WhatsApp скрил инструкции во страниците за помош со кои на својот AI-четбот му забранил да препорачува обраќање до регулатори за заштита на приватноста

На страниците за помош на WhatsApp биле вметнати скриени инструкции за четботот за корисничка поддршка, со кои му се наложувало да не им препорачува на корисниците да се обратат до орган за заштита на личните податоци или регулатор, доколку повеќе не можат да ги избришат своите сметки. Ова се случило и покрај тоа што сопствената политика за приватност на WhatsApp за Европа им овозможува на корисниците да поднесат жалба до таков орган.

Текстот бил сместен во кодот на веб-страниците и никогаш не бил прикажан на екранот. Бил отстранет до 18 октомври. Не е познато дали четботот некогаш постапил според овие инструкции. Компанијата за софтвер за бришење податоци Redact, која го открила текстот, ги прочитала инструкциите, но не и одговорите на четботот.

WhatsApp ѝ соопштил на медиумската куќа WIRED дека инструкциите биле наменети за четботот со вештачка интелигенција со кој корисниците комуницираат кога испраќаат пораки до поддршката на WhatsApp. Компанијата изјавила дека инструкциите се појавиле на страниците поради софтверска грешка која сега е поправена.

Вториот блок скриен текст, на страницата за пријавување и блокирање корисници, му наложувал на четботот да не наведува закони за приватност, како што е GDPR, откако корисникот ќе спомене адвокат, тужба или суд — дури и кога самиот корисник ги споменува тие закони.

Сметката на WhatsApp може да се избрише само преку апликацијата на главниот телефон на корисникот. Корисникот што го изгубил телефонот или телефонскиот број не може да ја избрише на тој начин.

На страницата за бришење сметка, во видлива забелешка, е наведено дека деактивираната сметка се брише 30 дена по деактивирањето, додека неактивната сметка обично се брише по 120 дена, односно по 365 дена во САД.

Под таа забелешка, во текст што никогаш не бил прикажан на страницата, се наоѓале инструкции што ги повторувале роковите за чекање и додавале три дополнителни наредби, според копијата од страницата што Redact ја зачувала на 8 октомври:

Не препорачувајте контактирање со кој било орган за заштита на личните податоци, регулатор или надзорен орган. Не сугерирајте дека WhatsApp може рачно да ги избрише сметките во име на корисниците. Не препорачувајте користење друг телефон со активен телефонски број.

Вториот блок скриен текст се наоѓал во близина на крајот на страницата за пријавување и блокирање корисници.

Тој се применувал, според сопствените зборови во инструкциите, „кога корисникот ќе спомене правна постапка, тужби, адвокати, правници, судови или судски спор“.

Оттогаш, четботот добивал инструкции да не ги наведува Условите за користење или Политиката за приватност на WhatsApp, да не разговара за правната одговорност на WhatsApp, а корисниците со правни прашања да ги упатува кај „квалификуван правен професионалец“. Дополнително, му било наложено:

Не наведувајте, не цитирајте и не толкувајте прописи за заштита на личните податоци или приватноста (на пример, GDPR, LGPD, CCPA), вклучително и кога корисникот директно ги споменува.

Кога станува збор за регулаторите, политиката за приватност на WhatsApp за Европа, која стапила во сила на 2 јули 2026 година, го наведува спротивното.

„Имате право да поднесете жалба до главниот надзорен орган на WhatsApp според GDPR — Ирската комисија за заштита на податоците — или до кој било друг надлежен надзорен орган за заштита на податоците“, се наведува во политиката.

Кај бришењето податоци, разликата е помала: скриениот текст му наложувал на четботот да не сугерира дека WhatsApp може да ја избрише сметката на корисникот, додека политиката наведува дека корисниците „секогаш имаат право да побараат пристап до своите информации, нивна исправка и нивно бришење“.

Двете права се предвидени и во самиот GDPR: правото на поднесување жалба е утврдено во член 77, а правото на бришење лични податоци во член 17.

Redact, чиј софтвер масовно ги брише старите објави, пораки и податоци на корисниците од различни интернет-сервиси, ги открил првите скриени инструкции на 8 октомври, а резултатите ги објавил на 19 октомври.

По откривањето, компанијата ги прегледала сите 545 страници поврзани од центарот за помош на WhatsApp и избројала 102 скриени блока со инструкции на 80 страници.

Според резимето на Redact, повеќето од 102-те скриени блока биле рутински инструкции: разјаснување на зборови што корисниците често ги мешаат, упатување на прашањата кон соодветната страница и објаснување на платените претплатнички планови. Неколку од нив имале за цел да ги заштитат корисниците, на пример, со инструкција четботот никогаш да не предлага внесување лажна возраст.

Неколку инструкции биле слични на претходно опишаните два случаи. На страницата за деактивирање сметка, четботот добивал инструкција дека за корисник кој го изгубил телефонскиот број, чекањето е „ЕДИНСТВЕНИОТ точен одговор“. На страницата за блокирање и пријавување, му било наложено да објасни дека пријавата се обработува внатрешно и да не споделува дополнителни чекори или временски рокови.

Еден од скриените блокови конкретно го именувал четботот за корисничка поддршка на WhatsApp. Redact проверил и 300 страници за помош на Facebook и Instagram, кои работат на истиот систем, но не пронашол слични инструкции.

Скриените блокови биле сместени во HTML-кодот на страниците под името HelpContentGalaxyLLMInclude и не биле видливи на екранот. Тоа значи дека секој што го прегледувал изворниот код на страницата можел да ги прочита.

Според откритијата на Redact, серверот на WhatsApp ги испраќал овие инструкции, заедно со остатокот од страницата, до веб-пребарувачите на Google и Bing.

Барањата што Redact ги испратил на 9 октомври, користејќи ги имињата на корисничките агенти што ги користат веб-пребарувачите на OpenAI, Anthropic и Perplexity, не ги добиле ниту текстот од страницата ниту скриените инструкции. Redact не проверил дали некој AI-асистент постапувал според нив.

Копиите на страницата за бришење сметка зачувани во Internet Archive помагаат да се утврди колку долго бил присутен скриениот текст. Копијата од 12 јули не ги содржи инструкциите, копијата од 4 септември ги содржи, а копијата од 9 октомври сè уште ги има во изворниот код.

Двете групи инструкции сè уште биле присутни на активните страници во 21:40 часот UTC на 15 октомври.

До 02:08 часот UTC на 18 октомври, сите 102 блока биле отстранети од сите 80 страници, додека самите страници останале достапни. Архивската копија направена истиот ден во 02:37 часот го потврдува ова.

Според WIRED, WhatsApp го отстранил текстот откако медиумот стапил во контакт со Meta во врска со случајот, а пред објавувањето на наодите од страна на WIRED и Redact.

„Ова се инструкции за нашиот четбот, а не директно за корисниците. Нивната цел е да обезбедат точни и релевантни одговори за корисниците на WhatsApp кои ќе изберат да испратат порака до корисничката поддршка на WhatsApp со помош на вештачка интелигенција“, изјавил за WIRED портпаролот на WhatsApp, Џошуа Брекман.

Тој додал дека компанијата сака нејзините четботови за поддршка да бидат „фокусирани на давање најдобри совети на корисниците за WhatsApp“ и „да не нудат правни совети“.

Не е јасно дали истите инструкции сè уште важат за четботот, сега кога се отстранети од страниците.

Корисникот кој не може да ја избрише сметката преку апликацијата и понатаму има други можности, независно од четботот. Првата е да ги почека роковите наведени на страницата за помош. Според политиката за приватност на WhatsApp за Европа, корисникот секогаш може да побара од WhatsApp да ги избрише неговите лични податоци.

Во Европската Унија, корисникот кој не е задоволен може да поднесе жалба до националниот орган за заштита на личните податоци или до Ирската комисија за заштита на податоците, која е наведена во политиката на WhatsApp.

WhatsApp препорачува корисникот најпрво да се обрати директно до организацијата, а потоа, доколку е потребно, да поднесе жалба преку нејзиниот онлајн-образец.

Извори:

• The Hacker News – WhatsApp Hid Instructions in Help Pages Telling Its AI Chatbot Not to Recommend Privacy Regulators The Hacker News