WhatsApp帮助页泄露Meta聊天机器人隐藏指令

据《连线》（WIRED）记者马特·伯吉斯（Matt Burgess）报道，WhatsApp官网上约有80个帮助页面，在面向公众开放的同时，意外包含了本应只提供给其聊天机器人使用的内部指令——其中甚至有一节明确标着“WHAT NOT TO SAY”（不要说什么）的禁忌清单。Meta方面回应称，这是一处程序缺陷（bug）所致，相关页面的问题已经得到处理。

帮助中心里，藏着一份“机器人说明书”

帮助中心页面通常是最不起眼的产品文档：教用户如何更换头像、如何导出聊天记录、如何设置隐私选项。它们本应是写给“人”看的说明书。但在这起事件中，约80个页面里却混入了写给“机器”看的指令——包括聊天机器人应当以什么身份说话、用怎样的语气回应、在哪些话题上必须谨慎、遇到什么问题应当转交人工或直接回避。

换句话说，这些页面无意间把AI产品的“行为脚本”摊开在了公开互联网上。任何访问者只要打开对应链接，就能读到本应封存在后台的配置文本。这类文本在业内通常被称为“系统提示词”（system prompt）或“开发者指令”，是塑造聊天机器人性格与边界的核心材料。

“不要说什么”：一份写给机器的禁忌清单

在泄露内容中，最受关注的是那份“不要说什么”清单。它本质上是一组负向约束：不得作出无法兑现的承诺，不得就越界的法律、医疗或财务问题给出确定性结论，不得对敏感社会议题表明立场，不得以不当方式评价竞争对手，等等。这类规则在今天的AI产品中极为常见，属于“护栏”（guardrails）的一部分。

问题在于，提示词并不是安全边界，而更像是一份“建议书”。近年来，围绕大模型系统提示词的泄露事件屡见不鲜：从早期聊天机器人被用户诱导“复述你的初始设定”，到如今出现专门的提示词窃取手法，攻击者不断试探模型的自述边界。一旦规则本身被公开，攻击者就能更精准地设计迂回提问，针对模型的薄弱环节发起提示词注入或越狱尝试。

更微妙的是，公开这些规则也会影响普通用户的信任感。用户原本以为自己在与一个“自然”对话的助手交流，结果发现每一句回应背后都站着一份写满“禁止”“回避”“不得”的操作手册。透明与拟人化之间的张力，在这类事件中暴露无遗。

Meta的回应：一个bug，而非安全事件

Meta将此事定性为技术故障，强调是缺陷导致内部指令出现在公开页面上，并已修复。公司并未说明这些指令存在了多久、期间有多少人访问过相关页面，也没有披露是否涉及用户数据。从目前信息看，这更像是一次配置发布失误，而非数据泄露事故。

但“只是一个bug”的说法，回避了更根本的问题：为什么面向机器人的行为指令会被部署到公开网页上？在成熟的软件工程实践中，密钥、配置和内部规则都应纳入访问控制、代码审查与上线前扫描。提示词如今已是AI产品的核心资产，却常常以“文案”的形式被随意复制到各种载体中，缺乏与之重要性匹配的治理流程。

为什么这件事值得警惕

对攻击者而言，泄露的禁忌清单相当于一张地图：知道机器人被禁止谈论什么，就能推断出它被允许谈论什么、在哪些边界上最容易被撬动。对监管者与研究者而言，这类材料则是观察AI产品实际行为规范的稀有样本——企业公开宣称的原则，与真正写进提示词里的规则，往往并不完全一致。

对行业来说，这起事件提供了一个清晰的提醒：系统提示词应当被视为敏感配置，而非普通帮助文档。随着AI助手深入客服、支付、医疗咨询等场景，其行为规则的外泄不再只是“说明书被看到”的小尴尬，而可能成为社会工程攻击与自动化越狱的起点。

编者按：提示词泄露看似只是“说明书被看到”，实质是AI产品的行为规则被外部审计。真正需要追问的不是“为什么会有bug”，而是“为什么核心规则会被放在任何人都能打开的位置”。当AI开始替企业说话，它的“说话守则”就该和数据库密码一样被认真对待。

本文编译自WIRED