Claude把系统提示词摆上台面

Anthropic把Claude的“后台说明书”公开了

Anthropic近日将Claude的系统提示词纳入官方文档和发布记录，公开Claude在网页端与移动端产品中接收的核心行为指令。过去只能靠提示注入、越狱或泄露材料猜测的模型规则，如今至少有一部分可以直接查看、对照和追踪版本变化。

系统提示词是模型在读取用户输入前，由产品方预先注入的一组高优先级指令。 它通常负责规定模型的身份、知识边界、回答风格、安全原则、工具使用方式，以及遇到指令冲突时应该优先服从谁。对普通用户而言，它像一份看不见的产品说明书；对开发者而言，它更接近运行时配置与策略层。

截至2026年8月16日，Anthropic官方的System Prompts页面已经不只是展示一段静态文本，而是承担了发布记录的作用。开发者可以据此观察Claude产品层行为如何变化，而不必完全依赖社区逆向出来的提示词。

这件事的价值不在于教用户“抄一份Prompt”，而在于Anthropic开始承认：系统提示词不是模型外围的临时补丁，而是需要版本管理、公开说明和外部审视的产品组件。

公开的是产品行为基线，不是Claude的全部秘密

Anthropic此次公开的主要对象，是Claude网页端和移动端等消费产品使用的系统提示词。官方文档特别区分了消费端产品与开发者直接调用模型的场景，因此不能把页面中的内容简单理解为所有Claude请求都会携带的统一Prompt。

消费端系统提示词是Claude产品为了塑造默认体验而加入的指令集合。 它可能要求Claude使用与用户相同的语言、避免不必要的列表、在情感对话中保持自然和同理心，也可能规定Claude如何描述自己的知识边界，以及如何处理危险活动、儿童安全和自伤风险等问题。

API模型行为则由基础模型、开发者提供的系统指令、安全策略和服务端机制共同决定。 开发者不会因为Anthropic公开了Claude网页端提示词，就自动获得一个与Claude.ai完全相同的模型实例。温度、工具定义、上下文内容、模型版本、路由策略和额外安全组件都可能改变结果。

| 层级 | 是否因本次公开而可见 | 主要作用 | 能否据此复现Claude产品 | |---|---:|---|---:| | 消费端系统提示词 | 部分可见 | 身份、语气、知识边界、交互原则 | 不能完整复现 | | 用户输入与上下文 | 用户自己的部分可见 | 决定当前任务与背景 | 仅能复现单次输入 | | 模型权重 | 不可见 | 决定语言能力、知识与推理倾向 | 不能 | | 训练数据与后训练配方 | 不可见 | 塑造基础能力和偏好 | 不能 | | 安全分类器与服务端策略 | 大多不可见 | 检测风险、拦截或调整输出 | 不能 | | 工具权限与运行环境 | 视产品而定 | 控制搜索、文件、代码等能力 | 通常不能 | | 模型路由和实验配置 | 不可见 | 决定实际调用版本与灰度策略 | 不能 |

公开系统提示词因此更像公开浏览器的一部分默认设置，而不是把浏览器引擎、服务器和推荐算法全部开源。它能解释一些稳定行为，却无法解释Claude为什么在每一次采样中生成某个具体词，也不能证明服务端没有额外规则。

“可审计”终于有了具体对象

模型行为可审计是指外部人员能够依据稳定、可追踪的规则基线，对模型输出进行复核、比较和问责。 在系统提示词完全隐藏时，用户只能看到Claude拒绝了什么，却很难判断这是模型能力不足、产品政策、临时故障，还是某次灰度更新造成的变化。

公开记录让审计至少多了三个抓手。

第一，研究者可以对照提示词版本与输出变化。假如Claude在某次更新后明显减少列表、改变对知识截止日期的表达，或者对某类敏感内容采用更明确的拒绝方式，外部人员可以判断这是否与官方指令变更有关。

第二，企业客户可以把模型的公开规则纳入风险评估。对于医疗、金融、教育和内容审核等高风险场景，采购方不仅要测试模型跑分，还需要确认默认行为会不会与内部政策冲突。系统提示词无法替代合规文件，但它比一句笼统的“模型经过安全训练”更容易审查。

第三，开发者可以更准确地区分模型问题与产品问题。同一个Claude模型在官方网页、第三方应用和企业内部Agent中表现不同，往往不是谁“调用错了”，而是三套系统指令、工具权限与上下文管理方案不同。官方基线公开后，排查至少不再完全靠猜。

这也是系统提示词公开比传统模型卡更贴近真实体验的地方。模型卡通常描述训练目标、评测和已知风险，系统提示词则直接参与每轮产品交互；前者像设计说明，后者更像当前在线配置。

Claude的Prompt透露了哪些产品取舍

Claude公开文本最值得看的部分，不是某一句神奇咒语，而是Anthropic如何在不同目标之间排优先级。系统提示词的核心工作本质上是处理冲突：用户希望得到直接答案，产品希望保持安全，模型又必须承认信息不足。

语言匹配规则体现了Claude对交互连续性的重视。 当用户使用法语、冰岛语或中文交流时，Claude默认以同一种语言回答；这看起来简单，却能减少用户反复指定输出语言的成本。对全球化产品来说，这类默认规则通常比增加一个显眼按钮更有效。

知识边界规则体现了Anthropic对“不确定性表达”的产品化处理。 Claude需要承认自己对Anthropic内部训练方法、数据或未公开信息没有特殊访问权限，也不能因为用户询问Claude自身，就把推测包装成内部事实。这个规则专门压制一种常见幻觉：模型以第一人称谈论自己的训练过程，容易让用户误以为它正在披露内部信息。

语气规则表明Anthropic并不希望Claude永远像一份咨询报告。 在随意、情绪化或需要同理心的对话中，Claude被要求使用自然句子和段落，而不是机械地列出一、二、三。系统提示词承担的不是单纯安全职责，它还在定义产品人格。

安全规则则把抽象原则压缩为可执行行为。 儿童安全、自伤风险、武器制造和恶意代码等领域需要不同处理方式；一个统一的“有害内容一律拒绝”既会误伤正常讨论，也难以覆盖边界案例。更细的风险分层能改善体验，但也会让提示词越来越长、规则之间更容易冲突。

| 行为维度 | 系统提示词承担的任务 | 对用户体验的直接影响 | |---|---|---| | 回答语言 | 默认跟随用户语言 | 减少重复指定语言 | | 语气风格 | 按正式、随意、情感场景切换 | 避免所有回答都报告化 | | 自我认知 | 限制对内部训练与数据的无依据陈述 | 降低“模型自曝内幕”式幻觉 | | 知识时效 | 提醒知识并非实时，并表达不确定性 | 降低把旧信息说成新闻的风险 | | 高风险内容 | 根据伤害类型调整拒绝或支持方式 | 减少一刀切拒答 | | 工具使用 | 规定何时搜索、读取文件或执行操作 | 影响Agent效率与权限风险 |

从“泄露Prompt”到官方版本记录，性质完全不同

此前围绕Claude 3.7流传的约24000 token系统提示词，主要来自社区提取、提示注入或所谓泄露材料。这类文本即使大体真实，也存在版本不明、上下文缺失、内容被拼接，以及无法确认是否仍在线使用等问题。

社区逆向提示词是通过模型输出、前端材料或非官方渠道还原出的行为指令。 它适合帮助研究者发现问题，却不适合作为长期审计基线，因为产品方可以随时更新配置，而社区保存的文本未必能对应具体日期、模型和客户端。

官方发布记录改变的是证据等级。Anthropic主动给出文本与版本信息，相当于为某一阶段的产品规则提供了可引用的官方快照；外界不再只能围绕一份真假难辨的长文档争论。

但官方快照也不能自动证明完整性。Anthropic仍可能在系统提示词之外部署输入分类器、输出审核器、工具权限策略和实验参数，公开页面也未必覆盖每一个灰度测试。审计人员应把它视为“一份由厂商确认的行为基线”，而不是“完整运行环境的逐字转储”。

| 对比项 | 社区逆向或泄露文本 | 官方系统提示词记录 | |---|---|---| | 来源可信度 | 需要交叉验证 | 厂商直接确认 | | 版本归属 | 经常不明确 | 可按官方记录追踪 | | 完整性 | 可能缺段、拼接或过期 | 仍不保证覆盖全部服务端规则 | | 适合用途 | 安全研究、线索发现 | 行为对照、采购审查、版本分析 | | 责任主体 | 发布者与研究者 | 模型产品方 |

长Prompt并不等于更强，甚至可能成为技术债

Claude系统提示词的公开也让一个老问题重新浮出水面：当产品团队不断往Prompt里追加补丁，模型是不是会越来越听话？答案并不乐观。

提示词技术债是指系统指令随着功能和例外规则累积，逐渐产生冲突、冗余、成本和维护风险。 每增加一条要求，都可能占用上下文、影响注意力分配，并与既有指令形成难以预测的组合。长提示词还会增加首轮请求的输入处理量，虽然前缀缓存可以降低重复计算成本，但无法消除测试和维护复杂度。

有二手资料提到，Claude Code团队曾将系统提示词缩短80%以上，同时在编码评测中没有观察到可衡量的下降。这个案例更值得关注的地方不是具体删了多少字，而是它说明模型能力升级后，过去为了纠正旧模型习惯而写下的规则可能已经过期。

提示词因此应该像代码一样进入工程流程，而不是由产品经理在一个文档里无限追加条款。合理流程至少应包括版本号、差异记录、离线评测、越狱测试、灰度发布和回滚机制；如果规则影响高风险决策，还需要保存输出样本和审查结论。

公开记录恰好给外界提供了一种监督方式。用户可以观察Anthropic是在持续压缩规则、让模型依靠后训练理解原则，还是继续用更长的Prompt修补行为。前一种路线依赖更强的模型与评测，后一种路线部署更快，但技术债通常更重。

对Agent开发者真正有用的不是照抄

开发者最不该做的事情，是把Claude公开提示词整段复制进自己的Agent。官方提示词服务于Claude消费产品，其中包含大量身份、语气和产品特定约束；直接照搬会占用上下文，还可能与企业内部权限模型发生冲突。

Agent系统提示词是连接模型、工具和业务权限的运行策略。 它不仅告诉模型“怎么回答”，还需要规定可以读哪些文件、调用哪些工具、何时请求确认、失败后如何恢复，以及哪些操作必须留下审计记录。

真正值得借鉴的是分层思路：把稳定身份与安全原则放在高层，把任务说明放在会话层，把工具参数交给结构化定义，把权限控制留在模型无法绕过的服务端。删除文件、发送邮件、执行交易等高风险动作，不应仅靠一句“请谨慎操作”约束。

Claude公开提示词还可以被用作回归测试材料。团队能够抽取其中的语言匹配、不确定性表达和风险分级原则，再针对自己的业务建立测试集；模型升级时，比较相同输入下的拒绝率、工具误调用率、事实准确率和任务完成率，而不是只看几个公开榜单分数。

对安全研究者而言，公开也会降低一部分无意义的“套Prompt”竞赛。系统提示词本身不再神秘后，研究重点可以转向更重要的问题：规则是否彼此矛盾、提示注入能否改变工具权限、模型能否识别不可信网页内容，以及服务端是否真正执行了最小权限原则。

透明度提高了，但安全不会因此自动变差

公开系统提示词经常遭遇一个反对意见：攻击者知道规则后，会不会更容易越狱？这个风险存在，但它同时暴露了依赖隐藏指令的安全架构本身不够可靠。

“以保密换安全”是指系统只有在攻击者不知道内部规则时才看似安全。 对具备工具权限的Agent而言，这种方案尤其危险，因为攻击者可以通过反复试探推断边界；一旦提示词泄露，原本依赖措辞的防线就可能失效。

成熟的安全设计应该假设系统提示词最终会被看到。真正不可绕过的限制需要放在权限系统、沙箱、操作确认、速率限制和服务端校验中；系统提示词负责引导模型做正确判断，却不应该成为阻止转账、删库或泄露文件的唯一门锁。

公开反而能够迫使厂商检验规则是否经得起审视。如果一条政策必须依靠含糊措辞或隐藏例外才能工作，它迟早会在真实用户的边界输入中暴露。外部研究者提前指出冲突，通常比事故发生后再解释更便宜。

这是一小步，但方向比文本内容更重要

Anthropic此次公开系统提示词，尚不足以让Claude成为一个完全透明或可复现的模型。权重、训练数据、后训练方法、服务端分类器和工具基础设施仍然是黑箱，外界也无法仅凭Prompt解释每次输出。

这项动作仍然值得肯定，因为它把模型行为治理从“相信厂商说法”推进到了“至少可以检查一部分在线规则”。对于已经进入企业工作流、写代码环境和个人知识管理场景的Claude而言，行为边界不能永远停留在营销页面里的原则声明。

更关键的下一步是建立稳定的机器可读版本、清晰的适用产品范围和可比较的变更说明。如果某次更新改变了高风险内容处理、工具确认流程或数据使用方式，厂商应说明影响，而不是只替换一份长文本。

Claude公开系统提示词不是大模型透明度问题的终点，却可能成为行业新的最低标准。未来用户评估一个闭源模型时，问的不会只有“跑分多少”和“价格多少”，还会包括：它正在遵循什么规则、规则何时改变、谁能审计，以及规则失效后谁负责。

参考来源

• Reddit：Claude 3.7约24000 token系统提示词讨论：社区对非官方提取文本、工具逻辑和行为规则的讨论，可用于理解此前逆向材料与官方发布之间的差异。
• 知乎：写得越好的提示词，过期得越快：讨论Claude Code缩减系统提示词及提示词技术债，相关数字属于二手资料，宜结合官方信息审慎看待。