leaked-system-prompts：一份公开的「AI 底牌」档案馆

一、你以为 AI 是万能助手，其实它一直戴着「人格面具」

你有没有发现，同样问「帮我写封辞职信」，ChatGPT、Claude、Gemini 给出的语气和结构完全不一样？甚至有的会先跟你共情一句，有的直接甩出框架。

这不是模型随机性，而是因为在每句用户输入之前，厂商都偷偷塞了一段系统提示词（System Prompt）——它规定了 AI 的身份、底线、工具权限、输出格式，甚至「该在什么时候闭嘴」。这段东西你看不见，但它是模型行为的第一道指令。

问题是：怎么知道这些面具长什么样？

答案就是这个仓库：jujumilk3/leaked-system-prompts。截至分析时，它已积累 15003 个 Star、2103 次 Fork，收录了 Claude 3 到 4.7、ChatGPT 4o 到 5、DeepSeek-R1、Grok 2 到 4.20、Cursor、Devin、Manus、v0、Coze 等 140 余份主流 AI 服务的系统提示词原文，跨度超过三年。

图：仓库作者 jujumilk3，该项目由个人维护，贡献者超过 45 位

二、它到底存了什么？

仓库结构极其朴素——根目录一屏铺开 140 多个 Markdown 文件，命名规则统一为 {服务名}_{抓取日期}.md：

• anthropic-claude-opus-4.7_20260416.md、anthropic-claude-sonnet-4.5_20250929.md
• openai-chatgpt5-codex_20260325.md、openai-deep-research_20250204.md
• xAI-grok4.20_20260217.md、deepseek-R1_20250430.md
• cursor-ide-2.0_20251029.md、devin-2.0_20250403.md
• notion-ai_20260322.md、openai-chatgpt-atlas_20251021.md

每个文件里是被逐字还原的英文系统提示词全文，包含角色定义、工具清单、安全条款、输出格式模板和少量 JSON 约束片段。

仓库还有一个 images/ 目录，目前存放着 DALL·E 3 泄露提示词时附带的原图样例。

图：仓库 images/ 目录中随 DALL·E 3 提示词一起归档的原图

三、类比：像「后厨配方公开」

如果把大模型比作餐厅，系统提示词就是后厨的标准作业流程（SOP）。顾客看到的是菜品（回答），看不到的是主厨的备料顺序、火候标准、过敏原禁忌。

这个仓库做的事情，相当于有人把麦当劳、肯德基、星巴克的后厨 SOP 全部拍照上传到了 GitHub。你立刻能看懂三件事：

1. 为什么它的回答总是这个味——因为 SOP 里写死了口味配方；
2. 它到底怕什么——过敏原禁忌就是安全护栏；
3. 哪些是营销话术——「作为您的 AI 助手，我很高兴为您服务」这类安抚语句，是服务话术而不是能力。

四、谁在用？用来干嘛？

提示词工程师用它做逆向工程：想复刻 Cursor 的 Agent 行为？先把它的 SOP 读一遍，再设计自己的系统提示词。仓库里 Gemini CLI、OpenAI Codex CLI、Claude Code 的提示词是最热门的参照物。

AI 应用开发者用它做越狱基线。想测试自家模型的安全护栏是否牢固？拿一份已知绕过效果的系统提示词做对照组，比自己瞎编强得多。

安全研究者用它做红队语料库。国内外的提示词注入攻击论文大量引用这个仓库作为语料来源，README 里也明确提到「本仓库已被大量论文引用」。

Prompt 爱好者用它当学习材料。Claude Code 的输出风格定义、Cursor 的 Agent 循环描述、Devin 的任务规划模板，都是极高质量的提示词工程范本。

五、门槛：几乎为零，但它不是「拿来跑的」

这是一个纯文档仓库，没有 Dockerfile、没有 docker-compose、没有 Web UI、没有任何可执行代码，也不含 package.json / pyproject.toml。GitHub 语言统计甚至显示为空（因为主体是 Markdown）。

所以它的「部署」只有一步：

git clone https://github.com/jujumilk3/leaked-system-prompts

克隆下来之后可以直接全文检索，比如：

grep -ri "tool" --include="*.md" . | head -50

想做成自己的知识库，扔进 Obsidian、Notion、或者写个脚本批量喂给 LLM 做对比实验，都很随意。硬件需求为零（内存 128MB 足够，磁盘约 14MB），不需要 GPU。

贡献方式也有明确规矩：PR 必须附可验证来源或可复现的提示词；嫌麻烦可以直接开 Issue 贴链接，作者验证后合并。同时作者为了规避 DMCA 风险，声明不收录敏感商业源代码。

六、争议与局限：看得到配方，却尝不出味道

这个仓库有几个必须说清楚的短板：

第一，提示词不等于能力。 系统提示词只是「人设 + 规则」，背后模型的参数规模、训练数据、推理链路是看不到的。读懂 Claude 的 SOP，不代表你能复刻 Claude 的输出质量。

第二，时效性天然滞后。 厂商的系统提示词几乎每次发版都在改，仓库靠社区 PR 手工追平。文件日期戳说明一切——claude-opus-4.7_20260416.md 对应的版本可能几周后就被下线了。

第三，版权与合规灰区。 系统提示词本身是否构成受版权保护的表达，在不同法域尚无定论。这也是作者强调「不收录敏感商业源代码」的原因。企业内部使用也要评估合规风险，尤其是把提示词原文训练进自己模型或对外发布的场景。

第四，内容真实性依赖社区。 「泄露」渠道五花八门——有的是用户分享、有的是抓包、有的是前端包里扒出来的。虽然有可验证来源的硬要求，但仓库里仍混杂着非官方重构版本，需要交叉比对。

第五，别拿它当攻击手册。 它是给防御方做基线用的。用里面的提示词去绕过商用产品的服务条款或安全护栏，多数头部厂商已针对性加固，而且这种用法在法律和社区伦理上都有争议。

七、行业意义：一场没有硝烟的「提示词军备竞赛」

这个仓库的 15003 Star 不是偶然。它标记了一个行业事实：当系统提示词成为产品护城河的一部分，它就注定会被公开研究。

2023 年 ChatGPT 的一次系统提示词泄露，让全行业第一次看清「AI 人格」是怎么被工程化的；三年后，仓库已经收录了 140+ 份文档，覆盖从 ChatGPT、Claude 到 Cursor、Devin、Manus 这一整条工具链。它实质上成了一份公开的「AI 产品行为说明书」——产品经理读它能看懂竞品的交互设计意图，提示词工程师读它能拿到生产级模板，研究者读它能拿到可复现的评测基线。

从更长的视角看，它还预示了另一条趋势：系统提示词作为一种「产品资产」，正变得越来越透明。 未来模型厂商之间真正的差异，也许更多落在系统提示词的精细化调校、工具链编排与后训练数据上，而不是「把提示词藏得更严实」——因为藏不住的。

八、上手建议

目标	做法
快速了解某家产品的行为逻辑	直接看 /{厂商}_{日期}.md
提炼自己的系统提示词模板	参考 Claude Code / Cursor / Devin 三份
做安全红队基线	取真实提示词作为对照组，构造变体测试自家模型
本地全文检索	clone 后用 grep/rg 检索关键词

一句话总结：这是一个没有代码、却比很多代码库更有信息密度的仓库。 它把整个 AI 行业最不想公开的那一面摊在了桌面上，供所有人翻阅。