近期披露的 Microsoft 365 Copilot 邮件摘要漏洞引起了企业安全团队的广泛关注。该漏洞导致 Copilot 在特定条件下绕过数据丢失防护（DLP）策略，对带有敏感标签的邮件进行摘要处理。本文将从漏洞机理出发，探讨企业 AI 助手权限控制的工程化实践方案。
漏洞概述与技术背景
2026 年 1 月 21 日，微软首次检测到编号为 CW1226324 的安全问题。该漏洞影响 Microsoft 365 Copilot 的 "work tab" 聊天功能，导致 AI 助手错误地读取和摘要用户发送邮件（Sent Items）和草稿箱（Drafts）中的邮件内容。值得注意的是，这些被错误处理的邮件本身已经应用了微软敏感度标签（sensitivity label），并且配置了相应的 DLP 策略进行保护。
微软在服务公告中确认：“应用了敏感标签的用户邮件被 Microsoft 365 Copilot 聊天错误处理。” 这意味着本应被 DLP 策略拦截的机密信息被 Copilot 读取并生成摘要，形成了实际的数据泄露风险。该问题从 1 月下旬开始影响用户，微软于 2 月初开始推送修复补丁，但截至目前尚未公布完整的时间表和受影响范围。
DLP 策略绕过的技术机理
理解这一漏洞的技术机理需要从几个层面进行分析。首先是微软敏感度标签与 DLP 策略的协同工作机制。微软信息保护（Microsoft Information Protection）体系下，敏感度标签不仅承担分类功能，还会向内容添加加密和权限管理标签。当 DLP 策略检测到带有特定敏感度标签的内容时，应自动触发阻止或警告操作。然而，Copilot 的邮件摘要功能在处理流程中引入了额外的索引和检索步骤，这一中间层绕过了标签检查机制。
其次是 Sent Items 和 Drafts 文件夹的特殊权限状态。用户在发送邮件后，邮件通常仍保留在本地 Sent Items 文件夹中，而 Drafts 文件夹则包含未发送的草稿。这两个位置的内容往往包含高度敏感的内部信息，如业务策略、合同条款或人事变动。Copilot 的索引服务在默认情况下会对这些文件夹建立全文索引，以提高搜索体验，但这个索引过程并未与 DLP 策略的实时检查机制同步。
第三是代码层面的实现缺陷。微软官方表述为 “代码错误允许 Sent Items 和 Drafts 文件夹中的邮件被 Copilot 获取，即使机密标签已设置”。这表明在 Copilot 的检索逻辑中，存在一个条件判断分支未能正确识别敏感度标签，导致即使 DLP 策略已配置，敏感邮件仍被纳入 AI 的上下文窗口进行摘要处理。
企业 AI 助手权限控制工程方案
针对此类漏洞，企业需要建立多层次的 AI 助手权限控制体系。以下是可供安全团队参考的工程化参数和配置建议。
敏感度标签与 DLP 联动强化
在微软信息保护框架内，建议企业将所有机密业务邮件的敏感度标签设置为 "Strictly Confidential" 或自定义的高敏感级别，并配置以下 DLP 策略参数：触发条件为内容包含至少 5 个敏感信息类型（如信用卡号、社会安全号码、自定义业务关键词）；动作为阻止访问并向管理员发送警报；范围涵盖 Exchange 邮箱、OneDrive 和 SharePoint。对于 Copilot 场景，应额外配置条件：“如果访问主体为 AI 服务账户，则拒绝读取带有高敏感度标签的内容”。
Copilot 权限范围精细化配置
通过 Microsoft 365 管理中心的 Copilot 设置，企业可以限制 AI 助手对特定邮件文件夹的访问能力。建议将 Sent Items 和 Drafts 文件夹明确排除在 Copilot 的检索范围之外，配置方式为在 Copilot 管理策略中设置 "EmailFolderAccessPolicy" 参数，将 "IncludeSentItems" 和 "IncludeDrafts" 均设为 false。同时，对于必须使用 Copilot 摘要功能的部门，应启用 "SupervisoryReview" 模式，要求所有 AI 生成的摘要经过人工审核后才能查看。
会话级上下文隔离
企业应考虑实施会话级上下文隔离机制，限制单个 Copilot 会话中可访问的邮件数量和历史范围。推荐参数配置为：最大单次检索邮件数不超过 10 封；会话上下文窗口限制为最近 30 天内的邮件；启用 "ContentFreshnessCheck" 功能，自动过滤超过 90 天的历史邮件。对于涉及并购、裁员或其他高敏感业务场景，建议完全禁用邮件摘要功能，改为使用关键词搜索替代方案。
监控指标与防御清单
有效的安全运营需要建立针对 AI 助手行为的监控体系。以下是关键监控指标和安全检查清单。
实时监控指标
企业安全运营中心应配置以下告警规则：Copilot 邮件访问频率异常，当单用户单日触发邮件摘要超过 50 次时自动告警；敏感标签邮件被访问事件，任何带有高敏感度标签的邮件被 Copilot 检索时记录审计日志；跨部门邮件访问模式，检测 Copilot 账户是否访问了其所属部门以外的其他用户邮箱内容。
定期安全评估清单
建议安全团队每月执行以下检查项：审查 Copilot 审计日志中的异常访问模式；验证 DLP 策略对 Copilot 服务账户的执行情况；测试敏感度标签在不同邮件场景下的保护效果；评估 AI 助手权限配置是否符合最小权限原则。
应急响应预案
当发现 Copilot 已处理敏感邮件时，应立即执行以下步骤：第一步，导出受影响邮件的完整元数据，包括访问时间、操作用户和摘要内容；第二步，评估数据泄露范围，确定是否需要通知监管机构；第三步，临时禁用受影响账户的 Copilot 邮件访问权限；第四步，与微软支持团队协调获取漏洞修复进展。
总结与建议
Microsoft 365 Copilot 邮件摘要漏洞揭示了企业 AI 助手在权限控制层面面临的独特挑战。传统的 DLP 策略设计往往假设访问主体为人类用户，而 AI 服务的新型访问模式可能打破这一假设。企业安全团队需要重新审视 AI 时代的数据保护架构，在享受 AI 效率提升的同时，确保不引入新的安全盲区。
对于已部署或计划部署 Microsoft 365 Copilot 的企业，建议立即检查当前的敏感度标签和 DLP 策略配置，评估是否需要针对 AI 访问场景进行增强。同时，建立持续的监控和审计机制，将 AI 助手行为纳入数据安全运营的核心视野。
参考资料：
- BleepingComputer: 《Microsoft says bug causes Copilot to summarize confidential emails》