企業向け「Microsoft 365 Copilot」、DLP設定無視で機密メール内容を要約 修正プログラム展開中

Microsoftは、企業向け有償サービス「Microsoft 365 Copilot」の「Copilot Chat」がDLPポリシーや機密ラベルを回避し、顧客の機密メールを不適切に要約していた問題を認めた。送信済みや下書きフォルダの機密メールがインデックス化されたことが原因。1月下旬から発生し、現在は修正プログラムを展開中だが、詳細な影響規模や監査ログは公表されていない。

[ITmedia]

　米Microsoftは、Copilotが数週間にわたって顧客の機密メールを要約してきたことを認めた。米Bleeping Computerが2月18日（現地時間）に報じた。この問題はMicrosoft内で「CW1226324」として追跡されている。企業が機密情報を保護するために設定しているデータ損失防止（DLP）ポリシーや機密ラベルをAIが回避してしまう不具合という。

Microsoft 365 Copilot（画像：Microsoft）

　Microsoftのアドバイザリによると、原因は「コードの不具合（バグ）」によるものという。自動処理から除外するよう「機密」ラベルが明示的に設定されているメールにもかかわらず、ユーザーの「送信済みアイテム」および「下書き」フォルダに保存されている機密メールがCopilotによって不適切にインデックス化され、要約の対象となっていた。

　この異常な挙動は1月21日頃に最初に検出され、Microsoftは2月上旬からサーバ側での修正プログラムの展開を開始した。同社は現在も修正の展開状況を監視しており、影響を受けた一部の顧客に対して修正の有効性を確認するための連絡を行っている。なお、無料版や個人向けのCopilotアカウントはこの問題の影響を受けていないという。

　現段階ではMicrosoftは影響を受けた顧客の総数を公表しておらず、詳細な監査ログも提供していない。