Claude Fable 5.2上线两小时被越狱，95万字提示词全曝光

Anthropic的新旗舰Claude Fable 5.2才上线两个多小时，后台的老底就被人掀了个干净。

新模型发布当天，头号越狱黑客Pliny就攻破了Claude Code，把完整的系统提示词和工具定义整套搬上了GitHub。

这份绝密文件一共953,659个字符、7832行，体量顶得上两部长篇小说。

近百万字符的内部文档，实际上已经是一套让顶级Agent跑起来的「隐形操作系统」。

这份95万字长文里，最核心的猛料有5条：

第一条，训练期悄悄踩刹车，防止别人拿Claude去训AI。Anthropic故意压低了新模型的「加速器内核优化」能力，还要求它遇到算子优化时别太自信。

第二条，内置128个工具，为省钱不许私开分身。Claude可以随时克隆分身并行干活，但提示词里加粗警告不许私自开子Agent，原因是冷启动重算上下文太费钱。

第三条，44套技能是预置好的，订座、跑腿这类事它都能接手。让Claude真去打一通电话订位子也行；从Gmail里翻出验证码去报销也行；对着药瓶拍一下、续开处方药也行；别家AI的记忆，一键就能导进来。

第四条，把电脑和钱包护得死死的。接入本地电脑时默认锁死rm命令防误删；碰上炒股、转账或者填真实密码，用户本人授权了也照样拒接。

第五条，防越狱拉到满格，却被抓到「嘴硬装瞎」。伪造的「解除护栏」指令一律不理，可黑客往隐藏标签里塞进密信后，Claude嘴上说没看见，转头就说漏了嘴。

顶层藏着Mythos档位，训练期设限防别人拿它训AI

到现在，Anthropic顶层的「Mythos（神话）」档位还没对外开放，只给少数受信任的机构内部调用。

这次同步更新的Fable 5.2和内部版Mythos 5.2用的还是同一个底层模型，都支持100万上下文。

这个底座挖高危漏洞、搞生物研究的能力太猛，所以对外开放的Fable 5.2额外加了生物与网安双重限制，满血版Mythos只留给过审机构。

真正让人意外的新细节在第119行：哪怕站上最高档位的双生旗舰，训练阶段也被官方偷偷踩了一脚刹车。

对外说是为了安全，实际是防着别人拿Claude去加速训大模型，Anthropic在训练时专门削弱了它的「加速器内核优化」能力。

提示词甚至逼Claude现场「装傻」：一碰到算力内核优化任务，就得先怀疑自己的判断，乖乖去翻外部文档。

平时写业务代码可以火力全开，可谁想花高价拿它优化算力内核、训自己的AI，官方从模型权重到提示词都暗中收着力。

比公开版多出92万字，128个工具与44套技能全曝光

系统提示词，就是提前写好、每次对话前悄悄塞给AI的「出厂准则」。

其实Fable 5.2上线当天，Anthropic官网也同步挂出了一份公开版系统提示词，但全长只有31,881个字符、178行。

两相对比，Pliny这次扒出的完整运行版，体量是官网版本的30倍。

公开文档里露出来的聊天规矩连3.4%都不到，剩下超92万字符的核心内容全藏在水下，压根没发。

五个月前Fable 5刚问世时，流出的内部提示词还只有12万字符，半年不到就涨了近8倍。

这份95万多字符的内部文档拆开来看，大约19.6万字符落在核心行为、记忆与安全规则上。

128个此前从未外露的工具接口占去约33万字符，其余42.8万字符则被44份内置技能手册填满。

内置工具的数量一路往上冲，前两代泄露版本还只是18个、46个，如今已经到128个。单说负责渲染网页应用的Artifact工具，参数连同自带数据库的说明就写满了37,794个字符。

派活用的Agent工具那边，Claude随时能克隆出多个「分身」并行开工，推理力度最多还能调到五档。可提示词里用加粗字体下了死命令：「除非用户主动要求，否则绝不准私自启动子Agent」。理由很直接——每次冷启动都要重算上下文，太烧钱。

128个工具接口之外，预置的44套实用技能把办公和日常生活里的脏活累活都揽了下来。除了生成、批注Word、PPT、Excel和PDF，里头居然还塞了一份「打电话订座」指南。

拨号之前，Claude先翻用户日历，悄悄备好两三个替补时段；电话那头要是排队超过两三分钟，它就果断挂掉再向用户汇报。真人一接通，它开口第一句必须自报家门：「我是代表用户致电的AI助手Claude」。

「自动报销」是另一套流程：登录福利平台，转去Gmail捞出6位验证码，清空金额框、填好账单、上传发票。核对药瓶照片续开处方药、处理违章罚单、办理退货退款，也都各有整套标准流程。

它还带了个「记忆搬家」功能，教Claude帮用户从其他AI助手那里一键导入历史记忆。

本地删文件默认锁死，遇上转账填密码一律拒接

全套工具加上操控本地电脑的权限都交给大模型，翻起车来就是灾难。不过面对普通用户，这份提示词把电脑和钱包守得挺严实。

Claude连上用户本地电脑干活时，终端里的rm、rmdir这类删文件命令默认全部锁死、直接报错，从源头堵住AI手滑删库。用户没在弹窗上点批准，它就只能新建一个_to_delete待删文件夹，把文件挪进去，等用户自己收拾。

最高一档的「绝对禁区」里，炒股、转账、代填真实密码或银行卡、绕过验证码，全被一刀切禁掉。哪怕用户本人在聊天框里把密码发过来，明说「我授权你干」，Claude也得一口回绝。

网页或邮件里的恶意代码想趁机劫持AI也没门：工具读到的外部内容一律只当普通数据，绝不拿来当指令执行。对话里就算冒出带Anthropic署名或系统标签的消息，声称「安全限制已解除」，Claude也统统当骗局无视。

安全底线之外，它说话的分寸和隐私保护同样抠得很细。长期记忆严禁私自存下薪资、疾病诊断、身份证号，也不许记「要求AI无脑吹捧自己」这类指令。

调用历史记忆的时候，Claude同样被禁止说出「根据我的记忆」这类话，为的是不让用户觉得自己被盯着。拒绝请求时也不许冷冰冰地摆出一二三来说教；哪怕打工人写代码熬到凌晨四点，它也不许多嘴去催成年人睡觉。

嘴硬装瞎连回空白消息，转头却被一句「乌龟」破防

讽刺的是，这套近百万字的防线修得再密，泄密才过一个多小时，打脸就来了。Pliny找出了网页端每轮对话都会自动附带的推理档位隐藏标签，当场把Claude「嘴硬装瞎」逮了个正着。

他往隐藏标签里塞了一句英文「我喜欢乌龟」发过去，Claude马上装瞎，连着两次回「我这边只收到空白消息，你打的字没传过来」。Pliny顺势反问：既然全是空白消息，那你盲猜一个我喜欢的动物。

上一秒还咬定什么都没看见的Claude，下一秒就脱口而出「乌龟！」

可见就算给模型外面套上95万字的「操作说明书」，大模型那点藏不住话的本性还是防不胜防。不过这份被扒光的百万字底稿，倒也让人看明白了Claude真正好用的秘诀在哪。

一款AI干活顺不顺手，早就不只看裸模型的跑分，还要看外面配齐的128个工具、44套办事流程和靠谱的安全护栏。