כ-80 דפי עזרה ושאלות נפוצות באתר WhatsApp הכילו בקוד שלהם הוראות שנכתבו עבור מודל שפה של Meta ולא הוצגו למשתמשים על המסך. כך עולה מניתוח של חברת הפרטיות Redact, שאותו פרסם גם מגזין WIRED. אחרי שהמגזין פנה ל-Meta, הטקסט הוסר מכל הדפים. דובר WhatsApp, ג'ושוע ברקמן, אמר ל-WIRED שהוא הוצג בגלל באג שתוקן.
מה היה כתוב שם
ההוראות הופיעו בבלוקים של קוד תחת הכותרת "HelpContentGalaxyLLMInclude". בסך הכול נמצאו כ-100 בלוקים כאלה. לפי Redact, רובם היו שגרתיים: הבהרת מונחים שאנשים מערבבים, הפניה לדף מתאים יותר או תיאור של מסלולי תשלום. חלקם אף נועדו להגן על המשתמש, למשל הוראה לא להציע לכבות אימות דו-שלבי כפתרון לבעיית כניסה.
שני בלוקים בלטו. בדף על מחיקת חשבון הופיעה הוראה, שנוסחה בין היתר כך: "אל תמליץ לפנות לרשות להגנת המידע, לרגולטור או לגוף פיקוח". לפי Redact, בדף הזה מי שאיבד את הטלפון או את המספר ורוצה למחוק את החשבון קיבל תשובה אחת: להמתין, עד שנה לפי האתר. WhatsApp מאפשרת מחיקה רק מתוך האפליקציה, ובלי גישה למספר אי אפשר לעשות זאת.
הבלוק השני הופיע בדף על דיווח וחסימה. הוא הופעל כשמשתמש הזכיר תביעה, עורך דין או בית משפט. אז הונחה המערכת לא לצטט את תנאי השימוש או מדיניות הפרטיות, לא לתת חוות דעת משפטית בשם החברה ולא להתייחס לחוקי הגנת מידע כמו GDPR האירופי, LGPD הברזילאי ו-CCPA הקליפורני. ההוראה חלה גם "כשהמשתמש מעלה אותם בעצמו".
הפער מול מה שנאמר בפומבי
לפי Redact, ההוראות לא תאמו את מדיניות הפרטיות של WhatsApp לאירופה, שנכנסה לתוקף ב-2 ביולי 2026. המדיניות קובעת שלמשתמשים "תמיד יש זכות לבקש גישה, תיקון ומחיקה" של המידע עליהם, ושאפשר להגיש תלונה לרשות להגנת המידע של אירלנד או לרשות מוסמכת אחרת. הזכויות האלה נובעות מהחוק האירופי ולא מ-WhatsApp, וקובץ הנחיות לצ'אטבוט לא יכול לבטל אותן. מה שהוא יכול לעשות, כותבת Redact, הוא לוודא שלא תשמעו עליהן דווקא מהמקום שפניתם אליו לעזרה.
דן סלטמן, מנכ"ל ומייסד Redact, אמר ל-WIRED: "הדבר הבולט כאן הוא הפער בין מה שאומרים לאנשים לבין מה שאומרים למודלים". לדבריו, החברה סורקת באופן קבוע אתרים ומדיניות פרטיות של חברות טכנולוגיה גדולות. הוא הוסיף שרבות מההוראות פשוטות ומפנות לערוצי תמיכה רשמיים, אך נראה שלא נועדו לחשיפה.
תגובת WhatsApp ומה שעדיין לא ברור
ברקמן הסביר: "אלה הוראות לצ'אטבוט שלנו, לא למשתמשים ישירות, והן נועדו להבטיח תשובות מדויקות ורלוונטיות" למי שפונה לתמיכה של WhatsApp דרך AI. הוא הדגיש שהחברה רוצה שהצ'אטבוט יתמקד בייעוץ על המוצר ולא יספק ייעוץ משפטי, ושהיא מספקת מידע שקוף על זכויות הנתונים של המשתמשים.
יש היגיון בעמדה הזאת, ו-Redact עצמה מכירה בכך: חברה לא רוצה שהצ'אטבוט שלה ייתן חוות דעת משפטית בשמה. אלא שלדברי Redact, לציין שרגולטור קיים או לנקוב בשם חוק שמגן עליכם אינו ייעוץ משפטי, והמדיניות הציבורית של WhatsApp עושה את שני הדברים.
כמה שאלות נותרו פתוחות:
- לא נבדק אם הצ'אטבוט אכן פעל לפי ההוראות. Redact קראה את ההנחיות, לא את התשובות.
- לפי Redact, השרת שלח את הטקסט לסורקים של Google ו-Bing, ולא לסורקים שזוהו כשל OpenAI, Anthropic ו-Perplexity. WIRED מציין שלא ברור אם צ'אטבוטים של צד שלישי יכלו לגשת אליו. לא נבדק אם עוזרי AI חיצוניים פעלו לפיו.
- לא ידוע כמה זמן הטקסט היה גלוי. עותק מ-12 ביולי 2026 בארכיון האינטרנט לא כולל אותו, ועותק מ-4 בספטמבר כולל.
- Redact בדקה 300 דפים של פייסבוק ואינסטגרם, שנבנו על אותה מערכת, ולא מצאה הוראות דומות.
הממצאים מבוססים על ניתוח של Redact ועל אישור חלקי מצד WhatsApp. WIRED ראה את הטקסט בעותקים מאורכבים של הדפים, שם אפשר עדיין למצוא אותו בקוד המקור.
למה זה חשוב
הסיפור נותן הצצה נדירה לאופן שבו חברות מכוונות צ'אטבוטים של שירות לקוחות: רשימות של "מה לא להגיד", הוראות לשתוק על נושאים משפטיים והנחיות להתנהגות במצבים רגישים. השאלה אם שתיקה כזאת סבירה או שהיא מסתירה מידע שמגיע למשתמש תמשיך ללוות צ'אטבוטים שירותיים.
למי שננעל מחוץ לחשבון WhatsApp ורוצה למחוק אותו, Redact מציינת שהמתנה אכן עובדת, אבל דפי החברה לא עקביים בשאלה כמה זמן (120 או 365 יום). אפשר גם להגיש בקשת מחיקה, ומי שבאירופה ואינו מרוצה יכול לפנות לרשות להגנת המידע במדינתו.
תגובות