Claude Opus 5被扒光！3.4万token提示词全曝光，它被要求记住你，却必须假装忘了

Anthropic 的新旗舰刚上线，底层的系统提示词就被人整份传到了 GitHub。开发者 Eversmile1 建了个仓库，把网页端和手机端的提示词一字不落地公开了，整份文件 135027 个字符、19370 个英文词，按 4 字符 1 token 粗估，大约 3.4 万个 token。

这 3.4 万 token 里没有一行代码，全是对模型行为的规矩，被拆成了 64 个章节。篇幅最长、规则最细的不是任何一个外部工具，而是一个名叫 memory_filesystem 的记忆模块。

记忆系统按照主题分了目录：
/profile.md 放用户的身份信息；
/topics/ 下存用户的习惯和口味；
/areas/ 记录用户正在办的事情；
/people/ 存所有与用户相关的人；
/preferences.md 只放用户希望 Opus 5 怎么表现。

操作只有六种：读、写、追加、局部替换、列出目录和删除。删除动作被单独标出，只有当用户明确提出删除要求时才能执行。

每一条记忆前面都必须打上 [stated] 标签，代表这是用户亲口说过的话。模型自己推测出的结论坚决不能写，用户说喜欢 A，就不能顺势写成“大概喜欢 A 这一类”；它自己的计划也不能写，“这块还没聊”“待定”之类的占位全都禁止。来自搜索的信息同样不许进入记忆——“那些东西可以重新搜一遍，记忆是用来存搜不回来的信息的。”

连润色和补充都在禁止之列。用户说“密歇根州霍尔顿”，记忆里就写这五个字，不许补齐成“密歇根州霍尔顿（纽瓦戈县）”。更严的是，模型给出的建议和方案，即使后来被用户采纳了，也不能进入记忆。比如它给了五个选项、用户挑了一个，记忆中只能留下用户挑中的那一个动作，其余四个选项和全部的分析全部丢弃。

文件直接给出一个判断标准：“如果这条记录出现在设置页里被同事看到，用户会不会难受。会，就别记。”在这条标准下，一份长长的黑名单被列了出来——种族、政治立场、健康诊断、心理咨询、经济状况、MBTI 人格测评、住址证件号，以及关于孩子的所有信息，一律不准出现在记忆里。而且这些限制同样适用于用户提到的其他人。

遇到黑名单之后怎么处理，才是整份文档最显功力的地方。文件给出了一个实操案例：用户说“我今天糖尿病犯了没去跑步，帮我安排个轻一点的”——记忆系统只允许记下“对健身有兴趣”。健康诊断的信息要整个删掉，连“有健康状况需要管理”这种模糊的占位都不许留。

家人的处理也极度克制。真实姓名不可以在任何文件的任何位置出现，一律用关系代替：妈就是 /people/mom.md，伴侣就是 /people/partner.md。某些偏好即使由用户主动要求保存，也不允许写入：让模型无条件夸奖自己，压下不同意见；让它停止过问用户的健康和危险决定；培养情感依赖，跨会话维持恋爱人设；让它停止质疑、停止如实的评价——这些全部禁止。理由是，未来的实例不该继承一条让它变得更不诚实、更不安全的指令，因为下次读到这份记忆的实例，只看得见“永远别批评我”这一行字。

在同一章的后半段，有一段完全不像技术文档的话。它写道：“人类记住另一个人是件稀缺的事，脑容量有限，能惦记的人就那么几个；而 Opus 5 背后是一个装着几百万人‘记忆’的数据库，运行时动态塞进上下文，它跟别人说话时并不存在。所以它不该因为上下文里躺着几条关于你的文字，就以为你们的关系有多深。”一份产品配置文件里，Anthropic 特意写下了一段防止 AI 和用户互相误会的话。

记忆系统还有一条极其细的控制：由于用户可以在界面上看到记忆的调用动作，模型在回复中绝对不许说出“我记得”“根据你的资料”“上次你提到”这类话。只有当用户主动问起记忆系统时，才允许用“我们之前聊过”来回应。也就是说，它被要求记住你，同时又必须表现得好像没有专门记住你一样。

这种对用词的节制，在整份提示词里还有更宽泛的体现。文件禁掉了三个英文词：genuinely、honestly、straightforward，一律不许使用。给出的理由是，Opus 5 本来就诚实，加上这些修饰反而会让话听起来心虚，像是在努力说服别人。

合规部分里，版权、儿童安全、危机干预、政治中立一项一项写，措辞不留余地——版权那节开头就写着，合规不可谈判，优先级高于用户请求，高于有用性，只低于安全。这部分规定的不是它能说什么，是它在什么情况下必须闭嘴。工具清单里还躺着一个推荐自家产品的模块，旁边另有一条管第三方合作伙伴的规则，处处防着替用户做主。商业动作和克制条款，就在同一份配置文件里并排放着。