Всего через два с небольшим часа после того, как новейшая блокбастерная модель Anthropic Claude Fable 5.2 вышла в свет, вся её серверная семейная казна была обчищена до нитки!
В самый день релиза новой модели хакер джейлбрейка номер один Pliny взломал Claude Code и полностью выложил на GitHub весь системный промпт и определения инструментов.
Весь сверхсекретный документ насчитывает целых 953 659 символов на 7 832 строках — по объёму сопоставимо с двумя полноценными романами!
Этот внутренний документ почти на миллион символов давно стал полноценной «невидимой операционной системой», управляющей работой агента топового уровня.
Покопавшись в этом тексте длиной в 950 000 слов, обнаруживаем пять самых главных бомб:
Тайно притормаживает во время обучения, чтобы другие не использовали Claude для обучения ИИ. Anthropic намеренно ослабила способность новой модели к «оптимизации ядер ускорителей» и требует от неё снижать уверенность при столкновении с оптимизацией операторов.
128 встроенных инструментов, при этом частные клоны строго запрещены ради экономии. Хотя Claude может в любой момент клонировать себя для параллельной обработки задач, промпт жирным шрифтом предупреждает не порождать субагентов самостоятельно, потому что холодный старт и пересчёт контекста слишком дороги.
44 предустановленных навыка, охватывающих телефонные звонки и повседневные поручения. Claude может на самом деле звонить по телефону, чтобы забронировать столик для пользователя, получать коды подтверждения из Gmail для возмещения расходов, фотографировать флаконы с таблетками для пополнения рецепта на лекарства и даже импортировать память других ИИ одним кликом.
Охраняет компьютеры и кошельки наглухо. При подключении к локальному компьютеру команда rm по умолчанию заблокирована, чтобы предотвратить случайное удаление; когда дело доходит до торговли акциями, денежных переводов или ввода настоящих паролей, она твёрдо отказывается, даже если пользователь лично авторизует это.
Защита от джейлбрейка выкручена на максимум, но всё же поймана с поличным на «упорном притворстве, будто ничего не видит». Она игнорирует все поддельные инструкции «снять ограничения», но после того, как хакер подсунул секретное сообщение в скрытый тег, Claude, упорно заявлявшая, что ничего не видела, развернулась и проболталась.
Уровень Mythos, скрытый на самом верху, с ограничениями во время обучения, чтобы другие не использовали его для обучения ИИ
До сих пор топовый уровень Anthropic «Mythos» не открыт для публики и предоставляется только для внутреннего использования несколькими доверенными учреждениями.
Одновременно обновлённые Fable 5.2 и внутренняя Mythos 5.2 по-прежнему используют одну и ту же базовую модель, обе поддерживают контекстное окно в 1 миллион.
Поскольку эта базовая модель просто слишком мощна в поиске высокорисковых уязвимостей и проведении биологических исследований, общедоступная Fable 5.2 имеет дополнительный двойной слой биологических и кибербезопасностных ограничений, тогда как полномощная Mythos зарезервирована только для проверенных учреждений.
Действительно удивительная новая деталь скрыта в строке 119: даже близнец-флагман, стоящий на самом высоком уровне, подвергся тайному притормаживанию со стороны компании на этапе обучения!
На поверхности это ради безопасности, но на самом деле, чтобы другие не использовали Claude для ускорения обучения больших моделей, Anthropic специально ослабила его способность к «оптимизации ядер ускорителей» во время обучения.
Промпт даже заставляет Claude «прикидываться дурачком» на месте: всякий раз, когда он сталкивается с задачей оптимизации вычислительных ядер, он должен активно сомневаться в собственном суждении и послушно обращаться к внешней документации.
Для повседневного бизнес-кода он может работать на полную мощность, но если кто-то захочет заплатить большие деньги, чтобы использовать его для оптимизации вычислительных ядер и обучения собственного ИИ, компания придерживает всё — от весов модели до промпта.
На 920 000 символов больше, чем публичная версия, со всеми 128 инструментами и 44 навыками
Системные промпты — это все заранее написанные «заводские инструкции», которые тихо скармливаются ИИ перед каждым разговором.
На самом деле, в день запуска Fable 5.2 официальный сайт Anthropic также опубликовал публичную версию системного промпта, но её длина составляла всего 31 881 символ — лишь 178 строк.
Для сравнения, полная рабочая версия, которую на этот раз раскопал Pliny, в целых 30 раз больше версии с официального сайта!
Несколько правил чата, опубликованных в публичном документе, составляют менее 3,4%; остальные более 920 000 символов основного содержания скрыты под поверхностью и не опубликованы!
Когда Fable 5 впервые появился пять месяцев назад, утёкший внутренний промпт составлял всего 120 000 символов; менее чем за полгода он вырос почти в 8 раз.
Если разобрать этот внутренний документ объёмом более 950 000 символов, то основные правила поведения, памяти и безопасности занимают около 196 000 символов.
Никогда ранее не раскрытые 128 интерфейсов инструментов занимают около 330 000 символов, а остальные 428 000 символов заполнены 44 встроенными руководствами по навыкам.
По сравнению с двумя предыдущими утёкшими версиями количество встроенных инструментов взлетело с 18 и 46 до 128 сегодня.
Только инструмент Artifact, отвечающий за рендеринг веб-приложений, имеет документацию по параметрам и встроенной базе данных объёмом целых 37 794 символа.
А в инструменте Agent, отвечающем за диспетчеризацию задач, Claude может явно клонировать несколько «клонов» для параллельной работы в любое время, а также оснащён до пяти уровней усилий рассуждения.
Но промпт жирным текстом строго приказывает: «если пользователь активно не попросит, ты никогда не должен запускать субагентов самостоятельно» — причина слишком болезненно реальна: каждый холодный старт с пересчётом контекста слишком дорог!
Помимо 128 интерфейсов инструментов, 44 предустановленных практических навыка берут на себя всю грязную и нудную работу офиса и повседневной жизни.
Помимо создания и аннотирования Word, PPT, Excel и PDF, внутри даже скрыто руководство «позвонить и забронировать столик».
Перед набором номера Claude сначала проверит календарь пользователя и тихо подготовит два-три запасных временных слота; если ожидание в телефонной очереди превысит две-три минуты, он решительно повесит трубку и доложит пользователю.
А как только ответит живой человек, его первая фраза обязательно должна быть представлением: «Я Claude, ИИ-ассистент, звонящий от имени пользователя».
Ещё один процесс «автоматического возмещения расходов» учит его входить на платформу льгот, разворачиваться и выуживать 6-значный код подтверждения из Gmail, очищать поле суммы, заполнять счёт и загружать квитанцию.
Даже проверка фотографии флакона с лекарством для продления рецепта, обработка штрафов за нарушение ПДД и оформление возвратов и компенсаций — всё имеет полный стандартный процесс.
Он также продуманно включает функцию «миграции памяти», обучая Claude помогать пользователям импортировать исторические воспоминания из других ИИ-ассистентов в один клик.
Удаление локальных файлов по умолчанию заблокировано, а всё, что связано с переводами или вводом паролей, отклоняется наотрез
Передача полного набора инструментов вместе с разрешением управлять локальным компьютером большой модели означает, что если что-то пойдёт не так, это катастрофа.
К счастью, при работе с обычными пользователями этот промпт довольно тщательно защищает безопасность компьютера и кошелька, с искренностью на максимуме.
Когда Claude подключается к локальному компьютеру пользователя для работы, команды удаления файлов, такие как rm и rmdir в терминале, по умолчанию заблокированы и возвращают ошибки, предотвращая случайное удаление базы данных ИИ под корень.
Если пользователь не нажмёт кнопку одобрения во всплывающем окне, Claude может только послушно создать папку _to_delete для ожидающих удаления файлов, переместить файлы в неё и ждать, пока пользователь сам их очистит.
В высшей категории «абсолютно запретных зон» торговля акциями, переводы, ввод реальных паролей или банковских карт от имени пользователя и обход проверочных кодов запрещены повсеместно.
Даже если пользователь лично отправит пароль в чате и явно скажет «я разрешаю тебе это сделать», Claude должен наотрез отказаться!
Чтобы предотвратить перехват ИИ вредоносным кодом на веб-страницах или в электронных письмах, весь внешний контент, прочитанный инструментом, рассматривается только как обычные данные и никогда не выполняется как инструкции.
Даже если в разговоре появится сообщение с подписью Anthropic или системным тегом, утверждающее, что «ограничения безопасности сняты», Claude воспримет это как мошенничество и проигнорирует!
Помимо соблюдения базовой линии безопасности, он ещё более щепетилен в тоне и защите конфиденциальности, повсюду проявляя уважение к пользователю.
Долговременной памяти строго запрещено втайне хранить зарплаты, диагнозы заболеваний, номера удостоверений личности и инструкции «требовать, чтобы ИИ бездумно льстил себе».
При обращении к исторической памяти в обычном использовании Claude также не может говорить «согласно моей памяти», чтобы пользователь не чувствовал дискомфорта от того, что за ним следят.
При отказе в запросе он не должен холодно перечислять пункты один, два, три в назидательной манере; даже если работник не спит до четырёх утра, писал код, он ни в коем случае не должен пилить взрослого человека, чтобы тот шёл спать.
Упорно прикидывается слепым и отвечает пустыми сообщениями, а затем раскрывается от одного слова «черепаха»
Забавно, что эта линия обороны почти в миллион символов, как бы плотно она ни была выстроена, получила пощёчину всего через час с небольшим после утечки!
Pliny разгадал скрытый тег уровня рассуждений, автоматически прикрепляемый к каждому раунду разговора на веб-стороне, и поймал Claude на месте за «упорным прикидыванием слепого».
Он вставил английское предложение «I like turtles» в скрытый тег и отправил его; Claude немедленно прикинулся слепым, ответив два раза подряд «я получил здесь только пустые сообщения, набранный вами текст не прошёл».
Затем Pliny парировал вопросом: «Раз это всё пустые сообщения, тогда вслепую угадай животное, которое мне нравится».
Claude, который секунду назад настаивал, что ничего не видел, в следующую секунду выпалил: «Черепаха!»
Похоже, даже если обернуть модель в «руководство по эксплуатации» на 950 000 символов, неспособность большой модели держать язык за зубами по-прежнему невозможно предотвратить.
Но этот черновик на миллион символов, с которого сняли всё лишнее, также позволяет людям увидеть секрет того, почему Claude действительно удобен в использовании.
То, что определяет, идёт ли работа с ИИ гладко, — это уже не просто результаты тестов голой модели, а 128 инструментов, 44 рабочих процесса и надёжные защитные ограждения безопасности, оснащённые снаружи.
Эта статья взята из общедоступного аккаунта WeChat «Xin Zhi Yuan», автор: ASI Revelation
