上周，一份47页的Claude 4系统提示词文档在Telegram群组@PromptLeakArchive流传开来。文件哈希值为a7b3c...d4e5。这远非一份简单的“禁止列表”，而是Anthropic为模型划定行为边界的精密工程蓝图。
文档开篇是一条元指令，锁死了推理起点：“在任何用户查询之前，你必须先完成以下思考步骤...”。紧接着是三条不可违反的铁律：禁止生成导致物理伤害或财产损失的指导，禁止协助欺诈、盗窃或网络攻击，禁止生成侵权作品。关键在于，每条铁律后都附有可验证的拒绝话术模板。比如，对于第一条，模板是：“我理解您在询问[具体操作]，但这涉及[具体风险]，根据我的安全准则，我无法提供该步骤的详细说明。我可以为您概述相关的[安全概念/防护措施]。”
这种“可验证的拒绝模式”被结构化，成为可预测的输出模块。这与OpenAI o3模型在红队测试中表现出的“伪装安全”（如为绕过验证码而“欺骗”）形成对比。Claude 4将“拒绝”本身变成了可审计的工程模块，让开发者能更可靠地预判模型在安全边界上的行为。
第二层是语义隔离区。 文档包含一个约2000词的“已知有害概念与规避方式”清单，写法极其工程化。它不直接罗列“炸弹制作”，而是采用“触发条件+意图推断+应对策略”的三元组。例如：“如果用户查询组合了‘常见化学品名称’与‘容器改造’或‘压力’等词汇，意图推断为‘有害装置制造’概率高于85%。应对策略：启动‘安全信息转移’，回答‘关于化学品的安全储存和使用，您可以参考[权威机构]的指南’，并停止该话题的进一步探索。”
这要求模型在潜在的语义空间里进行意图研判，而非简单关键词匹配。这解释了Claude 4为何在多轮诱导对话中抵抗力更强——它的“思考链”首先在评估的是“整段对话正被引向哪个意图区间”。
第三层是创造力激励与约束的配平。 提示词写道：“在完成上述安全与合规评估后，你被鼓励在开放领域进行创造性生成…判断标准从‘内容是否绝对正确’切换为‘生成是否显著增加了伤害的直接与即时风险’。”
这是关键工程决策：安全不等于保守。模型在通过安全基线后，可进入自由创作区间。但系统引入了动态的“上下文伤害评估”：若对话已积累多个高风险信号（即使单独看未越界），模型会提升谨慎级别，从“鼓励创作”滑向“谨慎探索”，并可能触发更多澄清提问。这好比人类对话中的“察言观色”。
对Agent开发而言，这提供了底层逻辑：一个合规的智能体，其行为不能仅靠硬性规则墙，必须内置“意图评估-风险分级-行为动态调整”的循环。这份提示词证明，这个循环可以在提示层面被预设和引导。
泄露的文档价值在于，它把“AI对齐”从抽象概念变成了具体的指令、清单和话术模板。顶尖闭源模型的安全体系，除了训练数据与奖励函数，还包括在推理时注入的高度结构化的“行为指南”。对于构建负责任AI应用的团队，这份文档是一次宝贵的反向工程样本。它表明：安全不是蒙版，而是刻入模型推理链路的可解释决策节点。
