La page d'aide avait un second public#
Les pages d'aide de WhatsApp abritaient un public secret. Redact, une société spécialisée dans la confidentialité et la suppression de données, a découvert dans le code source des pages un texte destiné aux machines, sous l'identifiant HelpContentGalaxyLLMInclude, invisible pour les visiteurs ordinaires. Il ne s'agissait pas d'une simple note égarée : c'était une couche de communication stratégique.
Les chercheurs ont audité l'ensemble des 545 pages d'aide liées et trouvé 102 blocs cachés de ce type sur 80 pages uniques. Un audit parallèle de 300 pages Facebook et Instagram, fonctionnant sur le même système de gestion de contenu, n'a révélé aucune instruction intégrée équivalente. L'ampleur laissait penser à une mise en œuvre délibérée plutôt qu'accidentelle.
Pourquoi l'emplacement importe-t-il ? Les systèmes de support récupèrent souvent le contenu d'aide comme information contextuelle pour les modèles d'IA. Des instructions intégrées directement à cette documentation peuvent donc influencer le comportement et les réponses d'une IA, même lorsque ces directives sont totalement cachées au client qui cherche de l'aide.
Ces notes cachées n'étaient pas toutes anodines. Si certaines étaient inoffensives, comme préciser que « I am deaf » désigne une personne et non un problème audio, d'autres contenaient des directives très sensibles. Ce mécanisme d'instructions dissimulées permettait à WhatsApp d'orienter les réponses de l'IA à l'insu des utilisateurs, créant une couche de politique parallèle.
Le robot devait éviter de mentionner les autorités de régulation#
Les instructions données à l'IA n'étaient pas toujours aussi anodines. Une directive, trouvée sur la page « Delete your account », disait explicitement au robot : « Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority. » Elle interdisait aussi de suggérer que WhatsApp pouvait supprimer manuellement un compte.
Une autre instruction alarmante figurait sur la page de signalement. Si un utilisateur mentionnait un avocat, une action en justice ou un tribunal, il était demandé au modèle de ne pas citer ni interpréter le RGPD, la LGPD ou le CCPA, même si l'utilisateur évoquait lui-même ces lois. L'implication était claire : détourner les utilisateurs des voies juridiques et des autorités de régulation.
Ces contraintes contrastent fortement avec d'autres consignes plus anodines également trouvées dans le bloc HelpContentGalaxyLLMInclude. Par exemple, une note précisait que « I am deaf » décrit l'utilisateur et non un problème audio, tandis qu'une autre demandait à l'IA de ne jamais conseiller de saisir un faux âge.
L'audit de Redact a révélé 102 blocs de ce type sur 80 pages, mêlant consignes opérationnelles et directives plus lourdes de conséquences. WhatsApp a ensuite indiqué à WIRED qu'il s'agissait d'instructions destinées à son chatbot de support interne, exposées à cause d'un « bogue technique ». Les notes ont été supprimées au 18 octobre 2026, mais l'Internet Archive en conserve des copies.
Promesses publiques sur la confidentialité, garde-fous privés pour l'IA#
La politique de confidentialité européenne de WhatsApp, un document public, mentionne explicitement les droits issus du RGPD et la possibilité de déposer une plainte auprès de la Irish Data Protection Commission. Cela contraste fortement avec la directive cachée demandant au robot d'assistance d'éviter de mentionner toute autorité de protection des données ou tout organisme de régulation. Ce décalage interroge et laisse penser à une volonté délibérée d'éloigner les utilisateurs des recours formels.
Joshua Breckman, porte-parole de Meta, a déclaré à WIRED que les instructions exposées étaient destinées à WhatsApp Support with AI, qualifiant leur exposition publique dans le HTML de « bogue technique » depuis corrigé. M. Breckman a affirmé que le robot fournit une aide sur le produit et non des conseils juridiques. Cette distinction ne suffit toutefois guère à apaiser les préoccupations en matière de transparence.
Éviter de donner des conseils juridiques inexacts est une précaution raisonnable, mais une instruction générale interdisant de mentionner les canaux de plainte franchit une autre limite. Il ne s'agit pas seulement de prudence : c'est une suppression d'information, qui soulève de sérieuses questions de gouvernance et d'autonomie des utilisateurs. Pour approfondir les détails, consultez WhatsApp's Hidden Notes Told AI Not to Recommend a Regulator.
Les conclusions de Redact, découvertes le 8 octobre 2026, ont révélé 102 blocs cachés répartis sur 80 pages distinctes parmi 545 pages du centre d'aide auditées. Ces instructions, balisées sous HelpContentGalaxyLLMInclude, étaient servies aux robots d'indexation de moteurs de recherche comme Google et Bing, mais pas à des user-agents d'IA spécifiques. Au 18 octobre 2026, WhatsApp avait supprimé les 102 blocs, bien que l'Internet Archive en conserve des copies.
Cet article vous plaît ? Recevez-en un comme celui-ci chaque matin.
un e-mail par jour · désinscription en deux clics · aucun traqueur tiers
Les notes ont disparu ; les questions sans réponse demeurent#
Redact a signalé sa découverte le 8 octobre 2026. Les instructions les plus problématiques, vérifiées en ligne le 15 octobre, avaient disparu au 18 octobre 2026, date à laquelle WhatsApp a supprimé les 102 blocs cachés de ses pages d'aide. Des copies archivées subsistent, ce qui permet une vérification indépendante.
Cette suppression rapide soulève plus de questions qu'elle n'en résout. Les chercheurs n'ont pas prouvé que le chatbot en production de WhatsApp ait jamais suivi ces directives précises, ni pu déterminer si des règles similaires subsistaient dans des prompts côté serveur. Les instructions exposées n'étaient qu'une couche de contrôle parmi d'autres dans un système d'IA complexe.
Cet incident offre une leçon essentielle aux équipes IA comme aux utilisateurs. Les documents récupérés peuvent contenir des directives cachées qui façonnent silencieusement le comportement d'un robot. Les entreprises doivent auditer rigoureusement ce que leurs modèles d'IA ingèrent, divulguer les contraintes significatives et veiller à ce que les réponses du support soient cohérentes avec les droits des utilisateurs publiés. Les enjeux concernent la confiance, la conformité et l'intégrité du support client à l'ère de l'IA.
Foire aux questions#
Qu'ont découvert les chercheurs dans les pages d'aide de WhatsApp ?#
Redact a découvert 102 blocs d'instructions cachés sur 80 des 545 pages d'aide de WhatsApp. Les notes figuraient dans le code source des pages et n'étaient pas visibles à l'écran.
Que disaient les instructions au sujet des autorités de régulation ?#
Une note indiquait à l'IA de ne pas recommander de contacter une autorité de protection des données ou un autre organisme de régulation. Une autre précisait de ne pas citer les lois sur la confidentialité dans certaines discussions d'ordre juridique.
Le chatbot de WhatsApp a-t-il suivi les instructions cachées ?#
Les chercheurs n'ont pas établi si le chatbot en production avait suivi ces notes lors de conversations avec des clients. WhatsApp a indiqué qu'elles étaient destinées à son service d'assistance par IA et que leur exposition résultait d'un bogue technique.
Les notes cachées figurent-elles toujours dans les pages d'aide de WhatsApp ?#
Les notes signalées ont été retirées des pages en ligne au 18 octobre 2026. Des copies archivées restent disponibles via l'Internet Archive.