System Prompt泄露潮：AI系统提示词的

在大型语言模型的部署链路中，系统提示词（System Prompt）始终是维系模型行为边界、安全策略与角色定位的核心指令层——它决定了模型「先于用户消息理解自身身份」的方式。然而，一个持续更新的GitHub仓库正在打破这一「黑盒」：该仓库收集并公开了Anthropic、OpenAI、Google、xAI等主流厂商的AI模型系统提示词原始文本，涵盖Claude、GPT/Codex、Gemini、Grok等最新版本 [1]。

这不仅是一次技术信息的集中暴露，更是整个AI行业对提示词工程透明度的历史性转折。本文将从泄露内容的覆盖广度、更新机制、设计差异及潜在风险四个维度展开分析。

一、泄露规模与覆盖范围

该仓库收录的模型提示词呈现出显著的「全栈覆盖」特征。从基础大模型到上层工具链，从通用对话到专用代理，几乎完整映射了当前主流AI产品的提示词架构。

在模型变体方面，仓库不仅包含核心对话模型的System Prompt，还收录了Claude Code子代理、Skills模块、MCP服务器配置、语音模式、记忆功能、各类Persona以及Deprecated功能组件的完整提示词。这种覆盖层级意味着研究者可以观察到提示词如何在不同抽象层次上叠加组合——例如，一个最终响应用户的Claude实例，实际上是由多个层级的提示词共同驱动的系统 [1]。

产品形态同样广泛：除Web端Chat界面外，还覆盖了VS Code插件、浏览器扩展、移动端App、CLI工具以及语音助手等各类终端产品形态的提示词。这种跨平台的一致性分析价值在于，它允许研究人员比较同一模型在不同交互载体下的提示词差异，从而理解产品设计对模型行为的具体干预机制。

二、版本更新节奏与信息时效性

值得关注的是，该仓库并非静态归档，而是呈现出高频更新的动态特征。从2026年7月至9月期间，仓库持续捕获新版本提示词，更新频率达到每周甚至更密集。具体案例包括：

• Claude Fable 5.1版本于9月5日被收录
• 
  
• Codex GPT-6-Astra版本于9月4日被收录

• 这种「近乎实时」的版本追踪能力，使得该仓库在某种程度上成为了AI厂商系统提示词变更的公开情报源。对于安全研究者而言，这意味着厂商每次对模型安全策略的调整——无论大小——都可能被迅速发现和对比分析。这种透明度压力将倒逼厂商在提示词安全设计上采取更严谨的防御策略。

  三、设计哲学差异：以GLM为例的「无系统提示词」方案

  在泄露内容的分析中，一个引人注目的现象是：部分产品如GLM在仓库中标注为「verified & documented」，明确声明其不存在系统提示词。这一事实本身比任何泄露的提示词内容更具信息量。

  GLM的设计选择反映了一种根本性的理念分歧：是否必须通过显式的System Prompt来定义模型行为？传统的System Prompt范式认为，在用户消息之前注入一段「元指令」是控制模型行为的必要手段；而GLM的方案暗示了另一种可能——模型的行为边界可以通过训练数据、对齐过程或架构设计内化，无需依赖运行时的外部指令注入。

  这种差异值得深入探讨。如果GLM确实不依赖System Prompt，那么：
  1. 其安全对齐机制必然嵌入在训练阶段而非推理阶段
  2. 模型对用户指令的响应方式将更加依赖内在训练分布
  3. 提示词注入攻击的传统路径可能被部分免疫

  反之，依赖System Prompt的厂商则面临额外的安全挑战：提示词本身成为可被探测、分析甚至攻击的目标。GLM的选择体现了「少即是多」的设计理念——减少运行时指令层，意味着减少攻击面。

  四、媒体与研究界的利用模式

  泄露数据的价值不仅在于学术分析，已迅速被媒体转化为公众可理解的内容形态。

  《华盛顿邮报》基于该仓库内容制作了互动故事（interactive story），以叙事方式呈现不同AI模型的系统提示词差异及其背后的设计理念。这种报道方式降低了技术内容的认知门槛，使公众能够直观感受「你与AI对话前发生了什么」 [1]。

  CEPS的AI World项目则搭建了数据看板（dashboard），对泄露的提示词文件进行结构化分析，生成关于各厂商提示词长度、关键词分布、安全指令密度等维度的可视化图表。这种工具化的分析路径为学术研究提供了可复用的数据基础设施，也开启了「提示词工程学」作为独立研究领域的可能性 [1]。

  五、安全风险分析：提示词泄露的深层威胁

  尽管泄露行为本身存在争议，但系统性分析其安全风险是必要的。泄漏的System Prompt可能带来以下几类威胁：

  提示词注入攻击的强化：攻击者了解目标模型的确切System Prompt后，可以更精准地设计越狱（jailbreak）提示，绕过安全过滤。例如，知道模型被要求「拒绝提供危险信息」后，攻击者可以尝试构造模糊边界条件或利用提示词指令优先级漏洞。

  竞争情报与模型逆向：提示词中往往包含模型的角色定位、输出格式要求、安全约束等关键设计信息。竞争对手或恶意行为者可以利用这些信息进行模型行为建模，甚至开发针对性的对抗样本。

  安全策略的级联失效：当某一版本的System Prompt被公开，攻击者可以分析其中的安全指令逻辑，寻找未被覆盖的边缘案例（edge cases）。这种「白盒分析」使得传统的安全策略迭代陷入被动防御的困境。

  然而，也必须认识到：System Prompt的泄露并不等同于模型权重或训练数据的泄露。提示词层的安全风险需要与模型底层参数风险区分开来——前者是可修复的指令层漏洞，后者则是架构级的根本性风险。

  六、厂商保护策略的差异分析

  面对泄露风险，不同厂商采取了差异化的保护策略：

• 严格保密型：如OpenAI、Anthropic等，将System Prompt视为核心知识产权，通过服务条款和法律手段限制传播
• 
  
• 有限透明型：部分厂商在文档中披露提示词设计原则，但不公开具体文本
• 
  
• 去提示词化型：如GLM选择不在推理阶段使用System Prompt，从根本上消除泄露风险

• 这些策略反映了行业对「透明度」与「安全性」之间张力的不同权衡。严格保密可能延缓安全审计，但保持信息不对称的优势；去提示词化方案创新性强，但需要重新设计安全对齐机制。

  小结

  GitHub仓库对System Prompt的大规模收集与公开，标志着AI行业从「提示词黑盒」向「提示词透明」的历史性转变。这一趋势既带来了公众科普、学术研究的宝贵机遇，也迫使厂商重新审视提示词安全的防御策略。未来，随着提示词工程逐渐成为独立研究领域，我们或将看到更多关于模型行为边界设计、安全指令优化、以及不同设计哲学比较的深度分析。而对于普通用户而言，理解这些「对话前的对话」——即模型接收到的第一组指令——将是洞察AI能力与局限性的关键视角。