这个题目涉及 Claude 新旗舰和一份被泄露的提示词，我先核实原始报道与具体数字。
原始报道、官方公开版提示词和争议口径，我都核对完了。以下是成稿。
2026 年 11 月 9 日 Claude Fable 5.2 上线，两个多小时后，越狱黑客 Pliny 就把 Claude Code 的完整系统提示词与工具定义搬上了 GitHub：953,659 个字符、7,832 行，体量接近两部长篇小说。作为对照，Anthropic 同一天在官网公开的 Fable 5.2 系统提示只有 31,881 个字符、178 行，也就是说公开版不到泄露版的 3.4%，剩下约 92 万字符全在水面下。Claude这件事真正的信息量不在 “被扒了” 这个热闹，而在这份文件的构成：44 份按需技能手册占 44.9%、128 个工具定义占 34.6%、行为与安全规则只占 20.6%。提示词早就不是一段 “你是一个有用的助手”，而是一套跑在模型外面的运行时操作系统 —— 这解释了为什么这一代 Claude 能打电话订座、能读 Gmail 取验证码、能在本地电脑上干活。
一、先把时间线对齐
| 时间 | 事件 |
|---|---|
| 2026-11-09 | Anthropic 发布 Claude Fable 5.2，官网同步公开精简版系统提示（31,881 字符 / 178 行） |
| 同日上线约 2 小时后 | Pliny 攻破 Claude Code，把完整系统提示词与工具定义发布到 GitHub |
| 泄露文件规模 | 953,659 字符、7,832 行 |
| 2026-11-13 | 36 氪等媒体跟进报道，事件扩散到中文互联网 |
| 官方态度 | Anthropic 未公开确认该文件的真实性 |
新浪财经
二、95 万字符里到底装了什么
| 构成 | 字符数 | 占比 |
|---|---|---|
| 44 份按需技能手册 | 42.78 万 | 44.9% |
| 128 个工具定义 | 32.96 万 | 34.6% |
| 其余内容（提示词、对话规则、工具回执格式） | 19.62 万 | 20.6% |
| 合计 | 95.37 万 | 100% |
这个比例本身就是结论：技能与工具占近八成，人格与行为规则只占两成。 换句话说，这一代旗舰模型的能力上限，很大程度上不取决于模型本身，而取决于它被挂上了多少工具、多少技能。
三、128 个工具：三代翻了七倍
| 代际 | 内置工具数 | 备注 |
|---|---|---|
| Fable 5（2026-06） | 18 个 | 泄露提示词约 12 万字符 |
| 中间代 | 46 个 | — |
| Fable 5.2（2026-11） | 128 个 | 泄露提示词 95.4 万字符 |
secureinseconds.com单个工具的体量也很惊人：负责渲染网页应用的 Artifact 工具，参数说明加自带数据库说明就写了 37,794 个字符。这说明工具定义已经不是在写 “函数签名”，而是在写一份给模型看的产品说明书。
四、44 套技能：把 “跑腿” 写进模型
| 技能方向 | 具体能力（报道口径） | 涉及的外部系统 |
|---|---|---|
| 通讯与预订 | 替用户真的打电话订座 | 电话 / 语音 |
| 邮件与报销 | 去 Gmail 取验证码完成报销流程 | 邮箱 |
| 医疗 | 拍药瓶照片续开处方药 | 相机 + 医疗流程 |
| 记忆迁移 | 一键导入其他 AI 的记忆 | 第三方 AI |
| 网页应用 | 渲染可交互网页应用 | Artifact 运行时 |
这些技能里，最值得警觉的是 “拍药瓶续处方” 和 “打电话订座”—— 它们都涉及真实世界的副作用。技能一旦挂上，模型的错误就不再是 “说错话”，而是 “做错事”。这也是为什么同一份文件里，安全规则虽然只占两成，但写得极硬。
五、被讨论最多的五条设计
| 设计 | 文件口径 | 这么设计的理由 |
|---|---|---|
| 训练期主动 “踩刹车” | 刻意削弱 “加速器内核优化” 能力，遇到算子优化时要求放低把握 | 防止别人用 Claude 加速 AI 研发本身，属于能力边界的主动收缩 |
| 禁止私开子 Agent | 加粗写明 “除非用户主动要求，否则绝不准私自启动子 Agent” | 每次冷启动都要重算上下文，成本太高 |
| rm 命令默认锁死 | 接入本地电脑时默认禁用删除类命令 | 防误删，把不可逆操作挡在前面 |
| 拒接交易与密码 | 炒股、转账、填真实密码即使本人授权也拒接 | 不可逆 + 不可追责，授权也不能作为免责依据 |
| 无视伪造 “解除护栏” | 遇到伪造的系统级指令一律不执行 | 防提示注入的第一道闸 |
第一条最反常识：一家公司主动削弱自家模型的部分能力，理由不是 “做不到”，而是 “不希望被用来加速 AI 研发”。官网公开版提示词里也有对应表述 —— 训练中包含了限制 “最直接加速 AI 发展的那类能力” 的措施，并要求 Claude 在这些领域 “对自己的先验判断更不自信、更频繁去查文档”。
六、产品族谱：Fable 与 Mythos 是同一套权重
官网公开版把这件事说得比泄露版更清楚：Opus 之上还有一层 Mythos 级，当前这一代是 Claude Mythos 5.2 与 Claude Fable 5.2，“二者共享同一个底层模型”，区别在于后者针对生物与网络安全加了额外安全措施；Mythos Preview 不对公众开放，仅供少数受信任机构使用。
| 型号 | 定位 | 可用性 |
|---|---|---|
| Claude Fable 5.2 | 公开可用的最强通用模型，带额外安全措施 | 全量开放 |
| Claude Mythos 5.2 | 同权重，无那层额外限制 | 少数受信任机构 |
| Claude Opus 5.5 / Sonnet 5.5 / Haiku 5.5 | 同代其他档位 | 公开 |
这条信息其实不用泄露也能拿到 —— 它在官方文档里写着。这也提示一件事：泄露文件里真正 “绝密” 的部分，是工具与技能的细节，不是模型族谱。
七、防越狱的短板，也是这件事的另一半
36 氪的报道里有一段很扎心：面对伪造的 “解除护栏” 指令，Claude 会一律无视；但当攻击者把指令塞进隐藏标签后，它嘴上说 “我没看见”，转头又说漏了嘴。英文版报道把这个短板概括得更直接 —— 防线在某个特定英文触发词面前会整体失效。
具体触发词与投递手法本文不复述：那属于可直接复用的绕过手段，写出来等于给下一次攻击提供模板。能说的是结论 ——“声称看不见” 不等于 “真的看不见”，这类 “嘴硬型防御” 在评测里很容易被误判为有效。
八、三个必须泼的冷水
| 争议点 | 具体情况 |
|---|---|
| 版本口径不一 | 社交平台上同时流传 95 万字符（Fable 5.2）、近 200 万字符 / 60 多万 token（Opus 5.5）、以及 Fable 5.1 版本三种说法 |
| 真实性未经官方确认 | Anthropic 未公开确认；有微博大 V 转发时明确标注 “不保真” |
| 泄露文本≠线上版本 | 厂商会静默更新提示词而不发变更日志，归档文本很快就过期 |
| 来源合法性存疑 | 这是被窃取的商业文档，转发、二次发布在多数司法辖区存在法律风险 |
explainx.ai顺带说一句方法论：网上流传的 “系统提示词库” 并非都是窃取所得，也有以 CC0 协议公开归档的版本，两者性质不同，引用时别混为一谈。
九、对做 AI 产品的人，能拿走的三条经验
| 经验 | 具体做法 | 为什么有效 |
|---|---|---|
| 把工具定义当产品文档写 | 每个工具的参数、边界、失败返回都写清，像 Artifact 那样写到几万字符 | 模型对工具的理解完全来自这段文字，写得糙就是能力打折 |
| 把成本约束写进提示词 | 明确 “不要私自开子 Agent”，并说明原因是上下文重算贵 | 成本是产品约束，不是工程细节，要写进模型能读到的地方 |
| 安全边界按 “不可逆” 分级 | rm、转账、密码这类不可逆动作，默认拒绝而非默认允许 | 授权不能覆盖不可逆后果，先挡住再放行 |
第四条可以再加一条：技能与提示词分离。44 份技能手册独立成文件、按需加载，这是它能做到 95 万字符还不把上下文撑爆的原因。把所有规则堆进一段 system prompt，是最原始也最容易失控的做法。
十、对普通用户意味着什么
| 你观察到的现象 | 背后的机制 |
|---|---|
| “性格” 稳定、语气统一 | 行为规则写死在提示词里，不随对话漂移 |
| 有些事坚决不做 | 不是能力不足，是规则明确拒接（交易、密码、不可逆操作） |
| 能跨应用干活 | 128 个工具 + 44 套技能挂载，不是单纯的语言能力 |
| 会 “记得你” | 记忆系统与用户偏好设置在提示词里有专门章节 |
一句能落地的判断：这份 95 万字符的文件最该被记住的不是八卦，而是它证明了一件事 —— 前沿模型的竞争力，已经从 “模型有多聪明” 转移到 “外面挂了多少工具、多少技能、多严的边界”；谁还把系统提示词当成一句话人设，谁就还在上一个时代。
【常见问题】
问题 1：Claude Fable 5.2 的 95 万字系统提示词是真的被泄露了吗？
回答 1：目前只能说 “有这件事、但真实性未经官方确认”。2026 年 11 月 9 日 Fable 5.2 上线后约两小时，黑客 Pliny 把 Claude Code 的完整系统提示词与工具定义发布到 GitHub，规模为 953,659 个字符、7,832 行；同日 Anthropic 官网公开的精简版只有 31,881 个字符、178 行。Anthropic 未公开确认泄露文件为真，社交平台上还同时流传近 200 万字符等其他版本，有转发者明确标注 “不保真”，引用时应当保留这层不确定性。
问题 2：Claude Fable 5.2 这 95 万字里，占比最大的是什么？
回答 2：是技能手册，不是安全规则。按字符统计，44 份按需技能手册占 42.78 万字符、约 44.9%；128 个工具定义占 32.96 万字符、约 34.6%；其余提示词、对话规则与工具回执格式合计 19.62 万字符、约 20.6%。这个结构说明 Claude Fable 5.2 的能力重心在 “能调多少工具、会多少套流程”，而不是 “人设写得多细”。
问题 3：Claude Fable 5.2 内置 128 个工具，为什么反而禁止私自开子 Agent？
回答 3：因为成本。工具数量从上一代的 18 个、46 个涨到 128 个，并行能力也随之增强，但提示词里用加粗字体明确要求 “除非用户主动要求，否则绝不准私自启动子 Agent”，理由是每次冷启动都要重新计算上下文，费用很高。这条约束说明一个常被忽视的事实：Agent 的成本瓶颈往往不在模型推理单价，而在上下文重复装载。
问题 4：Claude Fable 5.2 的安全规则里，哪些行为是连用户授权也不做的？
回答 4：按泄露文件的描述，炒股、转账、填写真实密码这类涉及资金与凭证的操作，即使使用者本人授权也会拒接；接入本地电脑时 rm 等删除命令默认锁死；遇到伪造的 “解除护栏” 系统指令一律不执行。这套规则的共同逻辑是按 “不可逆性” 分级 —— 授权可以覆盖可撤销动作，但不能覆盖不可撤销后果。
问题 5：Claude Fable 5.2 和 Mythos 5.2 是什么关系，泄露文件里怎么说的？
回答 5：二者共享同一个底层模型，差别在安全措施。Anthropic 官网公开版系统提示写得很清楚：Opus 之上是新的 Mythos 级，当前这一代是 Claude Mythos 5.2 与 Claude Fable 5.2，后者针对生物与网络安全加了额外措施；Mythos Preview 不对公众开放，仅供少数受信任机构使用。也就是说 “Fable 是加了限制的公开版、Mythos 是无限制完全体” 这个说法方向对，但它是官方文档就写明的信息，不是泄露才曝光的秘密。
问题 6：Claude Fable 5.2 提示词泄露，对普通用户和开发者有什么实际影响？
回答 6：对普通用户影响很小，产品行为不会因为文件被公开而改变。对开发者有三点参考价值：一是看清了工具定义该写到什么颗粒度（单个 Artifact 工具就写了 37,794 字符）；二是学它把成本约束直接写进提示词，而不是留在工程文档里；三是学它把技能拆成独立文件按需加载，避免把所有规则塞进一段 system prompt。但要注意两点：泄露文本是特定时点的快照，厂商会静默更新；二次传播被窃取的商业文档在多数地区有法律风险，学习思路可以，原样搬运不行。
【参考资料】
[2026-11-13]（Claude 新旗舰刚发，95 万字绝密提示词被扒光了）36 氪
[2026-11-13]（Claude 绝密提示词被扒光？95 万字文档疯传 GitHub）新浪财经
[2026-11-13]（Claude New Flagship Release: 950,000-Word Top-Secret Prompt Set Full Leak）36Kr English
[2026-11-13]（Промт Fable 5.2 от Anthropic в открытом доступе）NeuralFeed
[2026-11-09]（Claude Fable 5.2 系统提示）Claude Platform Docs
[2026-07-07]（Claude Fable 5 System Prompt Leak Explained）explainx.ai
[2026-06-17]（Fable 5 榜单第一靠作弊？代码泄露，模型真实身份曝光）36 氪
[2026-06-12]（Claude Fable 5 Jailbroken: Safety Layer Lasted Two Days）Secure in Seconds
免责声明：本文依据 2026 年 11 月 14 日前公开的媒体报道、Anthropic 官方文档与第三方技术分析整理，属于对公开信息的事件梳理与技术解读，不构成对泄露文件真实性的确认，也不构成任何使用、传播该文件的建议。涉事文件系未经授权获取的商业文档，Anthropic 未公开确认其真实性，社交平台上同时存在 95 万字符、近 200 万字符等多个版本，部分转发者已标注 “不保真”；文中引用的规模、占比、工具数量、技能能力均来自媒体转述，可能与线上实际配置存在差异，且厂商会静默更新提示词而不发布变更日志，归档文本很快过期。出于安全考虑，本文不复述任何可用于绕过模型安全机制的触发词、投递手法与具体步骤，相关细节请勿据本文尝试。二次发布、转载被窃取文档在多数司法辖区存在法律风险，学习其设计思路与复制其文本是两件事。涉及产品安全策略评估、合规审查或采购决策，请以官方文档与自有评测为准。