120 000 tecken avslöjade! Claude Fable 5:s systemprompt har läckt – hur mycket står det kvar för AI-säkerheten?

Claude Fable 5-historien ser alltmer ut som en offentlig nakenbadning för hela AI-säkerhetsbranschen.

Enligt flera kinesiska säkerhetsmedier och nyhetsaggregatorer ska Anthropic:s publika Mythos-klassmodell Claude Fable 5 ha plockats isär av jailbreakaren elder_plinius med en koordinerad multi-agent-attack, och den kompletta interna systemprompten ska ha samlats ihop och laddats upp till GitHub – omkring 120 000 tecken.

Värre är att det läckta innehållet inte är någon enkel karaktärsbeskrivning, utan misstänks innehålla kärnlogik för säkerhetsstyrning, riskklassificering, avslagsgränser, verktygsanrop, policyrouting med mera. Med andra ord: om rapporterna stämmer är det som att klistra upp instruktionsboken för en toppmodells säkerhetskonsol på gatan.

En sak först: den här artikeln återger, citerar inte och lär inte ut den läckta prompten. Vi pratar bara om varför händelsen är allvarlig och vad den betyder för AI-säkerheten.

Först: tidslinjen i bakgrunden

Claude Fable 5 är den nya modell som Anthropic lanserade i början av juni och som omvärlden sett som en publik säkerhetsversion av Mythos 5. I offentliga rapporter beskrivs Fable 5 som en ny generation Claude för komplext resonerande, långvariga uppgifter och professionella arbetsflöden.

Men efter lanseringen har kontroverserna inte upphört.

Den första kontroversen handlade om alltför höga säkerhetströsklar. Enligt vissa rapporter vägrade Fable 5 av säkerhetsskäl att svara på till och med grundläggande biologi-frågor. Det handlar alltså inte om bristande förmåga, utan om att modellen sitter hårt striktad av säkerhetspolicyn.

Den andra kontroversen var Microsofts dubbelmoral i praktiken. Å ena sidan kopplades Fable 5 in i kundriktade tjänster, å andra sidan begränsades de anställdas interna användning – enligt uppgift på grund av dataskydd och risker med modellutdata.

Den tredje vågen är den mest sprängladdade: en angripare hävdar att man via multi-agent-jailbreak fått tag på systemprompten, cirka 120 000 tecken, och laddat upp den till GitHub.

Vad som syns på Anthropic:s officiella nyhetssida just nu är att USA:s regering utfärdat exportkontrollanvisningar och pausat all åtkomst till Fable 5 och Mythos 5. Den officiella bekräftelsen av promptläckan har ännu inte kommit.

Varför attacken är så skrämmande: ingen enskild sprängladdning, utan vargtaktik

Traditionell jailbreak bygger oftast på en magisk prompt: att övertala modellen att ignorera regler, spela en roll, dela upp uppgifter eller kringgå avslag.

Men i den här rapporteringen återkommer ett begrepp gång på gång: vargtaktik.

Det innebär att angriparen inte stormar fram med en enda prompt, utan sätter in flera agenter som samarbetar:

• En agent kartlägger modellens gränser
• En agent genererar variantfrågor
• En agent bedömer om svaret läcker strukturell information
• En agent syr ihop fragmenterade utdata till ett komplett dokument
• En agent justerar ständigt attackstrategin

Därmed har promptleken uppgraderats till ett automatiserat röda laget-system.

En mänsklig angripare tröttnar kanske efter hundra försök; ett AI-drivet attacksystem kan prova hundratusen gånger och optimerar sig självt efter varje återkoppling. Ju starkare toppmodellerna blir, desto farligare är det att använda dem som attackkoordinatorer.

Det är här den verkliga varningen ligger: den som nu knäcker AI-säkerhetssystemen är allt oftare AI:n själv.

Hur allvarligt är egentligen en läckt systemprompt?

Många frågar sig: det är ju bara en prompt – vad gör det om den läcker?

Det är ett missförstånd om hur moderna stora modellsystem fungerar. Dagens systemprompt är långt ifrån bara en mening av typen ”du är en hjälpsam assistent”. Den är snarare ett policydokument vid körning som kan innehålla:

• Modellens identitet och interaktionsstil
• Kriterier för identifiering av högriskinnehåll
• Hierarkier för säkerhetsklassificering
• Avslagsmallar för olika riskscenarier
• Gränser för verktygsanrop
• Hanteringsstrategier för känsliga områden som kod, cybersäkerhet, biologi och kemi
• När svaret ska växlas till en säkrare variant
• När allt ska vägras helt
• När en övergripande förklaring får ges

Så snart detta blir offentligt behöver angriparen inte längre gissa i blindo.

Förr var det som att dyrka ett lås i mörker: man kände inte låscylinderns mekanik utan fick prova sig fram. När systemprompten läcker är det som att få cylinderns tvärsnittsritning. Angriparen kan sedan designa kringgåenden mot varje enskild regel och leta sprickor i gränsytorna.

Därför är en promptläcka inget ”ansiktsförlustproblem” utan en säkerhetshändelse på allvar.

Vad betyder 120 000 tecken?

120 000 tecken motsvarar ungefär en medellång roman, eller ett säkerhetspolicydokument på flera tiotals sidor.

Stämmer den storleken handlar Fable 5:s säkerhetsstyrning inte om ett fåtal regler utan om ett helt komplext policysystem. Sannolikt är olika riskområden uppdelade i finkorniga grenar: cybersäkerhet, biosäkerhet, kemi, psykologisk manipulation, finansiellt bedrägeri, integritetsläckor, upphovsrätt, politiskt känsligt innehåll, skydd för minderåriga, medicinska råd med mera.

Det finns två kontraster här.

För det första: Anthropic:s säkerhetsteknik är verkligen detaljerad. Så detaljerad att nästan varje gräns är explicit definierad – vilket också är skälet till att Fable 5 upplevdes som ”nästan för säker” efter lanseringen.

För det andra: ju finmaskigare reglerna är, desto tydligare blir attackytan om de läcker. Angriparen ser vilka kategorier som utlöser avslag, vilka formuleringar som släpps igenom och var gråzonerna finns.

Ju mer komplex en säkerhetspolicy är, desto mer liknar den ett stort mjukvarusystem. Och mjukvarusystem har buggar – promptsamhällen har likaså logiska luckor.

Det här är inte första gången: AI-säkerheten går in i läckageeran

Under de senaste två åren har liknande incidenter blivit allt vanligare i AI-världen.

Någon har läckt Claude Code-källkod, någon har grävt fram systemprompten hos kommersiella agenter, någon har via webbläsartillägg fått tag på dolda prompts och någon har låtit modeller fråga varandra för att lura ur dem systemreglerna.

Orsaken är enkel: kärntillgångarna i stora modellprodukter flyttas alltmer från traditionell kod till prompts, verktygsorkestrering, policyrouting, minnessystem och säkerhetsregler.

Förr fruktade företag att källkoden skulle läcka.

Nu måste AI-företag också frukta:

• Läckta systemprompter
• Läckta verktygsscheman
• Läckta säkerhetspolicys
• Läckta interna utvärderingsuppsättningar
• Läckta agentarbetsflöden
• Läckta minnen och användarpreferenser

Det här är inte nödvändigtvis kod i traditionell mening, men det styr produktens beteende. Det är den nya tidens källkod.

Vad innebär det här för företagsanvändare?

Är du bara en vanlig användare är det här i bästa fall en stor skvallerhistoria.

Men sitter du med företagets säkerhet ser situationen annorlunda ut.

Företag kopplar stora modeller till kundtjänst, kodgranskning, dataanalys, kontorsautomation, interna kunskapsbaser, ekonomiprocesser och till och med säkerhetsoperativa centra. Modellen är inte längre bara en chattbot utan en aktör med verktygsbehörigheter.

När systemprompten och verktygsgränserna exponeras kan angriparen konstruera inmatningar mer precist och få modellen att missbruka verktyg, läcka information, kringgå godkännanden eller utföra fel åtgärder.

Allra farligast är agentscenarierna. En agent svarar inte bara – den hanterar filer, anropar API:er, skickar meddelanden, frågar databaser och kör kommandon. När systemprompten läckt vet angriparen hur uppgifterna delas upp och vilka avslagslogiker som gäller, och kan bygga attackkedjor som utnyttjar just dessa svagheter.

Företag kan därför inte längre se systemprompten som ”intern text”. Den ska hanteras som en säkerhetstillgång.

Hur ska företagen skydda sig?

För det första: lägg inte hela säkerheten på systemprompten.

En prompt kan styra modellen men kan inte vara enda försvarslinjen. Den verkliga säkerheten ska ligga i verktygsbehörigheter, API-gateways, datalagren, revisionsloggar och mänskliga godkännanden.

För det andra: minimera verktygsbehörigheterna.

Vad agenten får läsa, skriva, radera och till vem den får skicka ska vara uttryckligen behörigt. Ge den inte global administratörsåtkomst bara för att modellen ”verkar smart”.

För det tredje: skikta systemprompten.

Skriv inte alla policys i en enda enorm prompt. Dela upp i identitetslager, uppgiftslager, verktygslager, säkerhetslager och revisionslager, och ladda dem dynamiskt efter scenario. Då får angriparen inte hela styrningen även om ett skikt läcker.

För det fjärde: introducera utdatakontroll.

Kontrollera inte bara användarens inmatning. Även modellens utdata ska screenas för känslig information, obehöriga åtgärder och farliga kommandon.

För det femte: automatisera det röda laget.

Om angriparen använder multi-agent-vargtaktik måste försvaret också använda multi-agent-röda lag. Låt regelbundet en grupp modeller attackera en annan grupp, generera testfall automatiskt och uppdatera försvarslinjerna löpande.

Varför jag inte rekommenderar att sprida originaltexten

Visst finns det någon som säger: ge mig GitHub-länken, låt mig titta.

Det rekommenderar jag inte.

För det första kan originaltexten innehålla detaljer som direkt kan användas för att kringgå säkerhetspolicyn. Att sprida den är detsamma som att hjälpa flera att upprepa attacken.

För det andra är äktheten inte officiellt bekräftad; vid vidare spridning är det lätt att ofullständigt eller förorenat material tas för sanning.

För det tredje: för forskare är det som är värt att studera säkerhetsarkitekturens brottpunkter, inte att kopiera och klistra in andras läckta prompter.

Det säkerhetskretsen borde diskutera är varför läckan skedde, hur skadorna minskas och hur nya skyddslager byggs – inte att kika på prompten som på underhållning.

Den viktigaste lärdomen

Att Claude Fable 5:s prompt läcker ser ut som en enstaka snedtravning för Anthropic, men i själva verket är det en fråga som hela AI-branschen inte kan komma ifrån.

Vi lägger allt fler beslut, åtgärder och säkerhetsgränser i händerna på stora modeller. Samtidigt bygger många av de viktigaste kontrollerna i dessa system fortfarande på ett sårbart medium: naturligt språk i prompten.

Fördelen med naturligt språk är flexibiliteten – och det är samtidigt dess största svaghet. Det har inte kodens strikta typer, inte åtkomstlistornas tydlighet och inte sandboxens hårda isolering.

Därför kan framtidens AI-säkerhet inte vila på ”allt längre systemprompter”.

Den verkligt hållbara riktningen är:

• Intern säkerhetsträning i modellen
• Externa policymotorer
• Sandbox för verktygsbehörigheter
• Obligatoriska revisionsloggar
• Isolering av känslig information
• Ömsesidig verifiering mellan flera modeller
• Automatiserade röda lag-tester

Systemprompten kan vara ratten men inte bromsen.

Avslutningsvis

Det mest ironiska med Fable 5-historien är att Anthropic länge varit AI-säkerhetens fanbärare – och att deras säkraste modell nu, bara kort efter lanseringen, ska ha läckt sin systemprompt.

Det betyder inte att Anthropic duger dåligt. Tvärtom: det visar att AI-säkerheten som område har gått in i ett svårare skede.

Förr var det människor som angrep AI.

Nu organiserar AI AI för att angripa AI.

När både attack, strategi och utvärdering automatiseras räcker det sannerligen inte med en säkerhetsprompt på 120 000 tecken för att hålla fästningen.

AI-säkerhetens lugna era är över – nu börjar den verkliga maktkampen.