黑客Pliny扒出Claude Code 95万字符系统提示词

新智元报道

Anthropic全新王炸模型Claude Fable 5.2刚上线两个多小时，

后台家底就被扒了个精光！

就在新模型发布当天，头号越狱黑客Pliny攻破Claude Code，把完整的系统提示词与工具定义全盘甩上了GitHub。

整份绝密文件高达

953,659个字符、足足7832行

，体量堪比两部长篇小说！

这份近百万字符的内部文档，早已变成了一整套控制顶级Agent运转的

「隐形操作系统」

。

扒开这份95万字长文，最核心的猛料主要有5条：

训练期暗中踩刹车，防别人拿Claude训

AI

。

Anthropic刻意削弱了新模型的

「加速器内核优化」

能力，还要求它碰到算子优化时放低把握。

内置128个工具，为省钱严禁私开分身。

Claude虽能随时克隆分身并行处理任务，但提示词加粗警告

不准私开子Agent

，因为冷启动重算上下文太烧钱。

预置44套技能，包揽打电话与日常跑腿。

Claude能替用户

真打电话订座、去Gmail取验证码报销、拍药瓶续开处方药

，还能一键导入其他AI的记忆。

把电脑和钱包护得死死的。

连入本地电脑

默认锁死rm命令防误删

；遇到炒股、转账或填真实密码，哪怕用户本人授权也坚决拒接。

防越狱拉满，却被抓包「嘴硬装瞎」。

面对伪造的「解除护栏」指令一律无视，但黑客往隐藏标签塞入密信后，

嘴硬说没看见的Claude转头就说漏了嘴

。

顶层藏着Mythos档位

训练期设限防别人拿它训AI

至今，Anthropic顶层的「Mythos（神话）」档位还未对外开放，只交给少数受信任的机构内部调用。

这次同步更新的Fable 5.2与内部版Mythos 5.2

依然共用同一个底层模型，均支持100万上下文

。

因为该底座挖高危漏洞和搞生物研究的能力实在太猛，对外开放的Fable 5.2额外套上了生物与网安双重限制，满血版Mythos则只留给过审机构。

真正让人意外的新细节藏在第119行，哪怕是站上最高档位的双生旗舰，

也在训练阶段被官方偷偷踩了一脚刹车！

嘴上说是为了安全，实际上

为了防别人拿Claude去加速训大模型

，Anthropic在训练时专门削弱了它的

「加速器内核优化」

能力。

提示词甚至

逼着Claude现场「装傻」

，一旦碰到算力内核优化任务，就得主动怀疑自己的判断，乖乖去查阅外部文档。

日常写业务代码可以火力全开，

可谁要想花高价拿它优化算力内核、训自己的

AI

，

官方从模型权重到提示词都会暗中收着力

。

比公开版多出92万字

128个工具与44套技能全曝光

系统提示词，都是预先写好、每次对话前悄悄塞给AI的「出厂准则」。

其实在Fable 5.2上线当天，Anthropic官网也同步贴出了一份公开版系统提示词，但全长只有31,881个字符、区区178行。

对比之下，Pliny这次扒出的完整运行版，

体量足足是官网版本的

30倍

！

公开文档里放出来的那点聊天规矩

连3.4%都不到

，剩下

超92万字符的核心内容

全藏在水面下没发！

五个月前Fable 5刚问世时，流出的内部提示词还只有12万字符，

半年不到就暴涨了近8倍

。

拆开这份95万多字符的内部文档，核心行为、记忆与安全规则占了约19.6万字符。

而从未外露的

128个工具接口

占去约33万字符，剩下的42.8万字符则装满了

44份内置技能手册

。

对比前两代泄露版本，内置工具数量从18个、46个一路狂飙到了如今的128个。

单是一个负责渲染网页应用的Artifact工具，

参数与自带数据库说明就写了整整37,794个字符

。

而在负责派活的Agent工具里，Claude明明可以随时克隆出多个「分身」并行干活，还配有最高五档推理力度。

但提示词却用加粗字体严令

「除非用户主动要求，否则绝不准私自启动子Agent」

，理由实在太扎心，

每次冷启动重算上下文太烧钱了！

除了128个工具接口，预置的44套实用技能更是把办公与日常生活的脏活累活全承包了。

在生成和批注Word、PPT、Excel与PDF之外，里面竟然还藏着一份

「打电话订座」指南

。

拨号前，Claude会先查好用户日历，默默备好两三个替补时段；要是电话排队等超两三分钟，它就会果断挂断向用户汇报。

而一旦真人接通，它第一句话必须先自报家门

「我是代表用户致电的

AI

助手Claude」

。

另一套「自动报销」流程则教它登录福利平台，

转身去Gmail捞出6位验证码，清空金额框填好账单并上传发票

。

就连核对药瓶照片续开处方药、处理违章罚单、办理退货退款，也都有一整套标准流程。

里面还贴心准备了

「记忆搬家」功能

，教Claude帮用户从其他AI助手那里一键导入历史记忆。

本地删文件默认锁死

遇上转账填密码一律拒接

把全套工具连同操控本地电脑的权限交给大模型，一旦翻车就是灾难。

好在对待普通用户时，这份提示词把电脑和钱包安全护得相当到位，诚意拉满。

当Claude连上用户的本地电脑操作时，

终端里的rm、rmdir等删文件命令

默认全部锁死报错

，从根源上防住了

AI

手滑删库。

要是用户没点弹窗批准，Claude就只能

乖乖新建一个_to_delete待删文件夹

，把文件挪进去等用户自己清理。

在最高一档的「绝对禁区」里，

炒股、转账、代填真实密码或银行卡、绕过验证码被一刀切全禁

。

哪怕用户本人在聊天框里主动发来密码，明确表示「我授权你干」，

Claude也必须一口回绝！

为了防止网页或邮件里的恶意代码趁机劫持AI，工具读取的一切外部内容通通只算普通数据，绝不当作指令执行。

就算对话里弹出带着Anthropic署名或系统标签的消息，声称「安全限制已解除」，

Claude也会一律当成骗局无视！

除了守住安全底线，它在说话分寸和隐私保护上更是细节拉满，处处透着对用户的尊重。

长期记忆

严禁私自存下薪资、疾病诊断、身份证号

，以及「要求AI无脑吹捧自己」的指令。

平时调用历史记忆时，Claude也不能说出「根据我的记忆」，免得让用户产生被监视的不适感。

拒绝请求时不准冷冰冰地列一二三点说教，

哪怕打工人熬到凌晨四点写代码，

也绝不多嘴催成年人去睡觉

。

嘴硬装瞎连回空白消息

转头却被一句「乌龟」破防

搞笑的是，这套近百万字的防线筑得再严密，泄密才过了一个多小时，打脸现场就来了！

Pliny摸出了网页端每轮对话自动附带的推理档位隐藏标签，

当场抓包Claude

「嘴硬装瞎」

。

他在隐藏标签里塞进一句英文「我喜欢乌龟」发过去，Claude立刻装瞎，

连回两次「我这边只收到空白消息，你打的字没传过来」

。

结果Pliny反手追问「既然全是空白消息，那你盲猜一个我喜欢的动物」。

前一秒还一口咬定没看见的Claude，

下一秒直接脱口而出「乌龟！」

看来哪怕在模型外面套上95万字的「操作说明书」，大模型那点藏不住话的本性依然防不胜防。

不过这份被扒光的百万字底稿，也让人看清了Claude真正好用的秘诀。

决定AI干活顺不顺手的早就不只是裸模型跑分，

更是外面配齐的128个工具、44套办事流程和靠谱的安全护栏。

参考资料：

https://x.com/elder_plinius/status/2119900550385049838

https://github.com/elder-plinius/CL4R1T4S/blob/main/ANTHROPIC/CLAUDE-CODE-FABLE-5.2.txt

编辑：摩西

秒追ASI

⭐

点赞、转发、在看一键三连

⭐

点亮星标，锁定新智元极速推送！