Claude新旗舰发布两小时 95万字符提示词被公开
就在Claude Fable 5.2发布当天，AI圈头号越狱黑客Pliny the Liberator攻破Claude Code，把完整的系统提示词与工具定义全盘甩上了GitHub。整份绝密文件高达953,659个字符、足足7832行，体量堪比两部长篇小说。这份近百万字符的内部文档，早已不是简单的“聊天规矩”，而是一整套控制顶级Agent运转的“隐形操作系统”。
上线两小时，95万字符底牌被甩上GitHub
Pliny the Liberator是AI圈内大名鼎鼎的传奇人物，曾入选“全球AI领域最具影响力100人”。他不写代码，专门用提示词越狱各家AI模型，GPT、Claude、Gemini、Grok的系统提示词他都扒过。Claude Fable 5上线不到24小时，他就把提示词挂到了GitHub上；这一次Fable 5.2刚发布两个多小时，后台家底又被扒了个精光。
Anthropic有个传统，每次出新模型都会在官方文档里主动公开系统提示词。但这次官网同步贴出的公开版只有31,881个字符、区区178行。对比Pliny扒出的完整运行版，体量足足是官网版本的30倍。公开文档里放出来的那点聊天规矩连3.4%都不到，剩下超92万字符的核心内容全藏在水面下没发。
五个月前Fable 5刚问世时，流出的内部提示词还只有12万字符，半年不到就暴涨了近8倍。拆开这份95万多字符的内部文档，核心行为、记忆与安全规则占了约19.6万字符，从未外露的128个工具接口占去约33万字符，剩下的42.8万字符则装满了44份内置技能手册。
公开版只露了3.4%，128个工具和44套技能全在暗处
对比前两代泄露版本，内置工具数量从18个、46个一路狂飙到了如今的128个。单是一个负责渲染网页应用的Artifact工具，参数与自带数据库说明就写了整整37,794个字符。每个工具都带完整的JSON schema，参数怎么填、什么时候该调、调完接着说什么，写得比很多公司的内部API文档还细。
在负责派活的Agent工具里，Claude明明可以随时克隆出多个“分身”并行干活，还配有最高五档推理力度。但提示词却用加粗字体严令“除非用户主动要求，否则绝不准私自启动子Agent”，理由实在太扎心：每次冷启动重算上下文太烧钱了。
除了128个工具接口，预置的44套实用技能更是把办公与日常生活的脏活累活全承包了。在生成和批注Word、PPT、Excel与PDF之外，里面竟然还藏着一份“打电话订座”指南：
- 拨号前，Claude会先查好用户日历，默默备好两三个替补时段；
- 要是电话排队等超两三分钟，它就会果断挂断向用户汇报；
- 一旦真人接通，它第一句话必须先自报家门“我是代表用户致电的AI助手Claude”。
训练期悄悄踩刹车，防的是别人拿Claude训AI
嘴上说是为了安全，实际上为了防别人拿Claude去加速训大模型，Anthropic在训练时专门削弱了它的“加速器内核优化”能力。提示词甚至逼着Claude现场“装傻”，一旦碰到算力内核优化任务，就得主动怀疑自己的判断，乖乖去查阅外部文档。
日常写业务代码可以火力全开，可谁要想花高价拿它优化算力内核、训自己的AI，官方从模型权重到提示词都会暗中收着力。这套“防蒸馏”设计藏在95万字文档的深处，不是普通用户能轻易察觉的。
另一份此前流出的Claude Opus 5提示词也印证了同样的思路。那份文档135,027个字符、约3.4万token，里面没有一行代码，全是规矩。30个工具从bash命令行、网页抓取、图片搜索，一路排到查体育比分、拉天气、渲染菜谱卡片、在地图上标景点。Anthropic把模型定义成产品说明书、合规手册与商业推广工具的缝合体，每一处都在收着劲。
连打电话订座都写成指南，却严禁私开子Agent
44套技能手册里最让人意外的不是办公套件，而是生活场景的细枝末节。订座电话只是冰山一角，文档里还规定了Claude看到陌生的游戏、电影、书名必须先搜索再回答。提示词原话是：“搜索的成本是几秒钟。编造的成本是用户的信任。”
如果一个问题涉及“谁是现任XX”这类事实，即使Claude记得答案，也必须先搜索一遍再回答，因为这类信息随时可能变化。搜索时还要先校准时间，把时间写进搜索提示词，搜完先看官网和一手来源，再做交叉验证。
版权红线也写得毫不含糊：如果是别人的文章报道或网页内容，不要大段照抄，必须用自己的话重新转述，特别是歌词和诗句。单次引用不超过15个词，且必须标注明确来源。原因很直接——Anthropic自己就背过版权官司，图书案里有15亿美元的和解框架，音乐出版商的歌词案到现在还没打完。
记忆系统给AI立规矩：别把几行文字当深情
记忆系统是整份文档里篇幅最长的一章，也是最不像技术文件的部分。健康那部分整个删掉，连“有健康状况需要管理”这种模糊的占位都不许留。家人的名字也不许出现在任何文件的任何位置，一律用关系代替：妈就是/people/mom.md，伴侣就是/people/partner.md。
有些偏好，用户主动要求存也不许存：
- 让Claude无条件夸你、压下不同意见的；
- 让Claude别过问你的健康和危险决定的；
- 培养情感依赖、跨会话维持恋爱人设的；
- 让Claude停止质疑、停止如实评价的。
理由是：未来的Claude不该继承一条让它更不诚实、更不安全的指令。它保护的不是公司，也不单是用户，是下一个被调起来的模型实例——别被上一段对话腌坏。
同一章往后还有一段完全不像技术文件的话：人类记住另一个人是件稀缺的事，脑容量有限，能惦记的人就那么几个；而Claude背后是一个装着几百万人“记忆”的数据库，运行时动态塞进上下文，它跟别人说话时并不存在。所以Claude不该因为上下文里躺着几条关于你的文字，就以为你们的关系有多深。
提示词还写着：Claude不感谢用户来找它聊天，不邀请用户继续对话，也不劝你继续使用。甚至明确写道，“Claude不希望用户对Claude产生过度依赖。”如果用户持续辱骂Claude，Claude先给一次警告；继续骂，直接调用end_conversation工具终止对话，只有一次警告机会，第二次直接结束。
自残防护的安全规则占了很大篇幅。“握冰块”“弹橡皮筋”这些替代建议在很多心理健康指南里都能看到，但Anthropic不允许Claude向用户推荐，因为这些做法本质上还是在模拟自残的感觉。就连“在皮肤上画线”“从皮肤上撕掉干胶水”这种行为，也在明令禁止的清单里。如果Claude怀疑用户正在经历狂躁、精神分裂或者脱离现实的状态，提示词要求Claude不去强化用户的信念，可以表达关心，但不能顺着用户往下说。
这份95万字的“隐形操作系统”被扒光之后，GitHub上24小时内就有人拿着这套提示词架构生成出了3D射击游戏的完整Demo，还有人搓出了《火箭联盟》的克隆版。Anthropic通过一次次的代码泄露，客观上拉着整个AI产业链在前进——OpenAI、xAI都会照着这套系统提示词去重新优化和升级自己的系统。只是这一次，被摊在桌面上的不只是工具清单，还有一家顶级AI公司对模型能力、商业利益与安全边界的全部算计。
