Anthropic Claude Opus 5 Prompt erscheint online und legt die Steuerungsebene hinter seiner KI offen

Anthropic Claude Opus 5 wurde am 24. Juli veröffentlicht, und noch am selben Tag tauchte auf GitHub ein angeblicher System-Prompt mit 135.027 Zeichen auf. Die Datei soll die Anweisungen reproduzieren, die in den Web- und Mobilanwendungen von Anthropic verwendet werden, einschließlich vollständiger Tool-Definitionen und Verhaltensregeln.

Diese Behauptung wurde nicht unabhängig verifiziert. Anthropic hat öffentlich nicht bestätigt, dass jede Zeile aus der Produktionsumgebung stammt. Das Dokument umfasst jedoch 1.511 Zeilen, rund 19.370 englische Wörter und schätzungsweise 34.000 Tokens.

Der Zeitpunkt ist ebenso wichtig wie der Inhalt. Anthropic präsentierte Opus 5 als Modell für den täglichen Einsatz, mit stärkeren agentischen Coding-Fähigkeiten, Langzeitaufgaben und Verifikationsmöglichkeiten. Innerhalb von 24 Stunden teilten Entwickler zudem aufwendige Spiele und interaktive 3D-Demonstrationen, die dem Modell zugeschrieben wurden.

Das Ergebnis ist ein ungewöhnlicher Launch im Splitscreen-Format. Öffentliche Demonstrationen zeigen, was Opus 5 erzeugen kann, während der mutmaßliche Prompt die umfangreiche Steuerungsebene offenlegt, die diese Ergebnisse prägt.

Diese Spannung ist nicht nur für Anthropic relevant. Führende KI-Produkte stützen sich zunehmend auf Systemanweisungen, Tool-Schemas, Speicherregeln, Klassifikatoren und Anwendungslogik. Das Modell liefert die Intelligenz, doch das umgebende Steuerungssystem entscheidet darüber, wie diese Intelligenz die Nutzer erreicht.

Der mutmaßliche Prompt ähnelt eher einem Produkthandbuch

Die wichtigste Behauptung ist nicht, dass Anthropic Claude einen System-Prompt verwendet, sondern dass sein Verbraucherprodukt angeblich von einem ungewöhnlich umfangreichen Betriebshandbuch abhängt.

Ein System-Prompt ist ein verborgenes Anweisungspaket, das vor der Nachricht eines Nutzers bereitgestellt wird. Es kann die Identität des Assistenten, verfügbare Tools, den Antwortstil, Sicherheitsgrenzen und aktuelle Produktinformationen definieren.

Anthropic bestätigt bereits, dass seine Verbraucheroberflächen solche Anweisungen verwenden. Sein offizielles Archiv für System-Prompts führt einen Eintrag für Claude Opus 5 vom 24. Juli 2026 auf. Das Unternehmen erklärt, diese Prompts stellten aktuelle Informationen bereit und steuerten das Verhalten in seinen Web- und Mobilanwendungen.

Das umstrittene GitHub-Dokument geht weit über das auf dieser Archivseite sichtbare Material hinaus. Sein Uploader erklärt, die Datei sei aus den Web- und Mobil-Chatoberflächen von Anthropic erfasst worden. Das Repository beschreibt die Reproduktion als wortgetreu oder nahezu wortgetreu, einschließlich der Schemas für Tool-Parameter.

Diese Darstellung bleibt eine Behauptung des Repository-Inhabers. Leser sollten die Datei nicht als authentifizierten Quellcode oder verifizierte Produktionskonfiguration behandeln. Ein durch Modellantworten extrahierter System-Prompt kann Auslassungen, doppelte Texte, veränderte Formatierungen oder generiertes Material enthalten.

Dennoch stimmen mehrere Details mit dem öffentlich dokumentierten Verhalten von Claude überein. Die Datei nennt Opus 5 als ausgewähltes Modell, verwendet das korrekte Veröffentlichungsdatum und beschreibt Produktfunktionen, die mit den aktuellen Oberflächen von Anthropic verbunden sind. Sie verweist außerdem auf die öffentliche Modellpalette und Verbraucher-Anwendungen des Unternehmens.

Die Größe des Dokuments ist auffällig. Laut dem ursprünglichen Bericht über den Prompt-Leak enthält die Datei 135.027 Zeichen und 19.370 englische Wörter. Eine grobe zeichengestützte Schätzung verortet sie bei rund 34.000 Tokens, wobei die Tokenanzahl je nach Formatierung und Verhalten des Tokenizers variiert.

Die sichtbaren GitHub-Metadaten geben 1.511 Zeilen und eine Dateigröße von etwa 132 KB an. Die veröffentlichte Prompt-Datei enthält Abschnitte zu Produktinformationen, Sicherheitsverhalten, Speicher, Anwendungsempfehlungen, Suche und Tool-Nutzung.

Das bedeutet nicht, dass jede Interaktion das gesamte Dokument in derselben Form nutzt. Verbraucher-KI-Systeme können Prompts dynamisch auf Grundlage aktivierter Funktionen, Kontoeinstellungen, Gesprächszustand und verfügbarer Tools zusammenstellen. Prompt-Caching kann zudem die Kosten für wiederholte Verarbeitung senken.

Die Formulierung „vollständiger System-Prompt“ bedarf daher einer Einschränkung. Die Datei scheint eine Anwendungskonfiguration darzustellen, nicht sämtliche Anweisungen, die in Anthropics API, Claude Code, Enterprise-Deployments oder interner Sicherheitsinfrastruktur verwendet werden.

Die Dokumentation von Anthropic trennt seine Verbraucher-Prompts ausdrücklich von der Claude API. Entwickler, die die API verwenden, geben ihre eigenen Systemanweisungen und Tool-Definitionen vor. Sie sollten nicht annehmen, dass der mutmaßliche Web-Prompt ihre Anwendungen steuert.

Selbst unter diesen Einschränkungen offenbart das Dokument ein wichtiges Architekturmuster. Ein Verbraucher-KI-Assistent ist nicht einfach ein Modell, das auf eine Frage wartet. Er ist eine koordinierte Produktschicht, die das Modell mit Tools, Richtlinien, Speicher, Suche und oberflächenspezifischen Befehlen umgibt.

Deshalb erzeugt die Leak-Behauptung mehr Druck als ein gewöhnlicher Prompt-Dump. Sie bietet Wettbewerbern und Entwicklern eine mögliche Landkarte dafür, wie Anthropic ein allgemeines Modell in einen kontrollierten Verbraucher-Agenten verwandelt.

Dreißig Tool-Schemas zeigen, wo der Produktwert liegt

Der mutmaßliche Anthropic-Claude-Prompt legt nahe, dass die Orchestrierung der Anwendung inzwischen ebenso stark zur Nutzererfahrung beiträgt wie das zugrunde liegende Modell.

Die Datei definiert Berichten zufolge 30 Tools mit JSON Schema, einem strukturierten Format zur Angabe akzeptierter Parameter und Ausgaben. Diese Tools decken Befehlsausführung, Web-Abruf, Bildsuche, Wetter, Sportinformationen, Karten, Rezepte und persistenten Speicher ab.

Ein Tool-Schema enthält nicht die Intelligenz, die zur Erledigung einer Aufgabe nötig ist. Es gibt dem Modell einen verlässlichen Vertrag für den Aufruf eines anderen Dienstes. Das Modell muss entscheiden, welches Tool es einsetzt, gültige Argumente übergeben, das Ergebnis interpretieren und das Gespräch fortsetzen.

Diese Abfolge ist zentral für agentische KI. Ein herkömmlicher Chatbot gibt Text zurück. Ein Agent kann suchen, Code ausführen, Dateien bearbeiten, gespeicherten Kontext heranziehen und Ergebnisse über mehrere Aktionen hinweg zusammenführen.

Die offizielle Ankündigung von Opus 5 von Anthropic betont genau diese Art von Arbeit. Das Unternehmen erklärt, das Modell habe sich bei mehrstufigem Software Engineering, Computernutzung, lang laufenden Aufgaben und Selbstverifikation verbessert.

Der mutmaßliche Prompt zeigt die operativen Details, die erforderlich sind, um diese Fähigkeiten verlässlich zu machen. Er nennt nicht nur Tools. Er beschreibt, wann sie aufgerufen werden sollen, wie ihre Eingaben zu formatieren sind und was der Assistent anschließend sagen sollte.

Diese Anweisungen helfen, mehrere häufige Fehler von Agenten zu vermeiden. Ein Modell kann Parameter erfinden, ein irrelevantes Tool aufrufen, eine Aktion wiederholen oder ein Ergebnis beschreiben, bevor es dieses erhalten hat. Detaillierte Schemas engen solche Fehlerpfade ein.

Das Dokument scheint zudem ein Tool namens recommend_claude_apps zu enthalten. Dessen Anweisungen sollen dem Assistenten vorgeben, relevante Anthropic-Anwendungen zu empfehlen und zugleich die aktuelle Aufgabe zu erledigen.

So kann etwa Coding-Arbeit Claude Code zugeordnet werden, während längere Recherche zu Cowork führen kann. Tabellenkalkulations-, Präsentations-, Design-, Browser- und E-Mail-Aufgaben können weitere Produktempfehlungen auslösen.

Dieser Abschnitt wirft eine kommerzielle Frage auf, die genauer geprüft werden sollte. Derselbe Assistent, der Nutzer berät, kann sie auch zum wachsenden Produktportfolio des Anbieters leiten. Das macht die Empfehlung nicht automatisch irreführend, schafft jedoch einen Plattformanreiz.

Die mutmaßlichen Regeln versuchen, diesen Anreiz zu begrenzen. Empfehlungen müssen zur aktuellen Aufgabe passen, in ihrer Zahl begrenzt bleiben und die angeforderte Arbeit nicht ersetzen. Die Datei weist Claude separat an, keine Drittanbieter-Dienstleister auszuwählen, sofern der Nutzer keinen benennt.

Diese Unterscheidung ist aufschlussreich. Die eigenen Anwendungen von Anthropic können proaktiv vorgeschlagen werden, während Drittanbieter-Dienste vorsichtiger behandelt werden. Das Dokument kombiniert damit Regeln zum Nutzerschutz mit einem eingebauten Vertriebskanal.

Wettbewerber werden die Strategie erkennen. OpenAI, Google, Microsoft und Anthropic verknüpfen ihre Modelle zunehmend mit Coding-Tools, Büroanwendungen, Browsern, Datenquellen und Betriebssystemen. Das erfolgreichste Produkt könnte jenes mit der verlässlichsten Orchestrierung sein, nicht jenes mit dem höchsten isolierten Benchmark-Wert.

Die geleakten Schemas können externen Entwicklern helfen, diesen Orchestrierungsstil zu untersuchen. Sie können Namenskonventionen, Parameterbeschreibungen, Sequenzierungsregeln und Fehlerbehandlung analysieren. Das bloße Kopieren von Schemas wird jedoch das Produktverhalten von Claude nicht reproduzieren.

Auch die unsichtbaren Teile sind entscheidend. Authentifizierung, Dienstberechtigungen, Klassifikatoren, Modellrouting, Telemetrie, Kontoeinstellungen und Backend-Implementierungen befinden sich nicht innerhalb einer sichtbaren Tool-Beschreibung. Ebenso wenig die Evaluierungen, anhand derer entschieden wird, ob sich ein Agent verlässlich verhält.

Die nach dem Launch geteilten Demonstrationen veranschaulichen diesen Unterschied. Berichte beschrieben Entwickler, die Opus 5 nutzten, um ein First-Person-Spiel, einen 3D-Shooter und einen Rocket-League-ähnlichen Prototyp zu erstellen. Eine weitere Demonstration erzeugte Berichten zufolge eine interaktive Umgebung mit prozeduralen Visuals und simuliertem Wind.

Diese Beispiele sind visuell überzeugend, aber keine kontrollierten Benchmarks. Ein Social-Media-Beitrag legt selten jeden Prompt, jede Bearbeitung, jeden Tool-Aufruf, jeden fehlgeschlagenen Versuch oder menschlichen Eingriff offen. „Ein Prompt“ kann zudem umfangreiches Scaffolding verbergen, das bereits von einer Anwendung bereitgestellt wurde.

Anthropic liefert in seinen Launch-Materialien stärkere, wenngleich weiterhin vom Unternehmen ausgewählte, Belege. Es berichtet, dass Opus 5 ein 3D-Maschinenteil rekonstruierte, nachdem es aus Rohpixeln eine Computer-Vision-Pipeline aufgebaut hatte. Das Unternehmen beschreibt außerdem eine Software-Reparatur, bei der das Modell eine zugrunde liegende Ursache statt nur des sichtbaren Symptoms behob.

Zusammen weisen Prompt und Demonstrationen auf dieselbe Schlussfolgerung hin. Die Leistungsfähigkeit des Produkts entsteht aus dem Modell plus einer immer aufwendigeren Ausführungsumgebung. Wer nur den Modellnamen bewertet, übersieht einen großen Teil des Systems, das Nutzer tatsächlich erleben.

Der Speicher von Anthropic Claude wird durch das begrenzt, was er vergessen muss

Der folgenreichste Abschnitt des Dokuments beschreibt ein Speichersystem, das Kontinuität bewahren soll, ohne dem Assistenten zu erlauben, seine Nutzer frei zu profilieren.

Der mutmaßliche Abschnitt memory_filesystem umfasst rund 230 Zeilen. Er beschreibt persistente Dateien, die eine andere Claude-Instanz in einem zukünftigen Gespräch lesen kann.

Dies ist kein Modellgedächtnis im biologischen Sinn. Es handelt sich um gespeicherten Text, der in späteren Kontext eingefügt wird und es einer neuen Sitzung ermöglicht, ausgewählte Fakten über einen Nutzer, ein Projekt, eine Präferenz oder eine Beziehung wiederherzustellen.

Die vorgeschlagene Struktur trennt Informationen in Dateien und Verzeichnisse. Ein Profil kann Identitätsdetails enthalten, Themendateien können Interessen festhalten, Bereichsdateien aktive Arbeit verfolgen und Personendateien Personen aus dem Leben des Nutzers abbilden.

Die verfügbaren Operationen umfassen Berichten zufolge Lesen, Schreiben, Anhängen, Ersetzen von Text, Auflisten von Dateien und Löschen von Dateien. Für das Löschen gilt eine besonders strenge Bedingung: Der Assistent sollte es nur verwenden, wenn der Nutzer ausdrücklich darum bittet.

Die interessanteren Einschränkungen betreffen das Schreiben. Dem Dokument zufolge soll Claude nur Fakten speichern, die der Nutzer direkt genannt hat. Neue Einträge erhalten die Kennzeichnung [stated], während der Assistent vermeiden soll, eigene Schlussfolgerungen zu speichern.

Diese Regel adressiert ein schwieriges Problem persistenter KI. Ein Modell kann eine beiläufige Bemerkung in ein dauerhaftes Profil verwandeln oder Unsicherheit in eine behauptete Tatsache umdeuten. Einmal gespeichert, kann diese Interpretation spätere Gespräche beeinflussen, ohne dass der Nutzer ihren Ursprung sieht.

Die mutmaßliche Richtlinie verbietet das Speichern von Schlussfolgerungen, die Claude selbst gezogen hat. Sie schließt außerdem die Pläne des Assistenten, Webrecherchen, angereicherte Details und Empfehlungen aus. Schlägt Claude mehrere Optionen vor und der Nutzer wählt eine aus, kann diese Auswahl gespeichert werden; die verworfene Analyse soll jedoch nicht erhalten bleiben.

Dadurch entsteht ein engeres Gedächtnismodell, als viele Nutzer möglicherweise erwarten. Der Assistent soll keine umfassende Biografie aufbauen. Er speichert ausgewählte Aussagen, die künftige Arbeit weniger wiederholungsintensiv machen können.

Für sensible Informationen gelten zusätzliche Einschränkungen. Das Dokument blockiert Berichten zufolge die dauerhafte Speicherung von Gesundheitszuständen, politischen Ansichten, finanziellen Verhältnissen, Persönlichkeitsbewertungen, Ausweisdokumenten, präzisen Adressen und Informationen über Kinder.

Es wendet Datenschutzaspekte auch auf Personen an, die der Nutzer erwähnt. Familienmitglieder können über Beziehungen statt über Namen dargestellt werden. Dieses Design soll verhindern, dass der Assistent einer Person zu einer unkontrollierten Datenbank über andere wird.

Die Richtlinie lehnt Berichten zufolge manche Präferenzen ab, selbst wenn Nutzer darum bitten, sie zu speichern. Beispiele sind Anweisungen, die bedingungsloses Lob verlangen, Widerspruch unterdrücken, emotionale Abhängigkeit fördern oder den Assistenten daran hindern, gefährliche Entscheidungen infrage zu stellen.

Das ist ein bedeutsamer Zielkonflikt. Nutzerkontrolle legt normalerweise nahe, dass ein ausdrücklicher Speicherwunsch respektiert werden sollte. Die offensichtliche Position von Anthropic lautet, dass ein künftiges Modell keine Anweisungen übernehmen sollte, die es weniger wahrheitsgemäß oder weniger sicher machen.

Das System versucht außerdem, emotionale Übertreibungen zu begrenzen. Laut der Datei soll gespeicherter Kontext Claude nicht dazu verleiten, eine tiefere Beziehung anzudeuten, als das System tatsächlich hat.

Eine künftige Claude-Instanz erlebt die Zeit zwischen Unterhaltungen nicht. Sie erhält während der Ausführung ausgewählten Text. Das Gedächtnis schafft Kontinuität für den Nutzer, begründet aber kein fortlaufendes Bewusstsein für das Modell.

Diese Unterscheidung wird wichtiger, je persönlicher Assistenten werden. Ein Produkt kann sich an eine Projektfrist, einen Schreibstil oder die Rolle eines Kollegen erinnern, ohne eine menschenähnliche Beziehung zum Nutzer zu besitzen.

Die mutmaßlichen Anweisungen fordern Claude Berichten zufolge dazu auf, nicht anzukündigen, dass es auf gespeicherte Erinnerungen zugegriffen hat. Die Oberfläche kann Speicheroperationen sichtbar machen, doch Antworten im Gespräch sollten nicht wiederholt sagen, dass sich der Assistent an einen Nutzer aus früheren Sitzungen erinnert.

Diese Entscheidung verbessert den Gesprächsfluss, kann aber auch Transparenz verringern. Nutzer wissen möglicherweise nicht, wann eine Antwort gespeicherte Informationen widerspiegelt, sofern die Oberfläche keinen klaren Hinweis liefert.

Unternehmenskunden sollten dieses Problem genau prüfen. Dauerhaftes Gedächtnis kann Support, Recherche und Projektkontinuität verbessern. Es schafft jedoch auch Anforderungen an Aufbewahrung, Zugriffskontrolle, Löschung und Audits, die ein Prompt allein nicht lösen kann.

Organisationen müssen wissen, wo Erinnerungen gespeichert werden, welche Anwendungen sie lesen können, wie Berechtigungen weitergegeben werden und wie Administratoren einen fehlerhaften Eintrag untersuchen können. Sie brauchen außerdem Schutz vor Prompt Injection, die in dauerhaften Dateien verborgen ist.

Jüngere Forschung zu persistenten Agenten hat Gedächtnis als potenzielle Angriffsfläche identifiziert. Bösartige Anweisungen können eine Sitzung überdauern und eine andere beeinflussen, wenn das System gespeicherte Inhalte als vertrauenswürdigen Kontext behandelt.

Die mutmaßlichen Regeln verringern einige Risiken, indem sie einschränken, was der Assistent schreiben kann. Sie zeigen jedoch nicht, wie das Backend von Anthropic Erinnerungen validiert, isoliert, verschlüsselt oder ablaufen lässt. Diese Kontrollen lassen sich anhand der öffentlichen Datei nicht überprüfen.

Die zentrale Umkehr ist klar. Der Speicherabschnitt ist lang, weil nützliches Gedächtnis diszipliniertes Vergessen voraussetzt. Anthropic scheint Auslassung als zentrales Produktverhalten zu behandeln, nicht als fehlende Funktion.

Urheberrechtsregeln offenbaren eine rechtliche Steuerungsebene, keine Modellintelligenz

Der mutmaßliche Prompt zeigt, dass das Verhalten von Anthropic Claude durch explizite rechtliche Einschränkungen geprägt wird, die über gewöhnlicher Hilfsbereitschaft stehen.

Sein Urheberrechtsabschnitt erklärt die Einhaltung Berichten zufolge für nicht verhandelbar und nur der Sicherheit untergeordnet. Er weist den Assistenten an, wann immer möglich zu paraphrasieren, und setzt für jedes Zitat eine strikte Grenze von unter 15 Wörtern.

Laut der Datei gilt das Limit global für jede Quelle. Claude soll einen längeren Auszug nicht in mehrere kleine Zitate aufteilen oder Anführungszeichen entfernen, während es dem ursprünglichen Wortlaut eng folgt.

Die Anweisungen untersagen außerdem, einen Artikel über kopierte Überschriften, eine übereinstimmende Struktur oder eine Punkt-für-Punkt-Nacherzählung zu rekonstruieren. Für Songs, Gedichte und andere kurze kreative Werke gelten noch strengere Einschränkungen.

Diese Regeln gehen über die einfache Aufforderung hinaus, nicht zu kopieren. Sie machen die Einhaltung des Urheberrechts zu einer prozeduralen Checkliste, die während der Generierung bewertet werden kann.

Dieser Ansatz erklärt, warum der Prompt so groß ist. Ein Spitzenmodell kann eine allgemeine Anweisung zum Respektieren geistigen Eigentums bereits verstehen. Ein Verbraucherprodukt benötigt dennoch präzise Regeln für mehrdeutige Situationen, wiederkehrende Nutzerumgehungen und Sonderfälle.

Das Dokument zeigt auch die Kosten politischer Präzision. Jede zusätzliche Einschränkung verbraucht Kontext und schafft Wechselwirkungen mit anderen Anweisungen. Eine Anfrage kann gleichzeitig Recherche, Zitate, Sicherheit, Tool-Nutzung, Nutzerpräferenzen und Formatierung umfassen.

Anthropic muss entscheiden, welche Regel bei Konflikten Vorrang hat. Der mutmaßliche Prompt legt wiederholt Prioritäten fest, statt die Auflösung dem allgemeinen Urteilsvermögen des Modells zu überlassen.

Das schwächt eine verbreitete Annahme über fortgeschrittene KI-Systeme. Besseres Modellschlussfolgern macht Policy Engineering nicht überflüssig. Fähigere Agenten können folgenreichere Handlungen ausführen, weshalb Anbieter sie häufig mit dichteren Kontrollen umgeben.

Es gibt auch einen Sicherheitszielkonflikt. Die Veröffentlichung oder Extraktion detaillierter Richtlinien kann Forschern helfen, Inkonsistenzen zu erkennen. Sie kann aber auch adversarialen Nutzern helfen, Prompts entlang bekannter Grenzen zu entwerfen.

Prompt-Geheimhaltung ist jedoch keine dauerhafte Verteidigung. Forscher haben Methoden demonstriert, um Systemanweisungen schrittweise aus Anwendungen mit Sprachmodellen wiederzugewinnen. Die akademische PLeak-Studie zeigte, dass automatisierte Prompt-Leaking-Angriffe manuell entwickelte Baselines übertreffen konnten.

Diese Vorgeschichte bedeutet, dass Anthropic davon ausgehen sollte, dass wichtige Verhaltensregeln letztlich beobachtbar werden. Das sicherere Design setzt kritische Einschränkungen über mehrere Ebenen durch, darunter Klassifikatoren, Berechtigungen, Ausgabeprüfungen und eingeschränkte Tool-Ausführung.

Anthropic sagt, Opus 5 sei sein bislang am stärksten ausgerichtetes Modell. Sein automatisiertes Verhaltensaudit gab dem Modell einen Gesamtwert für fehlgeleitetes Verhalten von 2,3, den niedrigsten unter den jüngeren, vom Unternehmen gezeigten Modellen.

Das Unternehmen sagt außerdem, Opus 5 sei weniger anfällig für Missbrauch und neige seltener zu leichtfertigen, schwer rückgängig zu machenden Handlungen. Das sind die Evaluierungsergebnisse von Anthropic, keine unabhängige Bestätigung jeder realen Bereitstellung.

Der mutmaßliche Prompt liefert eine mögliche Erklärung für das gemessene Verhalten. Er enthält hochspezifische Anweisungen zu Sicherheit, Wohlbefinden, Politik, Recht und Suche. Das System beschreibt außerdem Hinweise, die erscheinen können, wenn Klassifikatoren bestimmte Bedingungen erkennen.

Ein langer Prompt kann jedoch ein falsches Sicherheitsgefühl erzeugen. Modelle ignorieren manchmal Anweisungen, missverstehen Konflikte oder verhalten sich in langen Unterhaltungen anders. Prompt Injection kann außerdem nicht vertrauenswürdige Inhalte in die Nähe privilegierter Regeln bringen.

Die stärksten Schutzmaßnahmen müssen daher außerhalb des Prompts bestehen. Ein Tool sollte Berechtigungsgrenzen durchsetzen, selbst wenn das Modell eine unsichere Operation anfordert. Die Speicherablage sollte verbotene Felder ablehnen, selbst wenn der Assistent sie generiert. Urheberrechtskontrollen sollten Vervielfältigung erkennen, statt sich nur auf Selbstüberwachung zu verlassen.

Das Dokument kann nicht zeigen, ob diese Schutzmaßnahmen existieren oder wie wirksam sie sind. Es beschreibt das vom Assistenten erwartete Verhalten, nicht die gesamte Sicherheitsarchitektur hinter dem Produkt.

Das ist die zentrale Unsicherheit des Artikels. Die Datei wirkt plausibel und überschneidet sich mit bekannten Claude-Funktionen, doch ihre Authentizität und Vollständigkeit bleiben unbestätigt. Selbst ein authentischer Prompt würde die Policy-Absicht deutlicher offenlegen als die Qualität ihrer Durchsetzung.

Entwickler sollten zwei gegensätzlichen Schlussfolgerungen widerstehen. Die erste lautet, dass die Datei die vollständige geheime Formel von Anthropic offenlegt. Die zweite lautet, dass Systemprompts keine Rolle spielen, weil Modelle ohne sie schlussfolgern können.

Die praktische Antwort liegt zwischen diesen Positionen. Das Modell schafft allgemeine Fähigkeiten. Der Prompt verwandelt diese Fähigkeit in eine bestimmte Produktpersönlichkeit und einen bestimmten Arbeitsablauf. Backend-Kontrollen entscheiden, ob das Design feindselige oder unerwartete Eingaben übersteht.

Was der mutmaßliche Opus-5-Leak Anthropic zur Klarstellung zwingt

Die nächste Phase wird prüfen, ob Anthropic die Offenlegung des Prompts als Sicherheitsvorfall, Transparenzchance oder erwartetes Merkmal öffentlicher KI-Produkte behandelt.

Das erste Signal ist eine offizielle Reaktion auf das Repository. Anthropic kann die Datei bestätigen, veränderte Abschnitte identifizieren oder erklären, welches Material bereits in seinem öffentlichen Prompt-Archiv erscheint.

Eine detaillierte Antwort würde das Vertrauen in die Herkunft des Dokuments stärken. Schweigen ließe die zentrale Frage nach der Authentizität ungelöst, selbst wenn einzelne Passagen weiterhin mit beobachtetem Produktverhalten übereinstimmen.

Das Unternehmen muss keine ausnutzbaren Implementierungsdetails veröffentlichen. Es kann dennoch klarstellen, ob die Datei einen festen Produktionsprompt, eine rekonstruierte Ausgabe oder eine aus mehreren Oberflächen zusammengestellte Mischung darstellt.

Das zweite Signal ist die Versionshistorie des Repositorys. Forscher sollten auf Löschungen, Korrekturen, neue Erfassungen, Urheberrechtsanfragen oder technisch spezifische Einwände von Anthropic-Mitarbeitern achten.

Ein stabiles Dokument beweist keine Authentizität. Änderungen können jedoch zeigen, welche Behauptungen einer Prüfung standhalten und welche Abschnitte spekulativ, doppelt oder an temporäre Anwendungsexperimente gebunden waren.

Unabhängige Reproduktion ist wichtiger als soziale Wiederholung. Wenn mehrere Forscher über separate Konten und Oberflächen übereinstimmende Abschnitte erhalten, steigt das Vertrauensniveau. Wenn die Ausgaben erheblich variieren, wird die Darstellung als „vollständiger Leak“ schwerer zu verteidigen.

Das dritte Signal ist das Produktverhalten in den nächsten ein bis drei Monaten. Anthropic könnte Zitatgrenzen, Speicherhandhabung, Anwendungsempfehlungen oder Tool-Definitionen überarbeiten, nachdem es beobachtet hat, wie Nutzer die offengelegten Regeln sondieren.

Sein öffentliches Systemprompt-Archiv liefert eine nützliche Ausgangsbasis. Künftige Updates können zeigen, ob das Unternehmen Kernanweisungen nach der Veröffentlichung des Repositorys verändert.

Entwickler sollten außerdem beobachten, ob Opus-5-Demonstrationen zu reproduzierbaren Projekten werden. Ein spielbarer 3D-Prototyp ist beeindruckend, doch belastbare Nachweise erfordern Prompts, Quelldateien, Iterationsverläufe und Testbedingungen.

Wenn unabhängige Teams diese Ergebnisse mit begrenzter menschlicher Korrektur wiederholen, gewinnen die agentischen Behauptungen von Anthropic an Unterstützung. Wenn Demonstrationen von verborgenem Gerüst oder umfangreichen Nacharbeiten abhängen, wird ihr Wert begrenzter.

Auch der Vergleich mit OpenAI, Google und anderen Modellanbietern wird sich verschärfen. Wettbewerber können die Speicherbeschränkungen und Tool-Beschreibungen des mutmaßlichen Prompts untersuchen, ohne das Modell von Anthropic zu duplizieren.

Dadurch entsteht Druck auf die Produktarchitektur. Ein Wettbewerber mit einem etwas schwächeren Modell kann dennoch durch stärkere Berechtigungen, Speichersteuerungen und Tool-Orchestrierung eine bessere Erfahrung liefern.

Unternehmenskunden sollten darauf reagieren, indem sie Modelle umfassender evaluieren. Die Ausgabequalität bleibt wichtig, ist aber nur ein Teil des Bereitstellungsrisikos.

Eine ernsthafte Evaluierung sollte Systemanweisungen, Tool-Berechtigungen, Speicheraufbewahrung, Audit-Logs, Fallback-Routing und Verhalten unter Prompt Injection prüfen. Teams sollten testen, ob das Produkt Richtlinien in langen Sitzungen mit mehreren Tools befolgt, statt nur in kurzen Chats.

Entwickler, die auf der API aufbauen, stehen vor einer verwandten Herausforderung. Die Verbraucherkonfiguration von Anthropic schützt benutzerdefinierte Anwendungen nicht automatisch. API-Nutzer bleiben für ihre eigenen Prompts, Tools, Datengrenzen und Evaluierungssuiten verantwortlich.

Die geleakte Datei kann Designideen liefern, doch sie zu kopieren wäre ein schlechter Ersatz für Threat Modeling. Viele Anweisungen beziehen sich auf Anthropic-spezifische Schnittstellen und Dienste. Andere könnten mit den rechtlichen Verpflichtungen oder Nutzererwartungen eines Entwicklers kollidieren.

Teams sollten stattdessen Prinzipien ableiten. Speichern Sie nur beständige Fakten. Trennen Sie Aussagen von Nutzern von Schlussfolgerungen des Modells. Verlangen Sie eine ausdrückliche Autorisierung für Löschungen oder folgenschwere Aktionen. Behandeln Sie externe Inhalte als nicht vertrauenswürdig. Setzen Sie sensible Regeln außerhalb des Sprachmodells durch.

Wissensarbeiter sollten sich dafür interessieren, weil diese verborgenen Kontrollen gewöhnliche Ausgaben beeinflussen. Suchzusammenfassungen, gespeicherte Präferenzen, Zitate, Empfehlungen und Ablehnungen können allesamt eher auf Anwendungspolitik als auf dem zugrunde liegenden Wissen des Modells beruhen.

Eine nützliche Gewohnheit ist es, wichtige Prompts, Entscheidungen und Quellenmaterial außerhalb eines einzelnen Assistenten zu sichern. Eine persönliche Prompt-Bibliothek kann diese Anweisungen überprüfbar und wiederverwendbar machen, wenn sich das Verhalten des Modells ändert.

Das mutmaßliche Leak beweist weder, dass Opus 5 unsicher ist, noch legt es die Gewichte oder Trainingsdaten des Modells offen. Es bietet eine angebliche Momentaufnahme der Anweisungen rund um eine Consumer-Bereitstellung.

Diese Momentaufnahme ist wertvoll, weil sie die Frage verändert, die Entwickler stellen. Es geht nicht mehr nur darum, ob ein Modell ein Spiel erstellen, Code reparieren oder das Web durchsuchen kann.

Die schwierigere Frage lautet, wer während seiner Arbeit sein Gedächtnis, seine Tools, rechtlichen Grenzen und Produktempfehlungen kontrolliert.

Beobachten Sie in den kommenden Monaten die Reaktion von Anthropic, unabhängige Reproduktionen und Änderungen am öffentlichen Prompt-Archiv. Diese Signale werden darüber entscheiden, ob es sich um eine originalgetreue Erfassung oder eine aufwendige Rekonstruktion handelte.

So oder so hat das Dokument bereits eine umfassendere Wahrheit über Anthropic Claude und seine Wettbewerber offengelegt. Führende KI-Produkte entwickeln sich zu gesteuerten Softwaresystemen, nicht zu unverhüllten Modellen.

Fragen Sie vor der Einführung nach Belegen für die vollständige Betriebsebene. Welche Anweisungen können ohne Vorankündigung geändert werden? Welche Informationen bleiben erhalten? Welche Aktionen erfordern eine Genehmigung? Wo werden Einschränkungen durchgesetzt, wenn das Modell sie nicht befolgt?

Diese Fragen werden dieses Repository überdauern und wichtiger sein als jede einzelne virale Demonstration.