12萬字符被扒光！Claude Fable 5系統提示詞泄露，AI安全底褲還剩幾條？
Claude Fable 5 這瓜，越看越像一場 AI 安全行業的公開裸奔。
據多家中文安全媒體和聚合平臺報道，Anthropic 面向公衆開放的 Mythos 同級別模型 Claude Fable 5，疑似被越獄者 elder_plinius 用多智能體協同攻擊方式撬開，完整內部系統提示詞被整理並上傳到 GitHub，規模約 120,000 字符。
更要命的是，這份泄露內容不是普通的角色設定，而是疑似包含安全管控、風險分類、拒答邊界、工具調用、策略路由等核心邏輯。換句話說，如果報道屬實，這相當於把一個前沿 AI 模型的安全控制檯說明書貼到了大街上。
先說明：本文不會復刻、摘錄或教你使用泄露提示詞。我們只聊這件事爲什麼嚴重，以及它對 AI 安全意味着什麼。
先把事件時間線捋清楚
Claude Fable 5 是 Anthropic 在 6 月上旬推出的新模型，被外界視爲 Mythos 5 的公開安全版本。公開報道里，Fable 5 被描述爲面向複雜推理、長週期任務、專業工作流的新一代 Claude。
但它上線後爭議不斷。
第一波爭議，是安全閾值過高。有報道指出，Fable 5 因爲安全顧慮，甚至會拒絕回答一些基礎生物問題。也就是說，它不是能力不夠，而是被安全策略捆得很緊。
第二波爭議，是微軟的雙標現場。一邊將 Fable 5 接入面向客戶的服務，另一邊又限制內部員工使用，原因據稱和數據安全、模型輸出風險有關。
第三波，也就是這次最炸裂的：有攻擊者聲稱通過多智能體協同越獄，拿到了約 12 萬字符的系統提示詞，並上傳到 GitHub。
目前 Anthropic 官方新聞頁能看到的是：美國政府已發佈出口管制指令，暫停 Fable 5 和 Mythos 5 的全部訪問。至於這次提示詞泄露，官方尚未給出完整確認。
這次攻擊爲什麼嚇人：不是單點爆破，是羣狼戰術
傳統越獄通常依賴一個神奇提示詞：誘導模型忽略規則、扮演角色、拆分任務、繞過拒答。
但這次報道里反覆出現一個詞：羣狼戰術。
意思是攻擊者不是用一個 prompt 硬衝，而是部署多個智能體協同作戰：
- 一個 Agent 負責探測模型邊界
- 一個 Agent 負責生成變體問題
- 一個 Agent 負責判斷響應是否泄露結構信息
- 一個 Agent 負責把零碎輸出拼成完整文檔
- 一個 Agent 負責持續調整攻擊策略
這就從提示詞小遊戲，升級成了自動化紅隊系統。
人類攻擊者可能試 100 次就累了，AI 攻擊系統可以試 10 萬次，而且每次都能根據反饋自動優化。前沿模型越強，拿它做攻擊協調器就越危險。
這也是這次事件真正值得警惕的地方：攻破 AI 安全系統的主力，正在變成 AI 自己。
系統提示詞泄露到底有多嚴重
很多人會問：不就是 prompt 嗎？泄露了又怎樣？
這其實是對現代大模型系統的誤解。現在的系統提示詞早就不是一句“你是一個有幫助的助手”。它更像一份運行時策略說明書，裏面可能包含：
- 模型身份和交互風格
- 高風險內容識別標準
- 安全分類層級
- 不同風險場景下的拒答模板
- 工具調用邊界
- 代碼、網絡安全、生物、化學等敏感領域的處理策略
- 什麼時候轉向更安全的回答
- 什麼時候完全拒絕
- 什麼時候允許提供高層解釋
這些東西一旦公開，攻擊者就不用盲猜了。
原來攻擊模型像摸黑開鎖：不知道鎖芯結構，只能亂試。系統提示詞泄露後，就像拿到了鎖芯剖面圖。攻擊者可以針對每條規則設計繞過方式，專門找邊界縫隙。
這就是爲什麼提示詞泄露不是“面子問題”，而是實打實的安全事件。
12 萬字符意味着什麼
12 萬字符，大概相當於一篇中篇小說，或者幾十頁安全策略文檔。
如果這個規模屬實，說明 Fable 5 的安全控制不是簡單幾條規則，而是一整套複雜的策略系統。它很可能把不同風險領域拆成了細粒度分支：網絡安全、生物安全、化學、心理操控、金融欺詐、隱私泄露、版權、政治敏感、未成年人保護、醫療建議等。
這有兩個反差。
第一，Anthropic 的安全工程確實做得很細。細到很多邊界都有明確定義，這也是 Fable 5 上線後“安全到有點過頭”的原因。
第二，越細的規則，一旦泄露，攻擊面也越清楚。攻擊者能看到哪些類別會觸發拒答、哪些表達方式會被放行、哪些地方有灰區。
安全策略越複雜，越像一個龐大的軟件系統。軟件系統會有 bug，提示詞系統同樣會有邏輯漏洞。
這不是第一次了：AI 安全正在進入泄露時代
過去兩年，AI 圈類似事件越來越多。
有人泄露 Claude Code 源碼，有人扒出商業 Agent 的系統提示詞，有人通過瀏覽器插件拿到隱藏 prompt，有人用模型互問把系統規則套出來。
原因很簡單：大模型產品的核心資產，越來越多從傳統代碼轉移到提示詞、工具編排、策略路由、記憶系統和安全規則上。
以前企業怕源代碼泄露。
現在 AI 公司還要怕：
- 系統提示詞泄露
- 工具 schema 泄露
- safety policy 泄露
- 內部評測集泄露
- Agent 工作流泄露
- 記憶和用戶偏好泄露
這些東西不一定是傳統意義上的代碼，但它們決定產品行爲。它們就是新時代的源碼。
對企業用戶的影響
如果你只是普通用戶，這事最多算一個大瓜。
但如果你是企業安全負責人，情況就不一樣了。
企業正在把大模型接進客服、代碼審計、數據分析、辦公自動化、內部知識庫、財務流程甚至安全運營中心。模型不再只是聊天機器人，而是帶工具權限的操作主體。
一旦系統提示詞和工具邊界暴露，攻擊者可以更精確地構造輸入，讓模型誤用工具、泄露信息、繞過審批、執行錯誤動作。
尤其是 Agent 場景最危險。因爲 Agent 不只是回答，它會操作文件、調用 API、發消息、查數據庫、跑命令。系統提示詞泄露後，攻擊者知道它的任務分解邏輯和拒答邏輯，就能設計更貼合它弱點的攻擊鏈。
所以企業不能再把系統提示詞當成“內部文案”。它應該被納入安全資產管理。
企業應該怎麼防
第一，別把安全完全壓在系統提示詞上。
提示詞可以約束模型，但不能當唯一防線。真正的安全應該下沉到工具權限、API 網關、數據訪問層、審計日誌和人工審批。
第二，最小化工具權限。
Agent 能讀什麼、寫什麼、刪什麼、發給誰，都要明確授權。不要因爲模型“看起來聰明”就給它全局管理員權限。
第三，系統提示詞要分層。
不要把所有策略寫在一個巨大 prompt 裏。可以拆成身份層、任務層、工具層、安全層、審計層，按場景動態裝載。這樣即使某一層泄露，攻擊者也拿不到完整控制面。
第四，引入輸出側檢測。
不要只檢測用戶輸入。模型輸出同樣要做敏感信息識別、越權行爲檢測、危險指令攔截。
第五，做紅隊自動化。
既然攻擊者會用多智能體羣狼戰術，防禦方也要用多智能體紅隊。定期讓一組模型攻擊另一組模型，自動生成測試樣本，持續更新防線。
爲什麼我不建議傳播原文
網上肯定有人會說：給個 GitHub 鏈接，快讓我看看。
不建議。
第一，原文可能包含可直接用於繞過安全策略的細節。傳播它等於幫助更多人復現攻擊。
第二，原文真實性未獲官方確認，二次傳播很容易把不完整、污染過的內容當成事實。
第三，對研究者來說，真正值得研究的是安全架構失敗點，而不是複製粘貼別人泄露的 prompt。
安全圈該討論的是：爲什麼會泄露、怎麼降低損害、怎麼建立新的防護層，而不是把提示詞當電子榨菜圍觀。
這件事最大的啓示
Claude Fable 5 提示詞泄露，表面看是 Anthropic 的單點翻車，實際上是整個 AI 行業都繞不開的問題。
我們正在把越來越多的決策、操作和安全邊界交給大模型。可大模型系統的很多關鍵控制，仍然依賴自然語言提示詞這種脆弱媒介。
自然語言好處是靈活，壞處也是太靈活。它不像代碼那樣有嚴格類型、不像訪問控制列表那樣明確、不像沙箱那樣硬隔離。
所以未來的 AI 安全不能只靠“寫得更長的系統提示詞”。
真正可靠的方向應該是：
- 模型內部安全訓練
- 外部策略引擎
- 工具權限沙箱
- 強制審計日誌
- 機密信息隔離
- 多模型交叉驗證
- 自動化紅隊測試
系統提示詞可以是方向盤，但不能當剎車。
寫在最後
Fable 5 這個瓜，最諷刺的地方在於：Anthropic 一直是 AI 安全旗手，結果最強安全模型剛上線不久，就被爆出疑似系統提示詞泄露。
這不代表 Anthropic 不行。恰恰相反，它說明 AI 安全這件事本身已經進入了更難的階段。
以前是人類攻擊 AI。
現在是 AI 組織 AI 攻擊 AI。
當攻擊自動化、策略自動化、覆盤自動化同時發生，靠一份 12 萬字符的安全提示詞守城，註定不夠。
AI 安全的春秋時代結束了，戰國纔剛開始。