Redact meldde dat het op 18 oktober 2026 om 02:08 UTC geen verborgen instructieblokken meer aantrof op de 80 WhatsApp-helppagina’s waarop het die had gevonden. De controle betrof 102 blokken op Engelstalige pagina’s waarnaar het Help Center linkte.
Wat Redact op de helppagina’s aantrof
Onderzoeker Dan Saltman van Redact bekeek 545 Engelstalige pagina’s die via WhatsApps Help Center bereikbaar waren. Redact meldde verborgen tekst op 80 daarvan, verdeeld over 102 blokken.
Een instructie bij de pagina over accountverwijdering droeg de chatbot op gebruikers niet naar een gegevensbeschermingsautoriteit te verwijzen en niet te suggereren dat WhatsApp een account namens hen handmatig kon verwijderen. Een andere instructie zei dat de chatbot geen privacyregels zoals de GDPR, LGPD en CCPA moest aanhalen of uitleggen wanneer gebruikers juridische stappen, advocaten of rechtbanken noemden.
WhatsApps verklaring en de tijdlijn
WhatsApp vertelde WIRED dat de tekst bedoeld was voor de eigen supportchatbot en door een bug op de helppagina’s terecht was gekomen.
Redact meldde dat een archiefkopie van de accountverwijderingspagina van 12 juli 2026 de instructie niet bevatte; in een kopie van 4 september 2026 stond die er wel in. Die waarnemingen betreffen die ene pagina.
Op 15 oktober om 21:40 UTC stonden beide voorbeeldinstructies volgens Redact nog op de pagina’s. Bij de controle op 18 oktober om 02:08 UTC waren alle 102 blokken verdwenen van de 80 onderzochte pagina’s. De Help Center-pagina’s zelf bleven online.
Wat de bevindingen over de chatbot zeggen
De audit bracht instructies in pagina-inhoud aan het licht. Redact testte niet of WhatsApps chatbot die instructies in gesprekken opvolgde. De bevindingen zeggen dus niets over antwoorden die gebruikers van de chatbot kregen. Redact onderzocht Engelstalige pagina’s waarnaar het Help Center linkte.
