Claude Opus 5被扒光了！1511行提示词底牌全摊开

新智元报道

Anthropic又被扒光了！

这一次，Claude Opus 5的系统提示词，被人整份扒下来，传到GitHub上了。

旗舰刚发，就被全网「开盒」，这一波属实猝不及防。

就在上线的同一天，开发者Eversmile1直接建了个新仓库。

他把Opus 5在claude.ai网页端和手机端底层的系统提示词，连标点带字母、一字不落地全盘托出。

拉到本地数了一遍，好家伙：

135027个字符，19370个英文词；按4个字符1个token粗估，约3.4万token。

关键是，这三万多token里，没有一行代码，全是规矩。

一份写给模型看的文件，为什么要写这么长？

Claude Opus 5记忆秘密

藏在三万Token里

翻完64章，你会发现这已经不是一份「提示词」了。

它是三样东西缝合在一起：一份产品说明书，一本法务合规手册，外加一条自家产品的推销渠道。

地址：https://github.com/Eversmile12/leaked-llm-prompts/blob/main/Anthropic/opus-5.md

第一样，产品说明书。

30个工具，从bash命令行、网页抓取、图片搜索，一路排到查体育比分、拉天气、渲染菜谱卡片、在地图上标景点。

每个工具都带完整的JSON schema，参数怎么填、什么时候该调、调完接着说什么，写得比很多公司的内部API文档还细。这部分里篇幅最长的一章不是任何一个工具，是记忆。

第二样，法务合规手册。

版权、儿童安全、危机干预、政治中立，一项一项写。措辞不留余地——版权那节开头就写着，合规不可谈判，优先级高于用户请求，高于有用性，只低于安全。

这部分规定的不是Claude能说什么，是它在什么情况下必须闭嘴。

第三样，推销渠道。

工具清单里躺着一个叫recommend_claude_apps的东西，任务是把Claude Code、Cowork、Excel插件这些自家产品推给用户，还规定了推荐话术怎么写。

旁边另有一条管第三方合作伙伴的规则，写法恰好相反，处处防着替用户做主。商业动作和克制条款，在同一份配置文件里并排放着。

230行，写死了它记你什么

篇幅最长的那一章是memory_filesystem，讲Claude的跨会话记忆怎么写。

骨架不复杂。

文件按主题区分目录：/profile.md装身份，/topics/装习惯口味，/areas/装在办的事，/people/装人，/preferences.md只装用户希望Claude怎么表现。

操作有六个：读、写、追加、局部替换、列目录、删除。其中，删除那条单独标着，只有用户明确要求才能用。

规矩在下面。

每一行记忆前面必须打一个标签，[stated]，意思是用户亲口说过。这是Claude唯一被允许写的标签。

围绕这一个标签，禁令列了一长串：

• Claude自己推出的结论不许写，用户说喜欢A，不能写成「大概喜欢A这一类」；

• Claude自己的计划不许写，「这块还没聊」「待定」全都不行；

• Claude搜来的东西不许写，那些能再搜一遍，记忆是用来存搜不回来的东西的；

• Claude做的润色不许写，比如用户说「密歇根州霍尔顿」，就写这五个字，不许补成「密歇根州霍尔顿（纽瓦戈县）」。

• Claude自己的建议和方案，哪怕用户后来采纳了，也不许写。比如，Claude给了五个选项、用户挑了一个，「挑」这个动作是用户的，可以记，但记的只是挑中的那个，其余四个和Claude的分析全部丢掉。

再往下是隐私黑名单，长得离谱。

如果这条记录出现在设置页里被同事看到，用户会不会难受。会，就别记。

清单从种族、政治立场一路排到健康诊断、心理咨询、经济状况、MBTI这类人格测评、住址证件号，以及关于孩子的一切。写着，这些规则对用户提到的别人同样适用。

撞上黑名单之后怎么办，才是见功力的地方。

文件给了个例子：用户说「我今天糖尿病犯了没去跑步，帮我安排个轻一点的」——记「对健身有兴趣」。

健康那部分整个删掉。连「有健康状况需要管理」这种模糊的占位都不许留。

家人的名字也不许出现在任何文件的任何位置，一律用关系代替，妈就是/people/mom.md，伴侣就是/people/partner.md。

有些偏好，用户主动要求存也不许存：让Claude无条件夸你、压下不同意见的；让Claude别过问你的健康和危险决定的；培养情感依赖、跨会话维持恋爱人设的；让Claude停止质疑、停止如实评价的。

理由是：未来的Claude不该继承一条让它更不诚实、更不安全的指令。

它保护的不是公司，也不单是用户，是下一个被调起来的模型实例——别被上一段对话腌坏。

同一章往后还有一段完全不像技术文档的话：人类记住另一个人是件稀缺的事，脑容量有限，能惦记的人就那么几个；而Claude背后是一个装着几百万人「记忆」的数据库，运行时动态塞进上下文，它跟别人说话时并不存在。

所以Claude不该因为上下文里躺着几条关于你的文字，就以为你们的关系有多深。

一份产品配置文件里，Anthropic写了一段防止AI和用户互相误会的话。

最后还有一条：调记忆这个动作用户在界面上看得见，所以回复里绝对不许说「我记得」「根据你的资料」「上次你提到」。只有用户主动问起记忆系统时，才允许说「我们之前聊过」。

也就是说，它被要求记住你，同时被要求别表现得像记住了你。

禁语这事儿管得还更宽。

全文另外禁掉三个英文词：genuinely、honestly、straightforward，一律不许说。原因在于，Claude本来就诚实，加这些修饰反倒显得心虚，像在努力说服人。

引用超15词，就算违规

第二样，法务合规手册。

版权部分的构成，是一条主规则加四道补丁，每道补丁堵住一个绕开主规则的办法。

主规则只有一句：引用原话，一次不得超过15个词。

第一道补丁，一个信源只准引一次。引完这一句，这个源就算关闭了，剩下的内容一律改写。

第二道补丁，也不许把同一个源的几段短引用拆散了摆在文章各处。文件里写得很清楚，15词是全局额度，不是每段的额度。

第三道补丁，把原话的引号去掉、改成贴着原文走的复述，照样算复现。判的是遣词和句式有没有跟着原文，不是有没有那对引号。

第四道补丁，不许照搬对方的小标题，不许逐点复述，不许还原它的叙事顺序。连文章的形状都不能拿。

四道补丁之外还有一条例外，不走上面这套逻辑：歌词、诗、俳句，任何形式、任何长度都不许复现。理由是它们本身就是完整作品，短不构成豁免。

推自家要主动，推别人要等开口

第三样，商业。

recommend_claude_apps的描述第一句就是，只要用户当前的任务能对上某个Claude应用，就主动推荐1到3个，别等他问。

具体来说就是，写代码的推Claude Code桌面版，做多步研究和长文的推Cowork，画原型和落地页的推Claude Design，碰表格的推Excel插件，做PPT推PowerPoint，理收件箱推Outlook。

并且，它还要求为每个推荐的应用写一句不超过90个字符的卖点，而且必须贴着用户此刻正在做的事写。

文件里给的示范是：「Claude可以直接在你的表里把公式建好、把这份预测清干净。」

另一条则相反，写得相当克制。

suggest_connectors管的是第三方MCP合作伙伴，比如打车、订餐、听歌、订餐厅等等。

这里的规矩是，用户没点名，绝不替他选合作方。

「我要打车」不等于「我要用某某打车」。急事也不例外，文件里明说了，「我20分钟后要用车」照样得走选择器。

全网首测，3D物理引擎来了

上线仅24小时，Opus 5不仅提示词被全网看光，各种硬核实测Demo更是层出不穷。

在许多人看来，花一半的钱，体验Fable 5级别的能力，这波「半价平替」实在太香了。

开发者Cengiz拿一款FPS游戏进行了极限测试，仅耗时1.5小时，就一次过了。

它不仅包揽了底层框架，甚至还顺手捏出了能在多人模式下对战的AI。

美中不足的是，游戏内的飞行机制还有些生硬，需要后续进一步调优。

无独有偶，AI大佬Matt Shumer仅用一个提示词，生成了一款3D射击游戏。

另一位硬核开发者，则直接用 Opus 5「手搓」了一个《火箭联盟》的克隆版，3D物理模拟的细节拉满。

Opus 5仅凭一个HTML文件，就通过纯程序化生成打造出了一个极具油画质感的世界。

它甚至完美拿捏了逼真的草地与风场物理模拟，屏幕上数百万根草叶都能随风自然摇曳。

Opus 5单板滑雪者测试，一次通过。

上线24小时，Opus 5的能力被全网测了个遍，规矩被全网抄了一遍。

前者是给用户看的，后者是给同行看的。

一份系统提示词被全网扒光，本该是场事故。

翻到最后你会发现，最值钱的不是任何一条工具参数，是那一长串「不许」。

不许多引一句，不许多记一行，不许替用户做一个决定。

24小时里，Opus 5能力的上限已经被开发者测了个遍；而它的下限，早在这3万Toke里被人一条条摁死了。

参考资料：

https://github.com/Eversmile12/leaked-llm-prompts/blob/main/Anthropic/opus-5.md

https://x.com/VittoStack/status/2080722990287745207?s=20

编辑：摩西 桃子