記錄中的損害並非向第三方披露。而是某個組織已明確分類並圈隔的內容，仍被 AI 系統攝取並處理，從 1 月 21 日首次偵測到修復措施送達該租戶為止。微軟自己的說法承認了被打破的保證：該產品「旨在將受保護內容排除於 Copilot 存取之外」，而它並未做到。

微軟在本文審閱過的任何聲明中，都未曾說明的事項包括：有多少租用戶受到影響、處理過的內容是否在摘要之外的其他地方被保留、它是否以客戶能夠重建的形式出現在稽核記錄中，以及其中是否有任何部分流入模型訓練流程。該公司向 BleepingComputer 表示，影響範圍「可能隨著調查持續而有所變動」，且至今未公布任何數字。

誰受到了影響，以及證據涵蓋的範圍有多大

尚未公布任何客戶名單。報導中唯一被點名的組織是英格蘭的國民保健署（National Health Service）：BBC 於 2 月 19 日報導，微軟的通知已被分享到 NHS 的 IT 支援儀表板上，而該網站上通知的某個部分暗示 NHS 受到影響。同一篇 BBC 報導還稱，BBC 獲悉，Copilot Chat 處理的任何草稿或已寄出電子郵件的內容都會保留在其建立者手中，且病患資訊並未外洩。VentureBeat 在後來的一篇分析中報導，NHS 已將該問題在內部記錄為 INC46740412。

那些媒體引用的 NHS 支援頁面現在會重新導向 supporthub.nhs.net 首頁，因此本文無法閱讀該通知本身；BBC 對它的描述是現有證據，而且是二手資料。檔案庫將該區域歸類為全球，這與 Microsoft 表示已在全球部署的組態更新一致，但沒有任何司法管轄區公布受影響租用戶的清單。

對核心事實的獨立佐證在其他方面相當扎實。BBC 科技記者 Liv McMahon 於2月19日確認了該機制與微軟的聲明；IT Pro 的 Nicole Kobie 同日確認了1月21日的偵測日期與追蹤 ID；TechCrunch 於2月18日報導，微軟不願說明有多少客戶受到影響。這些媒體均未質疑該事件順序。它們也都沒有獨立驗證 Copilot 對這些內容做了什麼。

哪些改變了，哪些沒有

Microsoft 的補救措施是針對性的程式碼修正，加上一項設定變更。BleepingComputer 引述的 2 月 20 日警示更新內容如下：

我們為防止進一步影響而進行的針對性程式碼修正正持續推進，並已在大多數受影響的環境中全面部署。我們的部署目前僅在少數較複雜的服務環境中仍在進行。

因此，我們相信這個問題的根本原因對大多數客戶而言已經獲得解決，對於已收到修正的客戶，未來新的電子郵件訊息將不會再受到影響。

在此之前，Microsoft 於2月18日表示，正在監控部署情況，並聯繫部分受影響的使用者，以確認修正是否有效。當時並未提供最終的補救時程，此後也未公布任何時程。

沒有改變的是讓這起失效得以發生的控制架構。標籤與 DLP 規則仍描述意圖；Copilot 的檢索路徑仍強制執行它。微軟表示其「存取控制與資料保護原則維持不變」，就其所言而言是準確的——這些原則並未被修改或刪除——但這也意味著，這些原則從來就不是實際進行阻擋的東西。

紀錄確立了什麼，以及它僅只主張了什麼

這起事件中包含三個層次的主張，值得加以區分。

確立：Copilot Chat 工作分頁中的一項程式碼缺陷，導致「寄件備份」和「草稿」中帶有標籤、受 DLP 保護的訊息被摘要；Microsoft 於 2026 年 1 月 21 日偵測到該問題，將其追蹤為 CW1226324，並於 2 月初開始修復，且表示到 2 月 20 日時，大多數客戶的根本原因已獲解決。這些事實來自 Microsoft 自家的服務警示，並經 BBC、IT Pro 和 TechCrunch 佐證。

微軟所主張、未經獨立驗證的說法：沒有人取得其原本未獲授權查看的資訊；涉及的訊息是由受影響使用者所撰寫，且僅限於 Outlook 桌面版；存取控制與資料保護政策在整個過程中始終維持完好。

未經任何人證實：受影響組織的數量；處理的訊息量；內容在摘要後發生了什麼；以及是否有任何監管機構已展開調查。本文所審閱的所有報導，均未提及其中任何一項。

Gartner 的資料保護與 AI 治理分析師 Nader Henein 向 BBC 表示，鑑於新 AI 功能推出的頻率如此之高，「這類失誤無可避免」，而組織通常會關閉某項功能，等待治理機制跟上——但 AI 炒作所帶來的壓力讓這幾乎不可能。薩里大學的 Alan Woodward 教授向同一家媒體表示，這起事件說明了為何這類工具應預設為私密，且僅限主動選擇加入。兩者都是對這種模式的概括描述，而非針對這個特定缺陷的調查結果，應以此方式理解。

紀錄所能支持的狹隘教訓，不如新聞頭條那般戲劇化，卻更有用：失效的控制措施正是客戶明確設定過的那一項，而它是在客戶無法檢視的層級中失效。微軟的修正關閉了該程式碼路徑，卻沒有讓租用戶能獨立驗證該路徑持續關閉。