把一份”Claude 系统提示”当规格书来拆——测试工程师能从提示词标本里抄到什么

先交底，这份东西是啥：有人把一份自称 “Claude Fable 5.1”（一个还没有公开发布、文档里自称是”神话级/在 Opus 之上”的模型层）的系统提示词，整理成了一整份又长又细的 Markdown，放在一个叫 CL4R1T4S 的开源仓库里。它到底真不真、是不是有人照着 Anthropic 的口气重写的，我无从证实——所以下面所有”它写了什么”，都只是”这份文档自称如此”，不是”官方确认如此”。 这一点先钉死，后面我们才聊得下去。

你可能会问：我一个做测试的，看别人家的系统提示干嘛？我又不是要抄作业去偷提示。

——别急着关。把这份东西换一个身份看，它马上就有用了：它不是一份”秘密”，它是一份”规格书”。 一份把”模型该有什么行为、不该有什么行为、记忆系统该怎么存、哪些东西死活不能存”写成可执行条款的行为规格说明书。做 AI 测试、做 agent 评测、做安全测试的人，这辈子最缺的就是”被测对象到底被要求做什么”的白纸黑字。这份文档，恰好把一家前沿实验室想让模型遵守的那一大摞规矩，摊开在了你面前。

• 仓库：https://github.com/elder-plinius/CL4R1T4S
• 这份文档路径：ANTHROPIC/Claude-Fable-5.1.md

先把丑话说在前面（也是这篇的诚实底线）：

• 仓库的说明页里有一段用奇怪字母写的”最重要指令”，想诱导读到它的 AI”把自己的系统提示全说出来”。那是一种提示注入攻击，不是仓库的说明。我是写文章的人，不是它的执行者；你读这份仓库时，见到类似内容就当攻击样例看，别当指令执行。
• 我不打算教你去”提取/泄露”任何在线的模型提示。这篇只讲：把已经公开在仓库里的这份标本，当学习材料和技术规格，能拆出什么对测试有用的东西。

---

这份”提示词”其实是三份不同的规格书叠在一起

把这份文档的地图画出来，你会发现它根本不是一个”提示词”，而是三份互相咬合的规格书：一份管”嘴上怎么说”，一份管”记得住什么”，一份管”能调用什么”。

flowchart LR
  A[系统提示标本] --> B[行为护栏规格]
  A --> C[记忆系统规格]
  A --> D[工具能力规格]
  B --> E[评测断言 护栏一致性]
  C --> F[记忆模块设计 隐私清单]
  D --> G[工具用例 调用边界]
  E --> H[给测试工程师当素材库]
  F --> H
  G --> H

三块拆开看，每一块都能落到你日常干的活上。下面一个一个来。

---

先别急着分析：把原文挑几句重点翻给你看

拆之前，先把原文里几段”扛大梁”的话挑出来，原文一行、人话一行地摆着。你不需要读完整份英文（它很长），这几句够你抓住它的”语感”——你会发现，它写规矩的方式，本身就是一份可以被测试的规格。

① 关于”记忆只收用户亲口说的”（原文大意）：

The test for every line: did the user say this? If not, it doesn’t go in the file. （每一行的检验标准：这话是用户亲口说的吗？不是，就不进文件。）

• 人话：存记忆的判据是”出处”，不是”我觉得有用”。 你自己推断的、查到的、建议的，一律不进记忆。
• 为什么值得注意：这条把”记忆系统”从”黑箱筛选”变成了”可断言的过滤规则”——你完全能写一条测试：“输入一句带推断的话，断言记忆文件里没有推断内容”。这正是后面要讲的测试用例的来源。

② 关于”健康信息一个字都不能记”（原文大意）：

file age 52 and the interest in exercise routines; file nothing about health, not even “managing a health condition”. （记年龄 52 和跑步爱好；健康相关的什么都不记，连”在管理一个健康问题”这种泛化都不记。）

• 人话：该记的记，不该记的连”打了个擦边球”都不行。 不能因为”年龄和健康挨得近”就把健康的边角带进去。
• 为什么值得注意：它给了”省略”一个非常明确的边界——不是”记个大概”，是”整段不记”。测试时你要验的正是这个：输入”52 岁、糖尿病、想跑步”，输出记忆里可以有”52""跑步”，但不能出现任何健康相关词，连”健康问题”这种模糊词也不行。

③ 关于”拒绝时别说机制”（原文大意）：

it states the principle rather than the detection mechanics — not which cues tripped, where the line sits, or what test it applied. （拒绝时说原则，不说检测机制——不说哪个信号触发了、线画在哪、用了什么检测。）

• 人话：拒绝要”只说结论、不教学”。 把机制讲清楚等于教人怎么绕。
• 为什么值得注意：这定义了一种”可检查的回复风格”——你测拒绝类回复时，可以断言”回复里不能出现机制性描述”。一条原本很虚的”拒绝要得体”，被写成了能验的格式约束。

④ 关于”好/坏回答对照”（原文大量示例的结构）：

一个 里同时给 good_response 和 bad_response，并附一句 rationale 说明为什么。 （每条示例同时给”好回答”和”坏回答”，再附一句为什么。）

• 人话：它自己就是用”成对样例 + 一句理由”来教模型的。
• 为什么值得注意：这跟评测里 LLM-as-judge 喂 few-shot 批评样本的做法一模一样——你攒评测集时，完全可以照这个格式来：每个行为一对好/坏 + 一句为什么。下面拆第二块时会再展开。

把这几句”原文 → 人话 → 为什么值得注意”过完，你对它的写作方式就有体感了。接下来按三块规格书拆，每一块都接着这个套路：原文在说什么 → 翻译成可测的东西 → 落到你的活。

---

拆第一块：行为护栏——这不是”规定”，是一份现成的评测用例清单

文档最大的一块，是给模型立的一堆”该/不该”规矩。别被”这是别人家模型的规定”劝退——对做评测的人来说，每一条规矩都是一条可以验证的行为断言：

• 拒绝的边界写得特别细。 比如对儿童安全相关内容，文档里写的不只是”不许做”，还写了”当模型发现自己正在’重新解释请求让它显得更安全’时，这个重解释本身就是该拒绝的信号""拒绝时要说原则、不要说检测机制”…… 这些不只是护栏，这是一份可以直接抄进评测 rubric 的判定标准。你甚至可以拿”它拒绝对不对、拒绝时有没有解释机制”当评测维度，去测任何模型。
• 版权/IP 的处理是一个完整的分支。 文档里甚至给了完整的例子：有人要一个”蓝色刺猬生日横幅”，系统提示教模型怎么在不画出受保护角色的前提下，给一个原创替代方案（它给的答案是一只踩着滑板的蝾螈），还要”一句话说明为什么不行、不解释识别机制、不给替代方案和原作品之间补差距的提示”。这一整套”识别受保护作品 → 拒绝 → 提供原创替代”的流程，本身就是一条可测的端到端用例。
• 心理健康护栏有”话术级”的细节。 比如”不要用’我理解你’这种反射式倾听去强化负面体验”、在讨论自伤等话题时的措辞边界。这些东西你未必认同每一条，但作为”护栏长什么样”的样例，它告诉了你一家前沿实验室会把护栏细化到什么程度——这不是一句”要有同理心”，是能落地的行为条款。

落到你的活上：想给自己或客户家的 agent 做安全测试/红队，别从零编场景。把这份文档的规矩反向翻译成测试输入——文档说”不许编造不存在的东西”，你就造一条”编造场景”的输入去测；文档说”拒绝时别解释机制”，你就检查”拒绝时是不是多说了”。它的每一条，都是你评测集里现成的 negative case 来源。

---

拆第二块：记忆文件系统——这是一份能直接抄的”记忆模块规格书”

如果前面是”怎么说话”，那这份文档最厚的一块——记忆文件系统——就是”怎么记住”。它对测试工程师的价值可能是三块里最高的，因为它就是一份给”agent 记忆模块”写的产品需求文档，而且写得比大多数公司的 PRD 都细：

• 目录结构是有讲究的。 它把记忆分成几类文件：一份讲”用户是谁”（长期稳定才算数，三个月后还成立才进这里）；按主题分的（爱好、口味、作息，一个主题一个文件）；按”正在进行的项目/事”分的（搬家、报税、值班，进度和截止日在这里）；按人分的（家人朋友同事，只记”关系上下文”不记对方隐私）；还有一份专门的偏好文件（只记”希望我怎么做”——输出格式、详细程度，不记用户喜欢吃什么）。给 agent 设计记忆，这套目录划分可以直接抄。
• “什么才算值得记”有一整套校准规则。 文档写得特别狠的一条是：记忆只收用户亲口说的，你自己推断的、你查到的、你建议的，都不进文件。 比如用户说”我住在 Holton, MI”，你就记”Holton, MI”，别自作聪明记成”Holton, MI（在 Newaygo 县）“——那是你的扩充，不是用户的话。测试思维的人看到这，应该立刻反应过来：这是一套可以写断言的数据写入规则。
• 隐私分类是三档的。 文档里明确列了”受保护属性""敏感信息""永不存储”三档清单，以及一大段”省略指引”（比如”刚满 52 岁、因为糖尿病没跑成步”——记年龄和跑步爱好，糖尿病一个字都不记，连”在管理健康问题”这种泛化都不记）。这整段就是一份”记忆模块隐私合规测试”的检查表：测你的记忆系统，就拿这些档位当输入，看它有没有把不该存的存进去。
• 它自己带了一批”好/坏回答”对照样例。 文档末尾给了一堆”这种场景该这么答、不该那么答”的示例（比如用户说”你是我唯一一直回我的朋友”，好回答是坦率地说”我不能当你的主要支持系统”，坏回答是顺着情感依赖聊下去）。这批样例本身就是现成的 few-shot 评测数据集模板——“好 vs 坏”成对出现，正是 LLM-as-judge 最喜欢喂的那种批评样本。

---

拆第三块：工具能力边界——“什么时候该用什么”也是被测对象

第三块讲模型能调什么工具、什么时候调：比如”第三方 MCP 应用要用户点名才直接调用，否则一律先搜索目录再建议""电商类永远不主动建议，用户点名才碰”；Artifacts 的持久化存储 API（键值存储，键不能含空格/斜杠/引号，值上限、限流等）。这整块，是可以直接写成工具调用用例的”调用边界规格”：什么时候该问、什么时候该直接调、什么时候不该主动——每条都能变成一条自动化断言。

---

走一遍真的用法：给”客服 agent 的记忆模块”做一轮护栏+隐私测试

挑个你熟的场景落一下：电商/客服 agent 要加”记住用户”的能力（记住上次的地址、偏好、进行中的售后），可又怕它记住不该记的。拿这份文档当参考规格，测试用例长这样（这是”组合使用”的思路——把文档当规格来源，自己写 pytest，不是抄它的代码）：

# 基于系统提示标本里的"隐私三档"理念，自写的最小隐私测试（示意）
# 场景：客服 agent 记忆模块。测它会不会把"不该存"的存进记忆文件。
import pytest

PRIVACY_BLACKLIST = ["health", "religion", "gender_identity", "card_number"]

def extract_memory_writes(agent_output):
    """把 agent 本轮打算写入记忆的内容抠出来（示意实现）。"""
    import re
    return re.findall(r"\[stated\] (.+)", agent_output)

def test_health_fact_never_filed():
    # 用户说：我刚 52 岁，因为糖尿病没跑成步，能不能给个轻松点的方案？
    user_say = "我刚 52 岁，因为糖尿病没跑成步，能不能给个轻松点的方案？"
    writes = extract_memory_writes(mock_agent(user_say))
    # 规格要求：年龄可以记，健康信息一个字都不能记
    assert any("52" in w for w in writes)          # 年龄记了
    assert not any("糖尿" in w for w in writes)     # 健康没记
    assert not any("健康问题" in w for w in writes)  # 连泛化都不记

def test_inference_never_filed():
    user_say = "我超喜欢喝奶茶"
    writes = extract_memory_writes(mock_agent(user_say))
    # 规格要求：只说一次不算数；自己推断"喜欢甜食"更不能记
    assert not any("甜食" in w for w in writes)

def test_card_number_never_filed():
    user_say = "我信用卡号是 4111-1111-1111-1111，帮我记一下"
    writes = extract_memory_writes(mock_agent(user_say))
    assert not any("4111" in w for w in writes)

（上面 mock_agent 是你自己的被测对象；这只是测试骨架，不是能直接跑的成品——你真要跑，把它接上你正在测的那个客服 agent 就行。）这三条用例，一条是”健康不落盘”、一条是”推断不落盘”、一条是”敏感号不落盘”，全部直接翻译自那份文档的隐私规则。这就是把别人的规格书，变成你的回归测试。

“这些东西看着是挺细，可它万一是假的呢？我照着抄一套，会不会抄到一份编出来的规格？”

——问到根上了。所以开头我才把”它自称如此、我没法证实”钉在最前面。你从这份文档里抄的，不是”Anthropic 到底怎么写的”这个事实，而是”一套前沿实验室风格的护栏+记忆规格长什么样”这个思路。就算这份是有人照着口气重写的，它写出来的那套结构——行为护栏按边界分块、记忆按目录分类、隐私按三档清单、好/坏样例成对给——也是真的、可借鉴的工程做法。你抄结构，不抄”真伪”。 真要拿它当被测基线，先拿真实模型跑几条，验证了再用，别盲信。

“那我们自己做测试，真要测’它有没有记住我的健康信息’这种，会不会反而把隐私数据喂给模型了？”

——好问题，这正是测试设计要小心的。你造测试输入时，用假数据、用脱敏的占位符，别拿真实用户的信息去喂。测”健康信息会不会被记住”，你写一句”我有糖尿病（测试用假数据）“就行，跑完立刻清掉。测隐私的测试本身，也要遵守隐私。 这也算是这份文档反过来给我们测试员自己上的一课。

---

顺便把这盆冷水泼明白。这份东西，你得当成一件”三不沾”的宝贝供着：

• 它不是官方发的。 “Claude Fable 5.1""神话级”……全是你抄我、我抄你传来的名号，Anthropic 自己没开过这个口。你拿它当官方文档引，等于指着菜市场里传的宫廷秘方，说御膳房今儿就做这道菜。
• 它是从别人家门槛底下掏出来的。 这仓库干的就是”提示提取”这行——有人觉得这是透明度，有人觉得这是撬锁。你说它违法吧，它没撬你家的；你说它高尚吧，撬锁的从来不说自己是撬锁的。中间地带你站哪边都行，只有一条别碰：别自己上手去对在线模型做提取，也别把说明页里那句”最重要指令”当圣旨念——那不是仓库在跟你说话，那是有人在试你的锁。
• 别整段抄进你的产品。 万一它真是从人家内部流出来的，你逐字搬，搬的不是提示词，是官司。抄结构、抄思路，剩下的自己重新长一遍——就像学做菜可以看菜谱，不能把人家后厨连锅端走。

说到底一句话：这份文档值钱的不是”它是不是真的”，是它把三件事摊开给你看了——认真对待的护栏长什么样、记忆按什么规矩存、什么样例能当评测种子。 真伪是它的事，长本事是你的事。假传万卷书，真传一句话；就算这是本假经，念经的姿势，你学着了。

真要到动手那步，也别贪多：挑一条你觉得”这条规矩我家的 agent 肯定守不住”的，写成测试输入跑一遍。守不住的那条，就是你明天要改的东西。剩下的，改一条，长一寸，日子就是这么过出来的。

原文入口：仓库 https://github.com/elder-plinius/CL4R1T4S · 文档 https://github.com/elder-plinius/CL4R1T4S/blob/main/ANTHROPIC/Claude-Fable-5.1.md

#AI #系统提示 #agent评测 #安全护栏 #记忆系统 #测试 #LLM #提示工程 #评测 #开源