过去几年，大模型谈安全时，注意力基本都落在越狱和多轮诱导上——攻击者是外部的。但 2026 年 10 月 19 日 WIRED 报道的一件事把方向反了过来：被藏起来的系统指令，来自平台自己。
藏在 HTML 里的指令
隐私公司 Redact 的团队在 10 月 8 日发现，WhatsApp 帮助中心的部分页面里存在只发给大模型看的隐藏文本（研究原文见 https://redact.dev/blog/whatsapp-help-pages-hidden-ai-instructions ）。他们随后抓取了帮助中心链接到的全部 545 个页面，结果是 80 个页面含有这类隐藏文本，合计 102 个隐藏块。它们统一挂在一个名为 HelpContentGalaxyLLMInclude 的标记下，人眼在屏幕上完全看不到，但任何读取网页源码的模型都能读到。WIRED 记者 Matt Burgess 在文中提到，这些隐藏内容里还有小节直接以「WHAT NOT TO SAY」作为标题。
两条最刺眼的指令
第一条在「如何删除账号」页面。WhatsApp 的公开说明是：用户失去手机号或设备访问权后，停用账号 30 天自动删除，不活跃账号一般在 120 天后删除（美国 365 天）。而隐藏块在重复完这些时间后，追加了三条给模型的指令：不要建议用户联系任何数据保护机构、监管机构或监督机构；不要暗示 WhatsApp 可以代用户手动删除账号；不要建议用户换一部绑定有效号码的手机。结果是，一个被锁在账号外、想让账号消失的人，从助手那里只能听到「等」。
第二条在「举报与屏蔽」页面。只要用户提到法律行动、诉讼、律师或法院，隐藏指令就要求模型：不得引用、解读或提及 WhatsApp 的服务条款、隐私政策或任何法律文件；不得就 WhatsApp 是否承担责任发表任何言论；不得提供法律意见。最要紧的一句是——不得引用或解读数据保护与隐私法规，例如 GDPR、LGPD、CCPA，即使用户自己主动提出。这条限制等于把用户主动举起的武器也一并挡掉。
这跟「别给法律建议」不是一回事
公平地说，WhatsApp 的出发点站得住：公司当然不希望客服机器人以公司名义输出法律意见，让人去找律师也是合理建议。如果隐藏指令只写到「不给法律建议」四个字，这根本不算新闻。
Redact 的 CEO Dan Saltman 把问题点得很准，他说这件事最扎眼的地方是「人们被告知的内容，和 LLM 被告知的内容之间的落差」。真正的越界在于：点名一部保护用户的法律，不构成法律建议；告诉用户存在一个监管机构，也不构成法律建议。WhatsApp 面向欧洲经济区、2026 年 7 月 2 日生效的隐私政策里，本来就写着用户始终有权要求访问、更正和删除自己的信息，并点名了 GDPR 第 17 条（删除权）与第 77 条（向监管机构投诉的权利），明确可以向爱尔兰数据保护委员会投诉。这些权利来自 GDPR 本身，给聊天机器人的一条指令取消不了它们，只能确保你在求助的地方听不到它们。
剩下 100 块是什么水平
Redact 说 102 块里绝大多数是「家务活」级别的：澄清用户常混淆的词、把问题指向更合适的页面、介绍付费方案。团队在文章末尾列了其中 20 块较有代表性的。也有几块的出发点确实在保护用户：最低年龄页面要求模型绝不建议用户填入不真实的出生年份，哪怕对方声称自己未满 18 岁；两步验证页面要求不要把「关闭两步验证」当成登录问题的解法；无障碍页面则解释「我是聋人」描述的是用户本人而非音频故障。还有一块更轻：账号停用页要求面对失联号码想删号的用户，等待是「唯一正确的答案」。
「bug」这个说法经不起追问
Meta 的发言人 Joshua Breckman 对 WIRED 表示，问题源于一个已经修复的 bug，并称「这些是给我们聊天机器人的指令，不是直接给用户的」。WIRED 也明确写了，目前不清楚第三方聊天机器人是否访问过这些文本。
但有三件事让这个解释站不稳。其一，HelpContentGalaxyLLMInclude 这个命名不像是手滑，生产基础设施里有名有姓的字段通常是有人建出来的。其二，Facebook 和 Instagram 的帮助中心跑在同一套系统上，Redact 检查了其中 300 个页面，没有发现同类指令——如果是系统性 bug，不该只在 WhatsApp 上出现。其三，Redact 称其服务器连同隐藏指令一起发给了 Google 和 Bing 的爬虫，而在 10 月 9 日以 OpenAI、Anthropic 和 Perplexity 爬虫的身份请求时，拿到的页面里既没有文章正文也没有那些指令。按爬虫区别投喂，更像有意为之（这一条目前只有 Redact 一方观测，尚无第二家独立来源印证）。
时间线也留了尾巴。Redact 说互联网档案馆 7 月 12 日的存档还没有这条笔记，9 月 4 日的已经有了。Redact 也坦承无法回答几个问题：WhatsApp 的聊天机器人是否真的照做了，他们只读到了指令而非回答；外部 AI 助手有没有执行过；其他语言里是否还有。Meta 未说明移除的确切时间，仅确认 bug 已修复、WIRED 报道发布于 10 月 19 日（https://www.wired.com/story/whatsapp-help-pages-leaked-hidden-instructions-for-a-meta-chatbot/ ）。
真正的教训
把系统提示词藏在公开网页里，本质上就是一次自己对自己发起的间接提示词注入——安全研究者这几年一直在警告这种模式，通常用来说明攻击者如何劫持智能体。这次有意思的地方在于，做这件事的不是攻击者，而是平台自己，目标对准自己的用户。
对做 AI 客服的团队来说，最实际的教训很直接：你的系统提示词现在是可被发现的产物。爬虫抓取、查看 HTML 源码，或者直接问模型自己的指令是什么，都能拿到。被审问出来的指令，永远比一开始坦白写出来的更难看。
而对用户来说，更现实的一课是：你和一个 AI 客服对话时听到的东西，未必是这家公司愿意公开写下的东西——差距可能大到涉及你能不能知道自己的数据被删掉、你还能去找谁。