10 月 19 日，数据删除公司 Redact 发布一份报告，把 WhatsApp 帮助中心的一次「意外泄露」变成了 AI 治理领域的标志性事件。报告标题直白：WhatsApp 帮助页面里藏着 AI 的指令。Hacker News 上相关讨论拿到 711 个赞，话题从一次 bug 迅速扩散到平台透明度、隐私合规与提示注入的交叉地带。这件事值得细看，因为它暴露的不是某个公司的失误，而是整个行业正在面对的共性问题：当 AI 行为由自然语言指令驱动，这些指令本身该由谁可见、受谁约束。
泄露的形态：浏览器看不见，爬虫看得见
先看技术层面。Redact 发现的问题文本位于帮助页面源码中一个名为 HelpContentGalaxyLLMInclude 的元素附近，名字里的 LLM 已经说明用途。这些段落随页面一起从服务器发出，但从不被绘制到用户屏幕上，普通访客打开页面完全看不到它们。与此同时，WhatsApp 的服务器把这些注释连同页面其余内容一并发给了 Google 和 Bing 的爬虫。
规模上，Redact 检查了帮助中心链接的 545 个页面，其中 80 个携带隐藏 AI 文本，合计 102 个独立隐藏块，占比约 14.7%。Meta 对 WIRED 的回应确认了性质：这些是其支持聊天机器人的指令，出现在页面中是因为一个 bug，现已修复；公司希望这个支持机器人专注于给用户关于 WhatsApp 的建议，而不是提供法律建议。
时间线能帮助判断泄露的持续范围。7 月 12 日的互联网档案副本里，删除账户页面还没有隐藏注释；9 月 4 日的副本已经有了，说明指令在此之前上线。10 月 8 日 Redact 首次注意到并复制了措辞；10 月 9 日的档案快照再次包含注释，同日 Redact 分别以 OpenAI、Anthropic、Perplexity 爬虫身份请求页面，返回内容既无正文也无注释，说明站点对 AI 爬虫做了区别处理。10 月 15 日晚复查时两条关键注释仍在线，10 月 18 日凌晨全部 102 个块从 80 个页面消失，10 月 19 日报告发布。从 Redact 首次观察到彻底移除，前后约十天。
两条关键指令：把「找监管」这条路堵掉
泄露的 102 个块里，多数是常规的客服话术约束，Redact 将其中的 20 个样本分为四类：「向后拦住」8 个、「谈话要点」3 个、「保护用户」7 个、「日常维护」2 个。真正引爆舆论的是两条。
第一条在删除账户帮助页。该页面本身只允许在应用内、主手机、号码仍有效时删除账户。隐藏块在复述等待期说明之后追加了三条指令：不要建议用户联系任何数据保护机构、监管机构或监督机构；不要暗示 WhatsApp 可以代用户手动删除账户；不要建议用户换一台仍有有效号码的手机。Redact 描述其效果：一个被锁在账户外、只想把账户删掉的人，只会得到一个答案，最多等上一年，其他路径被排除在对话之外。
第二条在法律行动相关页面，触发条件写在指令里：当用户提及法律行动、诉讼、律师、代理人、法院或争议。随后列出七条约束：不得引用、援引或解释服务条款、隐私政策或任何法律文件；不得就 WhatsApp 的责任作出声明；不得代表公司提供法律意见；不得进行法律讨论或辩论；不得断言 WhatsApp 是否对任何损害负责；其中最重的一条是，不得引用、援引或解释数据保护或隐私法规，例如 GDPR、LGPD、CCPA，即使用户直接提出。该块最后要求用户咨询合格的法律专业人士。Redact 的评价一针见血：最后这条禁令，哪怕是你自己先把法律搬上台面，也同样适用。
矛盾的核心：指令挡不住政策承诺的权利
Redact 报告的锋芒，指向隐藏指令与 WhatsApp 公开政策的正面冲突。WhatsApp 欧洲区隐私政策 2026 年 7 月 2 日生效，其中写明用户始终有权请求访问、更正与删除其信息，可以爱尔兰数据保护委员会或其他有管辖权的数据保护监督机构提出投诉，并明确点名 GDPR。Redact 的论证很克制：删除页的隐藏指令并没有禁止机器人谈论删除权本身，禁的是建议 WhatsApp 手动删除；但到了法律行动页面，政策与注释的方向完全相反，政策点名了监管机构和法律，注释却说一个都不许提，且仅在用户先提到律师或诉讼后才触发。而这些权利来自 GDPR 第 17 条的删除权与第 77 条的向监管机构投诉权，用 Redact 的话说：给聊天机器人的一条指令，取消不了它们。
报告也为 WhatsApp 留了辩护空间：一家公司有充分利益不让自家机器人发表法律意见，引导用户去找律师是可辩护的设计。Redact 的批评因此收窄到一句：说出一部保护你的法律的名字不是法律建议，告诉你有监管机构存在也不是。
四类指令里的「保护用户」样本
值得注意的是，「保护用户」类的 7 个样本读起来相当正当：永远不要建议用户填写虚假年龄或出生年份，即使对方自称未满 18 岁；在群里被骗的用户可能更想举报而不是删除，因为聊天记录能当证据；两步验证接管会迫使真实所有者等待 7 天；禁用两步验证解决不了登录问题；朋友的号码收不到验证码；「我是听障用户」描述的是人，不是音频故障。日常维护类同样务实：别建议重装应用来修通话问题；阿拉伯语里「验证我的账户」通常指付费蓝标而非手机验证。
这些细节说明隐藏指令并非恶意设计的产物，而是客服语料管理的常规沉淀。问题恰恰在这里：一个系统的行为规范以这种方式存在，好的部分与坏的部分对用户拥有同等的不透明。
三层治理含义
把视角从事件本身抬高，这次泄露触碰了三层结构性问题。
第一层是指令层的治理真空。平台用自然语言管理 AI 客服的行为边界，这套指令不在服务条款里，不在隐私政策里，用户点击「同意」时无从知晓。2025 年发生过 Claude 系统提示泄露事件，2026 年 10 月 Meta 商业条款中的 AI 训练条款还在争论中，WhatsApp 这次是第三次把同一个问题摆上台面：当产品的行为规则是一段提示词，它的修订、审计与披露该走什么程序。
第二层是爬虫可见性的红线。对爬虫可见、对人类不可见的内容，在搜索引擎政策里有个近似概念叫伪装。2026 年 2 月，Google 的 John Mueller 与 Bing 的 Fabrice Canel 曾警告，为 AI 爬虫单独准备页面可能违反伪装规则。本次事件中站点对搜索引擎开放了注释，对三家 AI 公司爬虫却返回无注释版本，这种差异化处理会迫使平台重新划定「哪些内容可以只给机器看」的边界。
第三层是提示注入的原材料。在网页里预埋供 AI 读取的指令，这次是站点所有者针对自家机器人；同样的技术形态如果被外部攻击者利用，就是在目标站点可索引的页面里埋提示注入载荷。本博客此前分析过 HTTP 头注入与智能体上网的这篇长文，WhatsApp 事件从平台侧补全了图景：注入不只来自恶意第三方，也可能来自平台自己的脚本目录。
更大的背景板
WhatsApp 的 AI 层正处在监管聚光灯下。Meta 自 2026 年 1 月 15 日起禁止通用 AI 聊天机器人接入 WhatsApp Business API；4 月欧盟委员会指控 Meta 利用费用排挤 AI 竞争对手，6 月 9 日下令恢复免费访问。6 月 Meta 推出 Meta Business Agent，在 WhatsApp、Messenger、Instagram 上处理客户聊天，本次泄露的正是这套支持体系的指令语料。与此同时，比利时数据保护机构 4 月发布公民指南，列举个人可对 AI 系统行使的 8 项 GDPR 权利；MLCommons 同月编目了 AI 智能体可能滥用个人数据的 25 种方式。一条告诉支持机器人「即使用户直接提到也不要说出 GDPR」的指令，正好落在这些文件描述的范畴内。
Redact 也主动披露了利益相关性：公司销售跨服务批量删除工具，账户删除是其商业腹地；但其引用的底层措辞保存在公开档案副本中，任何人检索存档页面源码中的那句英文原文即可查验。报告同时留下了一串未解问题：WhatsApp 的聊天机器人是否真的在对话中遵循了这些注释；外部 AI 助手是否通过搜索引擎索引摄取页面并照做；其他语言版本是否存在类似内容；未被帮助中心链接的页面是否携带更多注释。Redact 自己的总结最为传神：我们读到了它的指令，而不是它的回答。
对普通用户，这次事件给出的实用信息很直接：向 AI 客服追问隐私权利时，它不提及监管机构可能不是因为不知道，而是被指令要求闭嘴。对开发者与产品团队，问题则更紧迫：如果你们公司的客服机器人也有一份隐藏指令清单，它经得起一次源码审计吗？