Hacker News Digest

В справочных страницах WhatsApp для Европы были скрытые блоки текста, адресованные ИИ-помощнику, а не людям. Из 545 связанных страниц на 80 нашлись 102 таких блока, и два из них оказались особенно показательными. Первый — на странице об удалении аккаунта: видимая часть советует ждать до 30 дней после деактивации или до 120 дней без использования (365 в США), а невидимая запрещала ИИ предлагать удаление аккаунта вручную и упоминать другие способы. Второй — на странице о жалобах и блокировке: как только пользователь заводил речь о юристе, суде или иске, ИИ запрещалось ссылаться на законы о защите данных, включая GDPR, LGPD и CCPA, даже если закон называл сам пользователь.

Это расходится с публичной политикой конфиденциальности для Европейской экономической зоны: там прямо сказано, что у человека есть право на доступ, исправление и удаление данных, право жаловаться в Ирландскую комиссию по защите данных или любой другой надзорный орган, и назван GDPR. Скрытые инструкции не отменяют эти права — в ЕС они закреплены статьями 17 и 77 GDPR, — но мешали людям о них узнать. Остальные 100 блоков были безобидными: подсказки про шифрование, минимальный возраст, двухэтапную проверку и защиту от мошенников.

Пользователи разделились во мнениях: одни (@MisterMunchkin, @otterley) считают инструкции стандартной защитой компании от юридических рисков, другие (@ryukoposting, @joshuaS98) видят в запрете упоминать регуляторов и GDPR преднамеренное введение в заблуждение. Спор о технической реализации: @yoaviram называет использование скрытого HTML примитивным дизайном, а @eknkc считает это удобным для координации команд через атрибуты вроде `data-support-instruction`. Скептики (@DonHopkins, @bicepjai) не верят в версию Meta о «баге», так как текст был специально сделан невидимым. Случай воспринимается как «индустриальный» prompt injection (@mgaldys4), который ранее описывался лишь в академических работах. Это пример манипуляции результатами LLM, когда пользователи доверяют саммари, не подозревая о жестком корпоративном контроле ответов (@adamddev1).

Firefox Enterprise — это корпоративный браузер, где управление, данные и политики размещаются внутри собственной инфраструктуры компании, а не у вендора. Это позволяет организациям сохранять суверенитет над развертыванием, защищать конфиденциальные данные от утечек через браузер и обеспечивать безопасный доступ сотрудников, подрядчиков и устройств BYOD к внутренним приложениям без традиционной инфраструктуры удалённого доступа. Решение построено на независимом движке Mozilla, что снижает риски единого отказа и зависимость от одного поставщика, при этом бесшовно интегрируется с существующим стеком безопасности.

Продукт создан для выполнения строгих регуляторных требований, включая DORA, GDPR, NIS2, ISO27001 и SOC2. В него встроены централизованное управление политиками, контроль внешних соединений и телеметрии, нативная DLP с блокировкой действий по доменам, управление ИИ-инструментами, интеграция с SIEM, режим жёсткой защиты и управление расширениями. Поддержка включена в базовую лицензию, а для обычного Firefox доступна как платное дополнение. Скоро появится Thunderbird Enterprise — централизованное управление почтой, календарём и контактами через консоль Firefox Enterprise.

Firefox Enterprise — запоздалый, но критически важный шаг для Mozilla, который может обеспечить устойчивый доход и альтернативу монополии Chromium, несмотря на конкуренцию Edge и Chrome. Отсутствие инструментов корпоративного управления привело к запрету Firefox в крупных компаниях, снизив его долю рынка. Некоторые видят в этом шанс на финансовую независимость от Google; другие (@sdcfgy, @niltecedu) сомневаются, что компании будут платить, когда есть бесплатные Edge и Chrome. Рынок корпоративных браузеров огромен — пример: Island оценён в $6,4 млрд; Mozilla сильно отстала. Технические специалисты (@ihuman, @Grimeton) вопрошают, чем новое решение отличается от autoconfig.js, firefox.cfg и шаблонов политик. Для привлечения IT-специалистов и лиц, принимающих решения, Mozilla должна отказаться от модели «Request a Demo» и опубликовать прозрачные цены (@vjvjvjvjghv). Требуется глубокая интеграция функций безопасности: встроенная блокировка рекламы и трекинга без расширений, инструменты DLP для предотвращения утечек данных в AI-чаты. По опыту @DoctorOW, внедрение любого браузера, отличного от Chrome, в корпоративной среде приводит к росту тикетов жалоб — пользователи считают компьютер «сломанным».

Исследование анализирует конфиденциальность девяти популярных конверсационных ИИ-сервисов, включая ChatGPT, Claude и Grok, и выявляет, что они активно передают чувствительные данные третьим сторонам через рекламные и аналитические трекеры. В частности, сервисы отправляют не только тексты запросов пользователей и автоматически генерируемые названия диалогов, но и скриншоты переписок — например, Grok отправляет полные скриншоты диалогов в TikTok и Meta, включая приватные сообщения. Эти данные передаются вместе с постоянными идентификаторами пользователей, что позволяет отслеживать поведение даже после выхода из сессии.

Особую тревогу вызывает отсутствие контроля доступа к перманентным ссылкам на диалоги: некоторые сервисы публикуют их без защиты, позволяя трекерам читать всю историю общения при любом доступе. В одном случае Claude даже включает ссылку на общий диалог в качестве источника скрипта в аналитическом пикселе Datadog, что делает его доступным для сбора данных без ведома пользователя. Исследователи показывают, что традиционные веб-трекеры теперь проникают в ИИ-взаимодействия, создавая новые векторы утечек, нарушающие GDPR и ePrivacy Directive. Авторы провели ответственное раскрытие, но проблема остаётся нерешённой — ИИ-сервисы превращают диалоги в открытые источники персональных данных.

Тред подтверждает выводы статьи о массовой передаче пользовательских данных рекламным трекерам, добавляя практические примеры: частичные запросы, UUID‐URL и скриншоты. Компании считают это частью бизнес‐модели, а не утечкой. Предлагается использовать локальные модели как единственное решение для защиты приватности. По словам @pbasista, веб‐версия ChatGPT регулярно отправляет незавершённые подсказки на endpoint `conversation/prepare`, что позволяет собирать данные о темпе набора, стиле исправлений и формировании идей — информация, которую могут использовать рекламодатели. Как отмечает @postalcoder, многие сервисы считают UUID в URL достаточным для конфиденциальности, но переход по старой ссылке Perplexity раскрывает полное содержание предыдущего диалога, делая URL‐идентификатор уязвимым. @Coeur указывает, что провайдеры передают заголовки, подсказки и скриншоты разговоров третьим сторонам вместе с постоянными идентификаторами, а открытые permalinks без контроля доступа позволяют трекерам читать весь чат. Спор: @dhanushnehru утверждает, что передача данных — часть бизнес‐модели, а не утечка; @drMandalay и другие считают это нарушением приватности, поскольку данные продаются рекламодателям. Совет: @lukehandcool рекомендует использовать локальные открытые модели с собственными весами, чтобы ввод пользователя оставался в локальной базе и не попадал в облачные сервисы. Совет: @zug_zug предлагает генерировать тысячу фальшивых разговоров с противоречивой личной информацией, чтобы «отравить» профиль, собираемый трекерами. @titzer и @r0b05 предупреждают, что рекламные доходы уже влияют на развитие ИИ, и в дальнейшем рекламные сигналы могут быть встроены непосредственно в модель, усиливая угрозу приватности.

Пользователи Mistral могут отказаться от использования своих входных и выходных данных для обучения моделей, но процесс зависит от используемого сервиса. Через административную панель Admin.mistral.ai можно отключить обучение на данных из Mistral Studio и API, а также для приложения Vibe. Для мобильных версий Vibe на iOS и Android процедура опции отказа также доступна в настройках приложения. Отказ не применяется автоматически — пользователь должен активно его настроить. Дополнительно доступна функция Zero Data Retention (ZDR), которая полностью блокирует хранение данных, включая сессии и историю. Важно: данные по умолчанию могут использоваться для обучения, если пользователь не предпринял шагов для отказа. GDPR-права, включая запросы на удаление или доступ к данным, также можно реализовать через специальные инструменты на сайте поддержки.

Mistral изменил политику: на Team-тарифе опция отключения обучения отключена по умолчанию, несмотря на заявления о прозрачности. Интерфейс и документация противоречат друг другу — пользователи видят opt-in по умолчанию, а администраторы ожидают централизованного контроля. Это делает Team-тариф неприемлемым для корпоративного использования, особенно с GDPR-чувствительными данными. Пользователи (@teekert, @20k, @rectang, @lukeschlather, @tensor) сходятся во мнении, что все крупные LLM-компании собирают данные независимо от настроек, а опция отказа — формальность. Нет гарантий, что политика не изменится после поглощения или нарушений субподрядчиков. Enterprise-тариф по умолчанию отключает обучение, но обычные пользователи такой защиты не имеют (@creativeSlumber). Советы: @segmondy рекомендует локальные модели вместо Mistral; @Diti — Kagi Ultimate, который анонимизирует данные перед передачей в LLM. @TZubiri отмечает, что смена политики без уведомления и права на расторжение может нарушать договор. @LoveMistral предупреждает, что Mistral, вероятно, собирает код и файлы (как GitHub Copilot), что опаснее промптов для интеллектуальной собственности. @danelski и @ylisav добавляют, что аналогичные практики у Claude и Gemini, и пользователи, не проверяющие настройки, уже дали согласие.

GDPR — один из немногих инструментов, которые заставили технологические гиганты хоть немного сбавить темп сбора данных. Его ненависть со стороны американских tech-компаний и их сторонников — не признак неудачи, а доказательство эффективности: если вас ненавидят те, кто извлекает выгоду из эксплуатации данных, значит, вы на верном пути. Кук-баннеры, которые все обвиняют в «бюрократическом абсурде», на самом деле раскрыли публике масштаб слежки — «ваши данные передаются 996 партнёрам» — и заставили даже не-технарей задуматься. Google и Meta продолжают собирать данные, но теперь с явным, неустранимым уведомлением — и это уже победа.

США не регулируют, поэтому ЕС стал де-факто глобальным стандартом. Компании не уходят с рынка — они копируют европейские правила, потому что рынок слишком велик. История показывает: когда власть корпораций становится угрозой для демократии, регуляция приходит — не по добровольному согласию, а потому что общество больше не выдерживает. Как с сигаретами, свинцовой краской или ремнями безопасности — сначала это казалось абсурдом, потом — необходимостью, а теперь — очевидностью. GDPR — не конец, а начало. И те, кто его ненавидит, — как и в 1936 году — будут правы только в одном: они поняли, насколько это опасно для их бизнеса.

Тред существенно дополняет тезис статьи: - **Куки-баннеры** — не требование GDPR, а malicious compliance: сайты саботируют регулирование, раздражая пользователя (@ChrisSD, @stephantul). Технически более простой альтернативой был бы Do-Not-Track на уровне ОС (@jampekka). - **Закон vs. реализация.** Текст GDPR оценивают как неплохой, но правоприменение слабое: нарушения крупных корпораций рассматриваются годами, надзорные органы (ICO) бессильны (@jampekka, @blfr). - **Издержки неравномерны.** Для малого бизнеса и стартапов GDPR создаёт реальную нагрузку — вплоть до выделенного compliance-сотрудника (@sajithdilshan) или отказа от рынка ЕС на ранней стадии (@whatsThisBtn4). Крупные корпорации легко абсорбируют требования. GDPR сдвигает инженерную культуру к учёту PII, но стресс при работе с Legal — ожидаемая часть процесса, а не дефект закона (@scott_w). - **Спор об эффекте.** Часть участников считает GDPR полезным и указывает на антиконкурентный эффект против крупных платформ (@Razengan, @DarmokTanagra). Другие (@blfr, @varispeed, @larodi) возражают: GDPR легитимизировал торговлю данными, придав легальную обёртку серым схемам, при этом крупные игроки не уходят с рынка ЕС (@roenxi), а реальная цена GDPR — это цена самой модели бизнеса на персональных данных, многие из которых (СМИ, блоги) вообще не должны собирать (@nraynaud). - **«Scream test»** (ненависть индустрии = признак эффективности) критикуется как логическая ошибка / ad hominem: ненависть плохих акторов не доказывает полезность меры, а параллель с табачной индустрией неприменима, так как цель — не уничтожение тех-индустрии (@bryanrasmussen, @blainm, @bsian, @nonethewier). - **Избирательность защитников приватности.** Критики из Big Tech поддерживают GDPR, но против Tor, Signal и анонимности как реальных инструментов приватности (@blfr, @ezst). - **Антикорпоративный нарратив подозрителен.** Ведётся кампания по дискредитации ЕС (среди бенефициаров называют Heritage Foundation с планом разрушения ЕС изнутри — @Sharlin, @gman83, @seydor). При этом Meta — крупнейший политический спонсор в странах ЕС (@seydor), что делает этот нарратив сомнительным. В то же время не всё недовольство — боты или агенты влияния: жители ЕС (@on_the_train, @unsupp0rted) легитимно критикуют исполнение, признавая ценности Союза; оппозиция не бинарна, а имеет «оттенки серого» (@mft_, @unspp0rted).

Европейский Союз ослабляет свои знаковые законы о приватности и искусственном интеллекте под давлением крупных технологических компаний. ЕС, ранее известный как лидер в области регулирования технологий, теперь пересматривает ключевые положения своего законодательства о защите данных и ИИ. Это решение последовало после интенсивной лоббистской кампании со стороны Big Tech, которая утверждала, что строгие нормативные требования тормозят инновации.

Критики опасаются, что ослабление регулирования приведет к злоупотреблению данными и созданию рискованных ИИ-систем без должного надзора. Этот сдвиг в политике ЕС отражает растущее напряжение между защитой прав потребителей и созданием благоприятных условий для технологических инноваций, что может иметь далеко идущие последствия для цифровых прав граждан и технологической индустрии в Европе и за ее пределами.

• ЕС отступил под давлением США и крупных технологических компаний, отменив предложение обновить законодательство о куки, что вызвало широкий резонанс в обществе.
• Предложение ЕС обновить законодательство о куки было отвергнуто, что вызвало критику со стороны тех, кто считает, что ЕС поддался давлению со стороны США и крупных технологических компаний.
• Обсуждение вокруг предложения ЕС обновить законодательство о куки вызвало широкий резонанс в обществе, где многие выразили обеспокоенность тем, что ЕС не смог устоять под давлением со стороны США и крупных технологических компаний.

Законы о cookie, такие как GDPR и CCPA, создали ежедневный ритуал раздражения для пользователей интернета. Вместо того чтобы дать реальный контроль над данными, они заставили миллионы сайтов показывать навязчивые cookie-баннеры, которые большинство пользователей механически принимают. Эта система неэффективна по трем причинам: вызывает усталость от согласия, несправедлива к небольшим сайтам, которые не могут позволить себе дорогие платформы управления согласием, и не предоставляет реального выбора.

Предлагаемое решение — перенести управление cookie в браузеры. Пользователи могли бы один раз установить свои предпочтения приватности в настройках браузера (например, "только необходимые", "аналитика", "персонализация"), и браузер автоматически применял бы эти настройки ко всем сайтам. Такой подход устранит необходимость в миллионах повторяющихся запросов согласия, снизит нагрузку на небольшие сайты и предоставит пользователям реальный контроль над их данными, сделав интернет более удобным и приватным.

• Веб-сайты используют "malicious compliance", превращая диалоговые окна в инструмент давления на пользователя, вместо того чтобы предоставлять реальную возможность отказа.
• Браузеры могли бы автоматически применять настройки приватности пользователя, но вместо этого веб-сайты вынуждают пользователей вручную отказываться от сбора данных, даже если это технически возможно.
• Законодательство, похоже, нацелено на веб-сайты, но не на браузеры, даже если последние могли бы решить проблему. Это приводит к тому, что вместо того, чтобы просто запретить отслеживание, веб-сайты вынуждены запрашивать согласие, что создает видимость соблюдения закона.
• Попытка сделать приватность доступной для всех, вместо того чтобы просто запретить отслеживание, привела к тому, что вместо того, чтобы браузер просто сообщал веб-сайтам "не отслеживать", они должны спрашивать, что создает видимость соблюдения закона.

BlueSky автоматически блокирует контент для взрослых, используя алгоритмы для пометки аккаунтов и скрытия их постов. Это вызывает споры, поскольку система может ошибочно цензурировать легальный контент, включая искусство, образовательные материалы и аккаунты ЛГБТК+. Пользователи в ЕС теоретически могут использовать GDPR для обхода этих блокировок, запрашивая исправление неточных меток как ошибочных персональных данных.

GDPR позволяет требовать корректировки данных, если они неверны, что может вынудить платформу пересмотреть автоматические решения. Однако этот подход не гарантирует успеха и зависит от трактовки данных как «персональных». Практически это создаёт бюрократическую нагрузку на пользователей, но подчёркивает напряжённость между автоматической модерацией и правами на данные.

• Критика отсутствия сквозного шифрования в личных сообщениях Bluesky и опасения по поводу их доступности для модерации.
• Споры о разумности блокировки личных сообщений для неподтвердивших возраст пользователей как меры защиты от злоупотреблений.
• Обсуждение централизации Bluesky, несмотря на использование децентрализованного протокола, и её последствий.
• Вопросы к процессу верификации запросов на данные пользователей и соответствию GDPR.
• Сравнение подхода Bluesky к модерации и приватности с другими платформами, в частности с Twitter.