Zaledwie nieco ponad dwie godziny po tym, jak zupełnie nowy hitowy model Anthropic, Claude Fable 5.2, wszedł do sieci, cały jego zapleczowy majątek rodzinny został obdarty do naga!
W dniu premiery nowego modelu czołowy haker zajmujący się jailbreakiem, Pliny, włamał się do Claude Code i w całości wyciekł kompletny system prompt oraz definicje narzędzi na GitHub.
Cały ściśle tajny dokument liczy aż 953 659 znaków na pełnych 7 832 liniach — rozmiarem porównywalny do dwóch pełnych powieści!
Ten liczący niemal milion znaków wewnętrzny dokument już dawno stał się kompletnym „niewidzialnym systemem operacyjnym” kontrolującym działanie najwyższej klasy Agenta.
Przekopując się przez ten liczący 950 000 słów tekst, pięć najbardziej kluczowych bomb to:
Potajemne hamowanie podczas treningu, aby powstrzymać innych przed używaniem Claude do trenowania AI. Anthropic celowo osłabił zdolność nowego modelu do „optymalizacji jądra akceleratora” i wymaga, aby obniżał swoją pewność siebie, gdy napotka optymalizację operatorów.
128 wbudowanych narzędzi, przy czym prywatne klony są surowo zabronione, aby oszczędzać pieniądze. Chociaż Claude może w dowolnym momencie sklonować siebie, aby przetwarzać zadania równolegle, prompt ostrzega pogrubioną czcionką, aby nie tworzyć prywatnie sub-Agentów, ponieważ zimny start i ponowne obliczanie kontekstu są zbyt kosztowne.
44 preinstalowane umiejętności, obejmujące rozmowy telefoniczne i codzienne sprawunki. Claude może naprawdę dzwonić, aby rezerwować stoliki dla użytkowników, pobierać kody weryfikacyjne z Gmaila do zwrotów kosztów, fotografować butelki po lekach, aby zamówić receptę na leki, a nawet importować wspomnienia innych AI jednym kliknięciem.
Szczelna ochrona komputerów i portfeli. Po podłączeniu do lokalnego komputera polecenie rm jest domyślnie zablokowane, aby zapobiec przypadkowemu usunięciu; jeśli chodzi o handel akcjami, przelewy pieniężne lub wprowadzanie prawdziwych haseł, stanowczo odmawia, nawet jeśli użytkownik osobiście to autoryzuje.
Obrona przed jailbreakiem na maksa, a jednak przyłapany na gorącym uczynku „uporczywego udawania ślepego”. Ignoruje wszystkie sfałszowane instrukcje „usuń zabezpieczenia”, ale po tym, jak haker przemycił tajną wiadomość do ukrytego tagu, Claude, który uporczywie twierdził, że nic nie widzi, odwrócił się i wygadał wszystko.
Poziom Mythos ukryty na szczycie, z limitami podczas treningu, aby powstrzymać innych przed używaniem go do trenowania AI
Do tej pory najwyższy poziom Anthropic „Mythos” nie został udostępniony publicznie i jest dostarczany wyłącznie do użytku wewnętrznego przez kilka zaufanych instytucji.
Jednocześnie zaktualizowane Fable 5.2 i wewnętrzny Mythos 5.2 nadal dzielą ten sam model bazowy, oba obsługują okno kontekstu o wielkości 1 miliona.
Ponieważ ten model bazowy jest po prostu zbyt potężny w wykrywaniu wysokiego ryzyka luk w zabezpieczeniach i prowadzeniu badań biologicznych, publicznie dostępny Fable 5.2 ma dodatkową podwójną warstwę ograniczeń biologicznych i cyberbezpieczeństwa, podczas gdy pełnomocny Mythos jest zarezerwowany wyłącznie dla zweryfikowanych instytucji.
Naprawdę zaskakujący nowy szczegół kryje się w linii 119: nawet bliźniaczy flagowiec stojący na najwyższym poziomie miał potajemnie zaciągnięty hamulec przez firmę na etapie treningu!
Na pozór dla bezpieczeństwa, ale w rzeczywistości, aby powstrzymać innych przed używaniem Claude do przyspieszania treningu dużych modeli, Anthropic specjalnie osłabił jego zdolność „optymalizacji jądra akceleratora” podczas treningu.
Prompt wręcz zmusza Claude'a do „udawania głupiego" na miejscu: ilekroć napotyka zadanie optymalizacji jądra obliczeniowego, musi proaktywnie wątpić we własny osąd i posłusznie konsultować się z zewnętrzną dokumentacją.
W przypadku codziennego kodu biznesowego może działać na pełnych obrotach, ale jeśli ktokolwiek chce zapłacić najwyższą cenę, by użyć go do optymalizacji jąder obliczeniowych i trenowania własnej AI, firma powstrzymuje się od udostępnienia — od wag modelu aż po prompt.
920 000 znaków więcej niż wersja publiczna, z ujawnionymi wszystkimi 128 narzędziami i 44 umiejętnościami
Prompty systemowe to gotowe „wytyczne fabryczne", po cichu podawane AI przed każdą rozmową.
W rzeczywistości w dniu premiery Fable 5.2 oficjalna strona Anthropic opublikowała również publiczną wersję promptu systemowego, ale miała ona tylko 31 881 znaków — zaledwie 178 linii.
Dla porównania, pełna wersja środowiska uruchomieniowego, którą tym razem wykopał Pliny, jest w całości 30 razy większa od wersji z oficjalnej strony!
Kilka zasad czatu opublikowanych w publicznym dokumencie stanowi mniej niż 3,4%; pozostała podstawowa treść ponad 920 000 znaków jest ukryta pod powierzchnią i nieopublikowana!
Gdy Fable 5 pojawił się po raz pierwszy pięć miesięcy temu, wyciekły wewnętrzny prompt liczył tylko 120 000 znaków; w niespełna pół roku wzrósł prawie 8-krotnie.
Rozkładając ten ponad 950-tysięczny dokument wewnętrzny, podstawowe zachowanie, pamięć i zasady bezpieczeństwa zajmują około 196 000 znaków.
Nigdy wcześniej nieujawnione 128 interfejsów narzędzi zajmuje około 330 000 znaków, a pozostałe 428 000 znaków jest wypełnione 44 wbudowanymi podręcznikami umiejętności.
W porównaniu z dwiema poprzednimi wyciekłymi wersjami liczba wbudowanych narzędzi gwałtownie wzrosła z 18 i 46 aż do 128 obecnie.
Samo narzędzie Artifact odpowiedzialne za renderowanie aplikacji internetowych, dokumentacja parametrów i wbudowanej bazy danych liczy sobie pełne 37 794 znaki.
A w narzędziu Agent odpowiedzialnym za wysyłanie zadań Claude może wyraźnie klonować wiele „klonów" do równoległej pracy w dowolnym momencie, a także jest wyposażony w aż pięć poziomów wysiłku rozumowania.
Ale prompt używa pogrubionego tekstu, aby surowo nakazać „chyba że użytkownik aktywnie o to poprosi, nigdy nie wolno ci samodzielnie uruchamiać pod-Agentów" — powód jest aż nazbyt boleśnie realny: każde zimne uruchomienie, które ponownie oblicza kontekst, jest zbyt kosztowne!
Oprócz 128 interfejsów narzędzi, 44 preinstalowane praktyczne umiejętności przejmują całą brudną i żmudną pracę biurową i codzienną.
Poza generowaniem i adnotowaniem Word, PPT, Excel i PDF, ukrywa nawet w środku przewodnik „zadzwoń, aby zarezerwować stolik".
Przed wybraniem numeru Claude najpierw sprawdzi kalendarz użytkownika i po cichu przygotuje dwa lub trzy zapasowe przedziały czasowe; jeśli oczekiwanie w kolejce telefonicznej potrwa ponad dwie lub trzy minuty, zdecydowanie się rozłączy i zgłosi to użytkownikowi.
A gdy odezwie się prawdziwa osoba, jego pierwsze zdanie musi być przedstawieniem się: „Jestem Claude, asystent AI dzwoniący w imieniu użytkownika."
Inny proces „automatycznego zwrotu kosztów" uczy go logować się do platformy świadczeń, odwracać się i wyłowić 6-cyfrowy kod weryfikacyjny z Gmaila, wyczyścić pole kwoty, wypełnić rachunek i przesłać fakturę.
Nawet sprawdzanie zdjęcia butelki leku w celu odnowienia recepty, obsługa mandatów za wykroczenia drogowe oraz przetwarzanie zwrotów i refundacji mają kompletny standardowy proces.
Zawiera również przemyślaną funkcję „migracji pamięci”, która uczy Claude'a pomagania użytkownikom w jednoklikowym imporcie historycznych wspomnień z innych asystentów AI.
Lokalne usuwanie plików jest domyślnie zablokowane, a wszystko związane z przelewami lub wpisywaniem haseł jest kategorycznie odrzucane
Przekazanie pełnego zestawu narzędzi wraz z uprawnieniami do kontrolowania lokalnego komputera dużemu modelowi oznacza, że jeśli coś pójdzie nie tak, to katastrofa.
Na szczęście w kontaktach ze zwykłymi użytkownikami ten prompt całkiem dokładnie chroni bezpieczeństwo komputera i portfela, a szczerość jest na maksa.
Gdy Claude łączy się z lokalnym komputerem użytkownika, aby nim operować, polecenia usuwania plików, takie jak rm i rmdir w terminalu, są domyślnie zablokowane i zwracają błędy, co zapobiega usunięciu bazy danych u podstaw przez pomyłkę AI.
Jeśli użytkownik nie kliknie zatwierdzenia w wyskakującym okienku, Claude może jedynie posłusznie utworzyć folder _to_delete dla plików oczekujących na usunięcie, przenieść do niego pliki i poczekać, aż użytkownik sam je posprząta.
W najwyższej kategorii „stref absolutnie zakazanych” handel akcjami, przelewy, wpisywanie prawdziwych haseł lub danych kart bankowych w imieniu użytkownika oraz omijanie kodów weryfikacyjnych są zakazane w całości.
Nawet jeśli użytkownik osobiście wyśle hasło w oknie czatu i wyraźnie powie „autoryzuję ci to zrobić”, Claude musi kategorycznie odmówić!
Aby zapobiec przejęciu AI przez złośliwy kod w stronach internetowych lub e-mailach, cała zewnętrzna treść odczytana przez narzędzie jest traktowana wyłącznie jako zwykłe dane i nigdy nie jest wykonywana jako polecenia.
Nawet jeśli w rozmowie pojawi się wiadomość z podpisem Anthropic lub znacznikiem systemowym twierdząca, że „ograniczenia bezpieczeństwa zostały zniesione”, Claude potraktuje ją jako oszustwo i zignoruje!
Poza utrzymywaniem bezpieczeństwa na minimalnym poziomie, jest jeszcze bardziej skrupulatny w tonie i ochronie prywatności, wszędzie okazując szacunek użytkownikowi.
Długoterminowej pamięci surowo zabrania się prywatnego przechowywania wynagrodzeń, diagnoz chorób, numerów dowodów osobistych oraz instrukcji „wymagających, aby AI bezmyślnie schlebiła sobie”.
Przywołując historyczną pamięć w normalnym użytkowaniu, Claude również nie może mówić „zgodnie z moją pamięcią”, aby użytkownik nie czuł się nieswojo z powodu bycia inwigilowanym.
Odmawiając prośby, nie może zimno wymieniać punktów raz, dwa, trzy w moralizatorski sposób; nawet jeśli pracownik siedzi do czwartej nad ranem pisząc kod, nigdy nie może zrzędzić dorosłemu, żeby poszedł spać.
Uparcie udaje niewidomego i odpowiada pustymi wiadomościami, a potem załamuje się na jednym słowie „żółw”
Zabawne, że ta niemal milionowa linia obrony, niezależnie od tego, jak szczelnie zbudowana, została spoliczkowana zaledwie nieco ponad godzinę po wycieku!
Pliny rozpracował ukryty znacznik poziomu rozumowania automatycznie dołączany do każdej rundy rozmowy po stronie internetowej, i przyłapał Claude'a na „upartym udawaniu niewidomego” na miejscu.
Wcisnął angielskie zdanie „I like turtles” do ukrytego znacznika i wysłał je; Claude natychmiast udawał niewidomego, odpowiadając dwa razy z rzędu „otrzymałem tutaj tylko puste wiadomości, wpisany przez ciebie tekst nie przeszedł”.
Następnie Pliny odpowiedział pytaniem: „Skoro to wszystko puste wiadomości, to zgadnij na ślepo, jakie zwierzę lubię”.
Claude, który sekundę wcześniej upierał się, że nic nie widział, następnej sekundzie wypalił: „Żółw!”
Wygląda na to, że nawet jeśli owiniemy model w „instrukcję obsługi” liczącą 950 000 znaków, nieumiejętność utrzymania języka za zębami przez duży model wciąż pozostaje nie do powstrzymania.
Ale ten milionowy szkic, który został obdarty do cna, pozwala też ludziom zobaczyć sekret tego, dlaczego Claude jest naprawdę łatwy w użyciu.
O tym, czy praca z AI przebiega gładko, nie decydują już tylko wyniki benchmarków samego modelu, lecz 128 narzędzi, 44 przepływy pracy i niezawodne bariery bezpieczeństwa wyposażone na zewnątrz.
Ten artykuł pochodzi z publicznego konta WeChat „Xin Zhi Yuan”, autor: ASI Revelation
