Copilot 数据泄露是指通过 Microsoft 365 Copilot 或其他 Copilot 品牌的 AI 工具泄露敏感的组织信息，泄露原因包括权限过高的数据访问、提示级别的信息披露，以及在企业控制范围之外未经授权使用 AI。尽管 Microsoft 已在其 Copilot 架构中构建了有效的安全措施，但权限漏洞、个人帐户使用以及更广泛的影子 AI 环境仍然存在实际的数据泄露风险。

为什么微软声称 Copilot 比其他 GenAI 工具更安全

微软将 Copilot for Microsoft 365 定位为企业级 AI 工具，以替代消费级 AI 工具，这种说法并非完全没有道理。其架构围绕一系列安全原则构建，使其区别于 ChatGPT 或 DeepSeek 等通用工具。

首先，Copilot 会继承 Microsoft 365 的权限。当用户请求 Copilot 提供信息时，它只会检索用户在其租户内已有访问权限的内容。它不会破坏访问控制，也不会在没有预先授权的情况下索引其他用户的邮箱、SharePoint 库或 Teams 频道中的内容。与那些将数据直接上传到完全没有访问边界的外部模型的工具相比，这是一种重要的结构性安全保障。

其次，微软在设计上就实现了租户隔离。每个企业租户都作为一个逻辑上独立的环境运行。一个组织的员工收到的回复不会与其他组织的用户共享，对话数据也不会跨客户共享，从而避免一个租户的信息泄露给另一个租户。

第三，微软承诺对企业版 Copilot 客户实行“不进行模型训练”的政策。通过 M365 Copilot 交互提交的数据不会用于训练底层基础模型。这是一项正式的政策区别，将 Copilot 与免费版或消费级 GenAI 服务区分开来，后者可能会使用用户数据来改进模型，除非用户明确选择退出。

第四，Microsoft 365 Copilot 与敏感度标签和 Microsoft Purview 集成。标记为机密或高度机密的内容会将这些标签带入 Copilot 交互中，组织可以配置策略来限制对已标记内容的摘要、共享或引用方式。默认情况下，Microsoft 生态系统中其他位置建立的加密和合规性边界也会扩展到 Copilot。

这些都是合理的架构优势，数据也证实了这一点。

支持微软安全论点的相关数据

微软所描述的架构并非只是营销噱头。 2026年人工智能应用状况报告 LayerX 提供的企业级遥测数据证实，Copilot M365 在可衡量的数据暴露指标方面确实优于其他主要 AI 平台。

根据该报告，Copilot M365 在主流 AI 平台中敏感数据泄露率最低，仅为 3.65%。相比之下，ChatGPT 的敏感数据泄露率为 8.38%，DeepSeek 则高达 12.63%。实际上，这意味着员工通过 Microsoft 365 界面使用 Copilot 时，与使用其他同类工具相比，他们将敏感的组织数据提交到 AI 提示中的可能性要低得多。

身份识别图谱进一步印证了这一点。Copilot M365 显示，90.55% 的对话都是以企业身份进行的，这意味着用户在与系统互动时，其身份已通过企业员工身份验证。相比之下，ChatGPT 显示只有 38.14% 的对话是以企业身份进行的。当用户在受管环境中进行身份验证时，IT 和安全团队可以对发生的一切进行查看、策略控制和审计。 AI使用控制 跨平台分析对于正确解读这些数据至关重要，因为企业身份和个人身份使用之间的差距是大多数治理崩溃的地方。

Copilot 的企业级架构自然而然地将使用权整合到企业账户下，这是消费级工具在不单独签订企业协议的情况下无法实现的结构性优势。这的确是一项真正的差异化优势，安全团队应该认识到这一点，而不是将所有 GenAI 风险一概而论。

Copilot 内部仍然存在数据泄露

承认 Copilot 的性能优于其他替代方案并不意味着它完全没有漏洞。Copilot 环境本身仍然存在一些实际的风险敞口，完全依赖微软原生控制而没有额外强制措施的组织将承担相当大的剩余风险。

最主要的内部风险是 SharePoint 权限过度配置。Microsoft 365 Copilot 基于用户现有权限检索内容，这听起来似乎很安全，但仔细想想，在实际的企业 SharePoint 环境中，权限配置往往非常宽泛。对企业 M365 租户的研究一致表明，大量文件默认情况下对组织内的所有人开放，或者通过旧版配置广泛共享。当 Copilot 获得 Microsoft Graph 的访问权限后，它可以根据自然语言查询显示任何权限过度配置的内容，包括薪资数据、合并文件、人事记录以及董事会级别的沟通记录——这些内容在技术上是可访问的，但实际上却隐藏在层级深厚的文件夹结构中。Copilot 消除了这种实际的隐蔽性。

提示级别的泄露是另一个问题。员工经常会将敏感数据直接粘贴到提示框中作为提问的上下文，而不管底层文件的权限或标签如何。例如，用户请求 Copilot 帮助起草对客户投诉的回复时，可能会粘贴整个投诉流程，包括个人数据、合同条款或财务细节。文件的敏感度标签无法控制用户在文本框中输入的内容，而这仅靠架构本身无法弥补。解决这个问题需要在输入点进行主动监控，而这正是关键所在。 预防人工智能滥用 实施控制措施在操作上变得必要。

基于 Bing 的查询代表了第三类。在某些配置下，Copilot 可以利用 Bing 获取基于 Web 的响应，并且某些 Copilot 界面会将内部租户数据与外部搜索结果混合使用。当查询离开租户边界访问 Bing 时，管理 M365 数据的安全属性不再以相同的方式适用。在这些提示上下文中提交的数据可能会在纯粹的租户隔离环境之外进行处理，从而重新引入了原本被微软架构所消除的风险。

影子人工智能和个人账户问题

即使 Copilot 的内部架构完美无缺，企业级人工智能风险也远不止 Copilot 本身。《2026 年人工智能使用状况报告》揭示了一个隐性人工智能问题，而安全团队一直低估了这个问题的严重性。

在企业环境中，47.11% 的 AI 对话都通过个人账户进行。近一半的员工 AI 活动发生在企业身份管理之外、企业许可协议之外，以及组织部署的任何治理框架之外。这并非 Copilot 本身的问题，而是与 Copilot 密切相关的问题：如果组织保护了其 M365 Copilot 环境，却对浏览器层面的 AI 活动疏于管理，那么它们实际上只保护了一小部分 AI 流量。

个人许可问题又增添了一层复杂性。同一份报告显示，14.39% 的企业身份交互使用了个人 AI 许可。这意味着员工使用公司邮箱地址登录 AI 工具，但使用的是个人或非托管订阅级别。从网络监控的角度来看，这些交互似乎使用了企业身份。但从治理的角度来看，这些交互中提交的数据受个人计划条款的约束，而非包含数据处理承诺的企业协议。

这些模式意味着，仅围绕 Copilot 治理构建的安全态势无法有效监控企业 AI 使用的绝大部分。ChatGPT 的用户占企业 AI 用户的 36.19%，占企业环境中所有 AI 对话的 55.08%。Copilot M365 的用户占比为 29.57%，对话量占比为 23.61%。Copilot 在每次对话的安全性方面更胜一筹，但就对话量而言，它并非主导平台，而且应用于 Copilot 的安全实践并不能自动推广到那些产生超过一半企业 AI 对话的工具。

模型训练：微软的承诺与不确定性所在

微软承诺不会使用企业级 Copilot 数据训练其基础模型，这是其最强有力的安全声明之一。符合条件的 M365 Copilot 企业用户订阅后，将获得合同保护，防止其组织数据被用作微软 AI 模型的训练输入。这使得 Copilot 与消费级 AI 工具区别开来，后者大多保留使用对话数据改进模型的权利，除非用户在设置中禁用该选项。

然而，这种保护机制比乍看之下更为复杂。无需培训的承诺仅适用于企业许可下使用的 M365 Copilot，并不自动扩展到所有 Microsoft AI 平台。免费版或消费者版的 Microsoft Copilot、Bing Chat 以及其他以消费者条款运行的 Microsoft AI 工具都采用不同的数据处理策略。如果员工在多个平台上使用 Copilot（部分平台已获得许可，部分平台未获得许可），则组织的数据处理环境可能较为复杂，无法完全涵盖在企业许可承诺的范围内。

此外，免培训承诺仅涵盖基础模型培训，并不一定适用于所有形式的产品改进。根据微软的标准服务条款，可能会收集遥测数据、功能使用模式和交互元数据。安全团队应查阅其与微软签订的具体协议中适用的数据处理附录，而不是想当然地认为免培训承诺涵盖员工与 Copilot 交互时发生的所有数据处理形式。

租户隔离：它涵盖哪些内容，不涵盖哪些内容

租户隔离是微软为 Copilot 描述的基础安全特性之一，并且在其适用范围内确实存在。每个 Microsoft 365 租户都是一个逻辑上独立的独立环境。为一个组织生成的 Copilot 响应对其他组织的用户不可用，对话历史记录不会在租户之间共享，并且 Copilot 响应所依赖的检索增强生成过程仅从已认证用户在其自身租户内可访问的内容中提取信息。

租户隔离无法防止内部泄露。隔离的边界存在于组织之间，而非组织内部的个人之间。如果员工拥有 SharePoint 的广泛权限，他们的 Copilot 会话就可以访问该权限范围内的内容。租户隔离可以防止跨公司泄露，但无法防止公司内部跨角色泄露。

租户隔离机制也无法控制用户在提示信息中输入的内容。例如，如果员工从机密文档中复制内容并粘贴到其他上下文的 Copilot 提示信息中，虽然数据已在租户边界内移动，但原有的敏感度控制机制不再适用。此时，内容已成为提示信息的一部分，而非已标记的文件，因此，一旦数据被复制到文本字段中，已标记文档的行为将不再适用。

最后，对于在多个 Microsoft 云或混合配置中使用 Copilot 的组织，隔离属性可能因部署方式而异。有效 GenAI 安全 需要精确地理解这些界限，而不是大致地理解。

浏览器级强制执行如何弥合剩余差距

上述漏洞具有一个共同特征：它们发生在浏览器层，而非微软控制的应用层。因此，网络层控制、API层集成，甚至微软自身的权限策略都无法完全解决这些问题。漏洞暴露发生在任何控制措施有机会介入之前。

浏览器扩展方案通过在用户行为和人工智能工具交汇的精确层面上进行操作来解决这个问题。LayerX 企业浏览器扩展程序可在现有浏览器中运行，包括企业中已部署的浏览器，无需用户切换到单独的托管浏览器。在浏览器层面，LayerX 可以对用户访问的所有人工智能工具应用分级强制措施：根据提示中输入内容的敏感程度，进行监控、警告、阻止或编辑。

当员工开始在 ChatGPT 提示符中输入客户个人身份信息，或将财务预测粘贴到个人帐户的 Copilot 聊天中时，该扩展程序可以在输入瞬间进行干预，防止数据传输到任何外部 AI 服务。 人工智能DLP 这种方法的功能不仅限于简单的关键词屏蔽，还能在提示级别对敏感内容进行分类，从而使策略与实际风险成比例。

针对个人账户问题，浏览器级别的强制执行可以基于AI会话的已认证身份（而不仅仅是AI工具的存在）来强制执行策略。这是唯一能够可靠地应用于47.11%的企业AI对话（这些对话发生在个人账户下）的强制执行层。该架构还涵盖了…… 浏览器扩展安全 组织经常忽略的一个方面：安装在员工浏览器中的第三方扩展程序可以访问浏览器会话中可见的所有内容，包括 AI 提示。

构建全面的副驾驶安全策略

如果企业将 Copilot 数据泄露问题仅仅视为 Copilot 本身的问题，虽然可以弥补一些漏洞，但却会忽略其他方面。要制定全面的策略，必须认识到 Copilot 只是多工具人工智能环境的一部分，并且治理措施必须与员工实际使用人工智能的方式相符。

第一步是全面了解所有人工智能工具，而不仅仅是组织已获得许可的工具。如果安全团队不知道 47.11% 的人工智能对话发生在个人账户下，或者 6.48% 的企业人工智能对话包含敏感数据，就无法制定明智的策略。2026 年人工智能使用状况报告显示，18.24% 的企业用户每周都会使用人工智能，而且这一数字还在不断增长，活跃使用人工智能工具的用户群体增长速度远超大多数治理计划的应对速度。

第二步是调整 Copilot 的内部控制措施。这意味着在全面启用 Copilot 之前，需要对 SharePoint 进行权限审核，确保敏感度标签在所有内容存储中得到一致应用，并审查已启用的 Copilot 界面以及 Bing 定位是否符合组织的风险承受能力。

第三步是应用浏览器级别的强制措施，以覆盖微软架构无法触及的暴露面：个人账户、非 Copilot AI 工具以及所有 AI 平台上的提示级数据输入。如果您想了解这在实践中是如何运作的， 索取方案演示 查看 LayerX 的实际运行情况。

常見問題解答

Copilot 数据泄露是什么？它与传统数据丢失有何不同？

当敏感的组织信息通过 Microsoft Copilot 交互泄露时，就会发生 Copilot 数据泄露。泄露原因包括：人工智能弹出权限过高的内容、用户将敏感数据粘贴到提示框中，或在企业控制范围之外未经授权使用人工智能工具。与通常涉及文件传输或电子邮件的传统数据丢失不同，Copilot 数据泄露往往通过自然语言交互发生，从而绕过了旨在检测​​文件移动而非文本输入的传统数据防泄漏 (DLP) 规则。

微软承诺无需培训是否意味着我的数据将得到全面保护？

微软承诺不对企业用户使用 M365 Copilot 数据进行基础模型训练，这确实是一项重要的保障措施，但该承诺仅适用于符合条件的企业许可下的 M365 Copilot 服务。它并不自动扩展到面向消费者的微软 AI 平台、员工使用的其他 AI 工具，或模型训练之外的所有数据处理方式。企业应仔细审查其具体的数据处理协议，而不应仅仅依赖通用的“禁止训练”政策来涵盖所有与 AI 相关的数据处理。

如果 Copilot 的敏感数据泄露率（3.65%）是主流工具中最低的，为什么它仍然令人担忧？

即使是最低的敏感数据暴露率，在企业级规模下也代表着切实的风险。如果一个组织每周有数千名员工使用 Copilot，那么 3.65% 的对话涉及敏感数据，就意味着会有相当数量的敏感数据持续不断地进入 AI 提示。虽然 Copilot 相比 ChatGPT 的 8.38% 或 DeepSeek 的 12.63% 具有一定的比较优势，但这并不能将绝对风险降至零，组织仍然需要采取措施来控制哪些数据会进入这些对话。

企业人工智能应用中的个人账户问题是什么？

个人账户问题指的是员工使用个人账户而非公司管理的账户来操作人工智能工具。根据《2026 年人工智能使用状况报告》，47.11% 的企业人工智能对话都是通过个人账户进行的。这意味着这些对话中提交的数据受消费者服务条款而非企业数据处理协议的约束，并且不受组织为管理型人工智能使用而部署的任何可见性或策略控制。

微软的Purview敏感度标签能否防止所有形式的Copilot数据泄露？

敏感度标签是一项重要的控制措施，但它们无法完全防止信息泄露。标签控制着 Copilot 如何处理已标记的文件，并可以限制对已标记内容的摘要或共享。然而，标签无法控制用户手动输入或粘贴到提示框中的数据，因为这些内容并非已标记的文件，标签行为在数据复制到文本字段后不再适用。因此，需要通过提示框级别的控制来弥补这一缺陷。

浏览器扩展程序如何改进微软原生 Copilot 安全控制功能？

浏览器扩展程序运行于用户输入和人工智能工具的交汇层，涵盖了微软应用层控制无法触及的行为。这包括强制执行用户在任何人工智能工具提示中输入的内容策略，阻止或限制个人帐户下人工智能的使用（无论使用哪个工具），以及提供员工在浏览器中访问的所有人工智能工具（而不仅仅是 Copilot）的可见性。这种分级强制执行模型允许组织根据内容敏感度进行监控、警告、阻止或编辑，而不是对所有人工智能使用应用统一的阻止措施。