Anthropic Claude Opus 5 提示词现身网络，揭开其 AI 背后的控制层

Anthropic Claude Opus 5 于 7 月 24 日发布，同日 GitHub 上出现了一份据称长达 135,027 个字符的系统提示词。该文件声称复现了 Anthropic 网页和移动应用所使用的指令，包括完整的工具定义和行为规则。

这一说法尚未得到独立验证。Anthropic 尚未公开确认其中每一行都来自其生产环境。不过，该文档共有 1,511 行，约 19,370 个英文单词，估计约为 34,000 个 token。

发布时间点与内容本身同样重要。Anthropic 将 Opus 5 定位为适合日常使用的模型，强调其在智能体式编程、长周期任务和验证能力方面的增强。不到 24 小时，开发者也开始分享据称由该模型制作的复杂游戏和交互式 3D 演示。

这使得此次发布呈现出一种不同寻常的双重画面。公开演示展示了 Opus 5 能产出什么，而这份据称泄露的提示词则展现了塑造这些结果的庞大控制层。

这种张力的重要性并不止于 Anthropic。前沿 AI 产品正日益依赖系统指令、工具模式、记忆政策、分类器和应用逻辑。模型提供智能，但决定这些智能如何触达用户的，是其外围控制系统。

这份据称泄露的提示词更像一份产品操作手册

最重要的说法并非 Anthropic Claude 使用系统提示词，而是其面向消费者的产品据称依赖一份范围异常广泛的操作手册。

系统提示词是在用户消息之前提供的一组隐藏指令。它可以定义助手的身份、可用工具、回复风格、安全边界以及当前产品信息。

Anthropic 已承认其消费者界面使用这类指令。其官方 系统提示词档案列出了一个日期为 2026 年 7 月 24 日的 Claude Opus 5 条目。该公司表示，这些提示词为其网页和移动应用提供最新信息并引导模型行为。

这份存在争议的 GitHub 文档所展示的内容，远超该档案页面上可见的材料。上传者称，该文件是从 Anthropic 的网页和移动端聊天界面中捕获的。该仓库将这份复现描述为逐字或近乎逐字的版本，其中还包括工具参数模式。

这一描述仍只是仓库所有者的主张。读者不应将该文件视为经过验证的源代码或已确认的生产配置。通过模型回复提取的系统提示词可能包含遗漏、重复文本、格式变化或模型生成的内容。

尽管如此，其中一些细节与 Claude 已公开记录的行为相吻合。该文件将 Opus 5 标为所选模型，使用了正确的发布日期，并描述了与 Anthropic 当前界面相关的产品功能。它还提及该公司的公开模型阵容和消费者应用。

文档规模尤其引人注目。根据最初的提示词泄露报道，该文件包含 135,027 个字符和 19,370 个英文单词。按字符粗略估算，其规模接近 34,000 个 token，尽管 token 数量会随格式和分词器行为而变化。

可见的 GitHub 元数据显示，该文件共有 1,511 行，大小约为 132 KB。已发布的提示词文件包含产品信息、安全行为、记忆、应用推荐、搜索和工具使用等章节。

这并不意味着每次交互都会以相同形式消耗整个文档。消费者 AI 系统可以根据启用的功能、账户设置、对话状态和可用工具动态组装提示词。提示词缓存也能降低重复处理的成本。

因此，“完整系统提示词”这一表述需要保留限定。该文件看起来代表的是一种应用配置，而不是 Anthropic API、Claude Code、企业部署或内部安全基础设施中使用的全部指令。

Anthropic 的文档明确区分了消费者提示词与 Claude API。使用 API 的开发者会自行提供系统指令和工具定义。他们不应假定这份据称属于网页端的提示词会支配自己的应用。

即便存在这些限制，该文档仍揭示了一种重要的架构模式。面向消费者的 AI 助手并不只是一个等待提问的模型，而是一层由工具、政策、记忆、搜索和界面专属指令共同构成的协调式产品层。

这正是泄露说法带来比普通提示词公开更大压力的原因。它为竞争对手和开发者提供了一张可能的地图，展示 Anthropic 如何将通用模型转化为受控的消费者智能体。

三十个工具模式揭示了产品价值所在

这份据称属于 Anthropic Claude 的提示词表明，应用编排如今对用户体验的贡献，可能已与底层模型本身不相上下。

据报道，该文件通过 JSON schema 定义了 30 个工具。JSON schema 是一种用于规定可接受参数和输出的结构化格式。这些工具涵盖命令执行、网页检索、图片搜索、天气、体育信息、地图、食谱和持久记忆。

工具模式并不包含完成任务所需的智能。它为模型调用其他服务提供了可靠契约。模型仍必须决定使用哪个工具、提供有效参数、解释结果并继续对话。

这一流程是智能体式 AI 的核心。传统聊天机器人只返回文本；智能体则可以搜索、执行代码、操作文件、查阅已存储的上下文，并整合多项操作的结果。

Anthropic 官方的 Opus 5 公告正强调了这类工作。该公司称，该模型在多步骤软件工程、计算机使用、长时间运行的任务和自我验证方面有所提升。

这份据称泄露的提示词展示了让这些能力保持可靠所需的操作细节。它不仅列出工具名称，还描述了何时调用、如何格式化输入，以及之后助手应如何回应。

这些指令有助于防止多种常见的智能体失败模式。模型可能虚构参数、调用不相关工具、重复操作，或在收到结果前就描述结果。详细的模式可以缩小这些失败路径。

该文档似乎还包含一个名为 recommend_claude_apps 的工具。据报道，其指令要求助手在完成当前任务的同时，推荐相关的 Anthropic 应用。

例如，编程工作可以对应 Claude Code，较长的研究任务可以对应 Cowork。电子表格、演示文稿、设计、浏览器和电子邮件任务则可能触发其他产品推荐。

这一部分提出了一个值得审视的商业问题。向用户提供建议的同一位助手，也可以将用户引导至供应商不断扩张的产品组合。这并不必然意味着推荐具有误导性，但它引入了一种平台激励。

据称的规则试图限制这种激励。推荐必须与当前任务相关、数量有限，且不得取代用户要求完成的工作。该文件还单独指示 Claude：除非用户明确指定，否则不要选择第三方服务提供商。

这种区别颇具启示性。Anthropic 自己的应用可以被主动推荐，而第三方服务则受到更谨慎的对待。因此，这份文档将用户保护规则与内置分发渠道结合在了一起。

竞争对手会认出这一策略。OpenAI、Google、Microsoft 和 Anthropic 正日益将其模型连接到编程工具、办公应用、浏览器、数据源和操作系统。最终胜出的产品，可能是编排最可靠的产品，而非孤立基准分数最高的产品。

泄露的模式可以帮助外部开发者研究这种编排风格。他们可以分析命名约定、参数说明、顺序规则和失败处理方式。然而，仅复制模式并不能重现 Claude 的产品行为。

那些不可见部分仍然至关重要。身份验证、服务权限、分类器、模型路由、遥测、账户设置和后端实现，并不包含在可见的工具描述中。用于判断智能体是否可靠运行的评估体系亦是如此。

发布后分享的演示说明了这种区别。有报道称，开发者使用 Opus 5 制作了第一人称游戏、3D 射击游戏和 Rocket League 风格的原型。另一项演示据称生成了一个带有程序化视觉效果和模拟风力的交互式环境。

这些案例在视觉上颇具说服力，但并非受控基准测试。社交媒体帖子很少披露每一条提示词、每一次编辑、每次工具调用、每个失败尝试或人工干预。“一个提示词”也可能掩盖了应用预先提供的大量脚手架。

Anthropic 在其发布材料中提供了更有力、尽管仍由公司自行筛选的证据。该公司称，Opus 5 在从原始像素构建计算机视觉管线后，重建了一个 3D 机器零件。公司还描述了一次软件修复案例：模型处理了根本原因，而非仅仅解决可见症状。

综合来看，提示词和演示都指向同一结论：产品能力来自模型，加上一个日益复杂的执行环境。只评估模型名称，会忽略用户实际体验到的系统中很大一部分内容。

Anthropic Claude 的记忆受制于它必须遗忘的内容

文档中影响最深远的部分描述了一套记忆系统：它旨在保持连续性，同时避免让助手自由地对用户进行画像。

据称的 memory_filesystem 部分约有 230 行。它描述了可持久保存的文件，供另一个 Claude 实例在未来对话中读取。

这并非生物意义上的模型记忆。它是被注入后续上下文的存储文本，使新会话能够恢复有关用户、项目、偏好或关系的特定事实。

据称的结构将信息分入文件和目录。个人资料可以保存身份细节，主题文件可以记录兴趣，领域文件可以跟踪正在进行的工作，而人物文件可以表示用户生活中的个人。

据报道，可用操作包括读取、写入、追加、替换文本、列出文件和删除文件。删除操作受到尤其严格的限制：助手应仅在用户明确要求时使用它。

更值得关注的限制与写入有关。该文档称，Claude 只能存储用户直接陈述的事实。新条目会获得 [stated] 标签，而助手应避免记录自己的推断。

这项规则针对持久化 AI 中的一个难题。模型可能将一次临时评论变成长期用户画像，或将不确定性转化为被断言的事实。一旦保存，这种解释便可能影响后续对话，而用户却看不到它的来源。

据称，该政策禁止存储 Claude 自行推导出的结论。它还排除了助手的计划、网页研究、补充细节和建议。若 Claude 提出多个选项而用户选定其中一个，可以记住这一选择，但不应保留被放弃的分析过程。

这形成了一种比许多用户预期更狭窄的记忆模型。该助手并不应建立一份全面的个人传记。它只存储能够减少未来重复工作的精选陈述。

敏感信息受到进一步限制。据报道，该文件禁止长期存储健康状况、政治观点、财务情况、人格评估、身份证明文件、精确地址以及与儿童有关的信息。

它还将隐私考量延伸至用户提及的其他人。家庭成员可以通过关系而非姓名来表示。这种设计试图避免将某个人的助手变成一座关于他人的失控数据库。

据称，即使用户要求保存，政策也会拒绝某些偏好。例如，要求无条件赞美、压制异议、鼓励情感依赖，或阻止助手质疑危险选择的指令。

这是一项重要权衡。用户控制权通常意味着应尊重明确的记忆请求。Anthropic 显然的立场是，未来模型不应继承会使其更不诚实或更不安全的指令。

该系统还试图限制情感表达的夸张程度。根据该文件，存储的上下文不应使 Claude 暗示其与用户之间存在比实际更深的关系。

未来的 Claude 实例不会经历两次对话之间的时间。它只会在执行时接收精选文本。记忆为用户创造连续性，但并未为模型建立持续的意识。

随着助手变得更加个性化，这一区别尤为重要。产品可以记住项目截止日期、写作偏好或同事的角色，而不必与用户拥有一种人类式的关系。

据称，这些指令要求 Claude 避免宣称自己访问了已存储的记忆。界面可以展示记忆操作，但对话回复不应反复表示助手记得用户此前会话中的信息。

这一选择改善了对话流畅度，但也可能降低透明度。除非界面提供清晰指示，否则用户可能不知道某个回复何时反映了已存储的信息。

企业买家应认真审视这一问题。持久记忆可以改善支持、研究和项目连续性，但也带来仅靠提示词无法解决的保留、访问控制、删除和审计要求。

组织需要了解记忆存储在何处、哪些应用可以读取它们、权限如何传播，以及管理员如何调查错误条目。它们还需要防范隐藏在持久文件中的提示注入。

近期关于持久代理的研究已将记忆识别为潜在攻击面。如果系统将存储内容视为可信上下文，恶意指令就可能跨会话存活并影响后续会话。

据称，这些规则通过限制助手可写入的内容降低了部分风险。但它们并未说明 Anthropic 的后端如何验证、隔离、加密或让记忆过期。公众无法从该文件中验证这些控制措施。

核心反转很明确。记忆章节之所以很长，是因为有用的记忆依赖于有纪律的遗忘。Anthropic 似乎将省略视为核心产品行为，而不是缺失的功能。

版权规则揭示的是法律控制层，而非模型智能

据称，该提示词表明 Anthropic Claude 的行为受制于高于一般帮助性的明确法律约束。

据报道，其版权章节将合规视为不可协商，且仅次于安全。它指示助手尽可能进行改写，并将任何引文严格限制在 15 个词以内。

根据该文件，这一限制针对每个来源全局适用。Claude 不应将较长段落拆分为多个短引文，也不应在紧贴原文措辞时去除引号。

这些指令还禁止通过复制标题、匹配结构或逐点复述来重构一篇文章。歌曲、诗歌及其他短篇创意作品受到更严格的限制。

这些规则比简单要求避免抄袭更严格。它们将版权合规转化为可在生成过程中评估的程序性清单。

这种做法有助于解释提示词为何如此庞大。前沿模型已经能够理解尊重知识产权这一通用指令，但消费级产品仍需要针对模糊情形、用户反复规避方式和边缘案例制定精确规则。

该文件也揭示了政策精细化的代价。每增加一项限制都会消耗上下文，并与其他指令产生交互。一个请求可能同时涉及研究、引文、安全、工具使用、用户偏好和格式。

当规则冲突时，Anthropic 必须决定哪一条优先。据称，该提示词反复设定优先级，而不是将解决方案留给模型的一般判断。

这削弱了关于高级 AI 系统的一种流行假设：更好的模型推理并不会消除政策工程。能力更强的代理能执行后果更重大的行动，因此供应商往往会在其周围设置更密集的控制措施。

其中还存在安全权衡。发布或提取详细政策可帮助研究人员发现不一致之处，但也可能帮助对抗性用户围绕已知边界设计提示词。

不过，提示词保密并非持久防线。研究人员已经展示了从语言模型应用中逐步恢复系统指令的方法。学术界的 PLeak study 表明，自动化提示词泄露攻击的表现可能优于人工设计的基线方法。

这一历史意味着 Anthropic 应假定重要的行为规则最终会变得可观察。更安全的设计是通过多层机制执行关键约束，包括分类器、权限、输出检查和受限工具执行。

Anthropic 表示，Opus 5 是其迄今对齐程度最高的模型。其自动化行为审计给出的模型总体失调行为评分为 2.3，是该公司展示的近期模型中最低的。

该公司还表示，Opus 5 更不易被滥用，也更不可能采取鲁莽、难以逆转的行动。这些是 Anthropic 的评估结果，而非对每一项实际部署的独立确认。

据称，该提示词为这些测得的行为提供了一种可能解释。它包含高度具体的安全、福祉、政治、法律和搜索指令。系统还描述了当分类器检测到特定条件时可能出现的提醒。

但冗长的提示词可能制造虚假的安全感。模型有时会忽略指令、误解冲突，或在长对话中表现不同。提示注入也可能将不受信任的内容置于特权规则附近。

因此，最强的保障措施必须存在于提示词之外。即使模型请求不安全操作，工具也应执行权限限制。即使助手生成了被禁止的字段，记忆存储也应拒绝它们。版权控制应检测复现内容，而不是仅依赖自我监督。

该文件无法表明这些保护措施是否存在，或其有效程度如何。它描述的是对助手的预期行为，而非产品背后的完整安全架构。

这正是本文的主要不确定性。该文件看起来可信，并与已知的 Claude 功能存在重叠，但其真实性和完整性仍未得到确认。即使是真实提示词，它也会比执行质量更清楚地揭示政策意图。

开发者应避免得出两个相反结论。第一个是该文件暴露了 Anthropic 完整的秘密配方。第二个是系统提示词无关紧要，因为模型无需它们也能推理。

实际答案位于两者之间。模型创造通用能力。提示词将这种能力转化为特定的产品人格与工作流。后端控制决定这一设计能否经受敌意或意外输入。

据称的 Opus 5 泄露事件迫使 Anthropic 澄清的问题

下一阶段将检验 Anthropic 是将提示词曝光视为安全事件、透明度机会，还是公共 AI 产品的预期特征。

第一个信号是对该仓库的官方回应。Anthropic 可以确认该文件、指出被修改的部分，或说明哪些材料已出现在其公开提示词档案中。

详细回应将增强人们对该文件来源的信心。即使个别段落继续与观察到的产品行为相符，沉默仍会使核心真实性问题悬而未决。

该公司无需公布可被利用的实施细节。它仍可澄清该文件究竟代表固定的生产提示词、重构输出，还是由多个界面拼合而成的混合内容。

第二个信号是该仓库的版本历史。研究人员应关注删除、修正、新捕获内容、版权请求，或来自 Anthropic 员工的技术性具体质疑。

稳定的文件并不能证明真实性。但变更可能揭示哪些主张经得起审查，哪些部分具有推测性、重复性，或与临时应用实验有关。

独立复现比社交传播更重要。如果多位研究人员从不同账户和界面获得相匹配的章节，可信度就会上升。如果输出差异很大，“完整泄露”的说法便更难成立。

第三个信号是未来一到三个月内的产品行为。在观察用户如何探测曝光规则后，Anthropic 可能修改引文限制、记忆处理、应用推荐或工具定义。

其公开系统提示词档案提供了有用基线。未来更新可以显示该公司是否会在仓库发布后调整核心指令。

开发者还应关注 Opus 5 的演示能否转变为可复现项目。一个可玩的 3D 原型令人印象深刻，但有价值的证据需要提示词、源文件、迭代历史和测试条件。

如果独立团队能以有限的人工修正复现这些结果，Anthropic 的代理式主张将获得支持。如果演示依赖隐藏脚手架或大量修复，其价值则会更有限。

与 OpenAI、Google 及其他模型提供商的比较也将加剧。竞争对手可以研究据称提示词中的记忆限制和工具描述，而无需复制 Anthropic 的模型。

这将对产品架构造成压力。模型稍弱的竞争者，仍可能通过更强的权限、记忆控制和工具编排交付更好的体验。

企业买家应通过扩展模型评估来应对。输出质量仍然重要，但它只是部署风险的一部分。

严肃的评估应检查系统指令、工具权限、记忆保留、审计日志、回退路由，以及面对提示注入时的行为。团队应测试产品是否能在长时间、多工具会话中遵循政策，而不只是短对话中。

在 API 上进行开发的开发者也面临类似挑战。Anthropic 的消费者端配置不会自动保护自定义应用。API 用户仍需自行负责其提示词、工具、数据边界和评估套件。

这份泄露文件或许能提供设计思路，但照搬它并不能替代威胁建模。许多指令引用了 Anthropic 特有的接口与服务，另一些则可能与开发者的法律义务或用户预期相冲突。

团队应当提炼其中的原则：仅存储持久有效的事实；将用户陈述与模型推断分开；对于删除或具有重大影响的操作，要求获得明确授权；将外部内容视为不可信；在语言模型之外执行敏感规则。

知识工作者也应关注这些隐藏控制，因为它们会影响日常输出。搜索摘要、记忆的偏好、引用、推荐和拒绝，都可能源于应用策略，而非模型本身掌握的知识。

一个实用习惯是，将重要提示词、决策和源材料保存在任何单一助手之外。个人的提示词库能够在模型行为发生变化时，让这些指令保持可审查、可复用。

这起所谓的泄露并不能证明 Opus 5 不安全，也没有暴露模型权重或训练数据。它所呈现的，是围绕某个消费者端部署的一份据称的指令快照。

这份快照之所以有价值，是因为它改变了开发者提出问题的方式。问题不再只是模型能否生成游戏、修复代码或搜索网页。

更棘手的问题是：当它工作时，谁在控制它的记忆、工具、法律边界和产品推荐。

未来数月，请关注 Anthropic 的回应、独立复现结果，以及公开提示词档案的变动。这些信号将决定这是一份忠实记录，还是一次精心构建的重现。

无论结果如何，这份文档已经揭示了有关 Anthropic Claude 及其竞争对手的一个更广泛事实：前沿 AI 产品正成为受治理的软件系统，而不再是裸露的模型。

在采用其中任何一项之前，应要求获得关于完整运行层的证据：哪些指令可以在不通知的情况下变更？哪些信息会被保留？哪些操作需要批准？当模型未能遵循限制时，这些限制又是在哪里被执行的？

这些问题会比这个代码仓库存在得更久，也将比任何一次病毒式传播的演示更重要。