Kurumsal dünyada yapay zeka entegrasyonunun güvenliği tartışılırken, teknoloji devi Microsoft cephesinden endişe verici bir haber geldi. Yapılan açıklamalara göre, Microsoft 365 Copilot, normal şartlarda gizli tutulması gereken ve hassas etiketlere sahip e-postaları özetleyerek DLP (Veri Kaybı Önleme) kontrollerini baypas etti. Ocak 2026 sonunda ortaya çıkan bu güvenlik açığı, yapay zekanın kurumsal politikalara ne kadar sadık kaldığına dair soru işaretlerini yeniden gündeme taşıdı. CW1226324 koduyla izlenen bu sorun, özellikle “Gizli” veya “Özel” olarak etiketlenmiş içeriklerin Copilot tarafından işlenmesini engelleyen idari kuralların devre dışı kalmasına neden oldu. Bu durum, şirketlerin en hassas verilerinin bulunduğu Gönderilmiş Öğeler ve Taslaklar klasörlerindeki içeriklerin risk altına girmesine yol açtı.
Sorunun teknik boyutu incelendiğinde, Copilot’un e-posta özetleme mantığının, hassasiyet etiketlerini ve DLP kısıtlamalarını görmezden geldiği anlaşıldı. Özellikle Taslaklar klasöründeki onaylanmamış bilgiler veya Gönderilmiş Öğelerdeki stratejik pazarlık detayları, Copilot’un özetleme radarına girdi. Microsoft, bu durumun kasıtlı bir politika değişikliği olmadığını, aksine Copilot’un içerik toplama yolundaki bir kod hatasından (code defect) kaynaklandığını belirtti. Başka bir deyişle, yapay zeka asistanı veri toplarken güvenlik filtrelerini atlayan bir “uygulama boşluğu” oluşturdu. Şirket yetkilileri, sorunun çözümü için bir yama yayınlandığını ve etkilenen tüm kiracı (tenant) hesaplarında dağıtımın izlendiğini duyurdu.
Yapay Zeka Denetiminde Yeni Bir Risk Katmanı
Bu olay, yapay zeka araçlarının sadece basit bir kullanıcı arayüzü katmanı değil, aynı zamanda veriyi dönüştüren ve yeniden şekillendiren karmaşık sistemler olduğunu bir kez daha kanıtladı. Veri yönetişimi, ancak her erişim ve geri çağırma kanalı aynı kuralları tutarlı bir şekilde uyguladığında başarılı olabilir. Hassas e-posta özeti skandalı, yapay zekanın geleneksel e-posta paylaşma veya arama yöntemlerinden farklı, yeni ve denetlenmesi zor bir veri erişim yolu açtığını gösteriyor. Microsoft’un sunduğu bu özellik, hassas detayları özetler, küçük parçalar (snippets) ve oluşturulmuş metinler aracılığıyla istemeden de olsa ifşa edebilir. Bu da özellikle düzenlemeye tabi sektörlerde çalışan organizasyonlar için uçtan uca politika uygulamasının önemini kritik bir seviyeye taşıyor.
| Özellik | Olması Gereken (İdeal) | Hata Sırasında Yaşanan (Realite) | Analiz |
| DLP Koruması | Gizli etiketli veri işlenemez. | DLP kontrolleri atlandı. | Güvenlik duvarı AI tarafından pasifize edildi. |
| Erişim Kapsamı | Korunan içerik özetlenemez. | Gizli e-postalar özetlendi. | Kod hatası nedeniyle içerik AI’ya açıldı. |
| Etkilenen Klasörler | Tüm posta kutusu korumalıdır. | Gelen, Giden ve Taslaklar. | Özellikle ‘Draft’ klasöründeki veriler risk altındaydı. |
| Kullanıcı Yetkisi | Sadece yetkili kişi görebilir. | Yetkili kişi için özetlendi. | Dış sızıntı yok, ancak şirket içi politika ihlali var. |
| Etkilenen Özellik | Copilot Chat (Tüm App’ler) | Copilot Chat “Work” Tab | Sorunun kaynağı Copilot’un ‘İş’ sekmesiydi. |
| Yama Durumu | Tam Güvenlik | Düzeltme Yayınlandı (Şubat 2026) | Microsoft küresel bir yapılandırma güncellemesi yaptı. |
Microsoft 365 Copilot kullanan organizasyonlar için bu durum, güvenlik politikalarının “varsayımsal” değil, “doğrulanmış” olması gerektiğini hatırlatıyor. Uzmanlar, yöneticilerin hassasiyet etiketlerini ve DLP kurallarını sadece e-posta gönderimi için değil, Copilot’un özetleme ve “iş içeriği” sohbet sorguları gibi eylemlerine karşı da bizzat test etmelerini öneriyor. Özellikle Taslaklar ve Gönderilmiş Öğeler klasörleri, politika doğrulaması sırasında “yüksek riskli veri kaynakları” olarak ele alınmalıdır. Hata düzeltilmiş olsa bile, yapay zekanın veri sınırlarını zorlama potansiyeli, kurumsal denetim mekanizmalarının sürekli tetikte olmasını zorunlu kılıyor.
