WhatsApp 帮助页的源码里,藏着给 AI 的悄悄话

事情是这样的

一家叫 Redact 的公司，做的是帮人批量删掉旧帖子、旧消息这门生意。

10 月 8 日，他们在 WhatsApp 的帮助页里，发现了一些屏幕上不显示、但写在网页源码里的文字。

10 月 19 日，他们把这些发现公开了。

藏在哪里

位置很具体：帮助页的 HTML 源码里，字段名叫 `HelpContentGalaxyLLMInclude`。

普通用户看不到，因为浏览器不渲染它。

但只要右键查看网页源代码，任何人都能读到这些字。

这里要说明白一件事：这些字是给 AI 看的，对象是 WhatsApp 的客服聊天机器人。

规模比想象的大

Redact 没有只盯着那一页看，他们把 WhatsApp 帮助中心链到的 545 个页面全读了一遍。

结果：80 个页面里，有 102 处这样的隐藏块。

不过要说公道话：绝大多数是常规内容。比如澄清容易混淆的词、把问题指向正确的页面、说明付费方案。

其中还有一处挺正经的——提醒机器人永远不要让用户输入虚假年龄。

所以真正的问题出在其中两条。

第一条：别让他们找监管机构

这条藏在账户删除那一页。

原文指令是三条：

不要建议联系任何数据保护机构、监管机构或监督机构；不要暗示 WhatsApp 能代替用户手动删除账户；不要建议用户换一部有活跃号码的手机。

为什么这条敏感？得看前提。

WhatsApp 账户只能在主手机的 App 里删。如果手机丢了、号码没了，用户就卡在门外，自己删不掉。

而帮助页上明明白白写着的是：停用账户 30 天后删除；不活跃账户一般 120 天后删除，美国是 365 天。

等一年，对一个想把数据要回来的人来说，这是相当长的路。

第二条：别提隐私法规

这条藏在举报与屏蔽那一页。

生效条件是：用户一旦提到法律行动、诉讼、律师、法院或庭审。

从那一刻起，机器人被要求：

不要引用服务条款；不要引用隐私政策；不要讨论 WhatsApp 的责任；把有法律问题的用户转给「合格的法律专业人士」。

以及最关键的一句：不要引用、援引或解释数据保护或隐私法规（例如 GDPR、LGPD、CCPA），即使用户直接提到这些法规。

问题在于：它自己的政策说了相反的话

这才是整件事最扎眼的地方。

WhatsApp 的欧洲隐私政策（2026 年 7 月 2 日生效）里写着：

「你有权向 WhatsApp 在 GDPR 下的牵头监管机构、即爱尔兰数据保护委员会，或任何其他主管数据保护监管机构提出投诉。」

一边是隐私政策里的权利告知，一边是给机器人的别去提。

而这两项权利写在 GDPR 正文里，网站自己定不了：投诉权是第 77 条，删除权是第 17 条。

删除那一条的落差小一点。隐藏指令说别暗示 WhatsApp 能代删；政策说用户「始终有权要求查阅、更正和删除」自己的信息。一个讲能不能代劳，一个讲有没有权利。

WhatsApp 怎么回应

WIRED 就这件事联系了 Meta。

WhatsApp 发言人 Joshua Breckman 说：

「这些是给我们聊天机器人的指令，目的是确保向那些选择用 AI 联系 WhatsApp 支持的用户提供准确、相关的回答。」

他还说，公司希望客服机器人「专注于为用户提供关于 WhatsApp 的最佳建议」「不提供法律建议」。

至于为什么会出现在网页上——官方说是一个 bug，已经修复。

时间线能对上

Redact 查了互联网档案馆的快照，把「在」和「不在」的时间点卡出来了：

7 月 12 日的存档，没有这段话。

9 月 4 日的存档，有。

10 月 9 日的存档，源码里还带着。

而到 10 月 18 日 02:08（UTC），全部 102 处从 80 个页面里移除，页面本身还在。

有个细节值得留意：是 WIRED 联系 Meta 之后才移除的，而且早于 WIRED 和 Redact 公开发布。

还有一个更耐人寻味的发现

Redact 测了不同爬虫拿到的东西，结果不一样。

发给 Google 和 Bing 爬虫的页面，带着这些隐藏内容。

而 10 月 9 日，用 OpenAI、Anthropic、Perplexity 的爬虫 UA 发出请求，拿回来的页面里没有这些内容。

这个差别我不好下结论，Redact 也没有解释原因。

但至少在事实层面：不同的抓取者拿到的页面不是同一份。

有件事他们没测

这里必须说清楚，不然容易误传。

Redact 手上只有指令原文，机器人的回答他们没有拿到。

换句话说：

有没有哪个 AI 真的照做了，目前没有人知道。

这决定了这件事的性质：是一份被发现的「嘱咐」，还是一份被执行过的「嘱咐」。前者是设计问题，后者是结果问题。

同类问题有没有别的地方

Redact 顺手也查了 Facebook 和 Instagram。

这两家和 WhatsApp 跑在同一套帮助页系统上。

他们查了 300 个页面，没有发现同类的隐藏块。

所以这一次，范围就停在 WhatsApp 这边。

用户还能怎么办

如果你的账户删不掉，路其实还在，只是不在聊天机器人那儿。

第一条：按帮助页写的时间等。停用 30 天、不活跃 120 天（美国 365 天）。

第二条：欧洲隐私政策写明，用户随时可以要求 WhatsApp 删除自己的信息。

第三条：如果在欧盟且不满意，可以向本国数据保护机构或爱尔兰数据保护委员会投诉。

WhatsApp 的政策里还建议：先跟公司沟通，再走投诉流程。

结论

把能确认的理一下。

Redact 在 WhatsApp 帮助页的 HTML 源码里，发现 102 处隐藏指令（分布在 80 个页面，共查了 545 页），字段名 `HelpContentGalaxyLLMInclude`，屏幕上不显示。

其中两条关键：不要让用户去找监管机构、用户提法律时不要引用 GDPR 等法规。

而 WhatsApp 自己的欧洲隐私政策明确写了用户有权向爱尔兰 DPC 投诉——投诉权是 GDPR 第 77 条。

WhatsApp 回应说这是给客服机器人的指令、因 bug 出现在页面上，10 月 18 日已全部移除；移除发生在 WIRED 询问之后。

⚠️ 三点提醒：第一，官方说是 bug，动机我无法证实；第二，没有人测过 AI 是否真的照做，Redact 读的是指令不是回答；第三，Google/Bing 拿到带隐藏内容的页面，OpenAI/Anthropic/Perplexity 拿到的没有，这个差异目前没有解释。

—END—

PS：怕以后找不到这篇，可以点个收藏，方便回头翻。

往期推荐

• 自驾游攻略，AI 能帮到哪一步
• 密码放在云端，还是自己管
• 安卓怎么从系统层面挡掉 App 广告