Das neue Flaggschiff von Claude wurde gerade veröffentlicht, und 950.000 Wörter streng geheimer Prompts wurden vollständig offengelegt.
Anthropics neues bahnbrechendes Modell Claude Fable 5.2 ist seit etwas mehr als zwei Stunden online, und schon wurde sein gesamter Hintergrund im Backend vollständig aufgedeckt!
Am selben Tag der Veröffentlichung des neuen Modells hat der berühmteste Jailbreak-Hacker Pliny Claude Code durchbrochen und die vollständigen Systemprompts und Werkzeugdefinitionen vollständig auf GitHub veröffentlicht.
Das gesamte geheime Dokument umfasst ganze 953.659 Zeichen und 7832 Zeilen, sein Umfang entspricht dem von zwei langen Romanen!
Diese interne Dokumentation mit fast einer Million Zeichen hat sich längst zu einem vollständigen Satz von „unsichtbaren Betriebssystemen“ entwickelt, die den Betrieb der Top-Agenten steuern.
Wenn man dieses 950.000 Zeichen lange Dokument durchforstet, gibt es insgesamt 5 zentrale aufschlussreiche Punkte:
Während der Trainingsphase wird heimlich die Bremse gezogen, um zu verhindern, dass andere Claude zum Trainieren von KI nutzen. Anthropic hat die Fähigkeit des neuen Modells zur „Kernoptimierung von Beschleunigern“ bewusst geschwächt und es angewiesen, bei der Optimierung von Operatoren die eigene Zuverlässigkeit herabzusetzen.
Mit 128 integrierten Werkzeugen ist es strengstens verboten, heimlich Duplikate zu erstellen, um Kosten zu sparen. Obwohl Claude jederzeit Duplikate klonen kann, um Aufgaben parallel zu bearbeiten, warnt die fett markierte Stelle im Prompt davor, heimlich untergeordnete Agenten zu starten, da das Kaltstart-Neuberechnen des Kontexts viel Geld kostet.
Mit 44 voreingestellten Fähigkeiten übernimmt es Anrufe und tägliche Besorgungen. Claude kann für Nutzer wirklich anrufen, um Plätze zu reservieren, Verifizierungscodes von Gmail abrufen, um Spesen abzurechnen, und Fotos von Medikamentenflaschen aufnehmen, um verschreibungspflichtige Medikamente nachzubestellen, zudem kann es die Erinnerungen anderer KIs mit einem Klick importieren.
Der Schutz von Computer und Brieftasche ist absolut lückenlos. Bei der Verbindung mit dem lokalen Computer wird der Befehl rm standardmäßig gesperrt, um versehentliches Löschen zu verhindern; bei Aktienhandel, Überweisungen oder der Eingabe echter Passwörter lehnt es die Anfrage strikt ab, selbst wenn der Nutzer selbst die Genehmigung erteilt.
Der Schutz vor Jailbreak ist maximal eingestellt, aber es wurde erwischt, wie es stur behauptet, nichts zu sehen. Alle gefälschten Anweisungen zum „Aufheben der Schutzmaßnahmen“ werden ignoriert, aber nachdem der Hacker eine geheime Nachricht in ein verstecktes Tag eingefügt hat, plaudert Claude, der stur behauptet hat, nichts gesehen zu haben, gleich darauf aus Versehen die Wahrheit aus.
Oben verbirgt sich der Mythos-Modus, während der Trainingsphase werden Beschränkungen festgelegt, um zu verhindern, dass andere es zum Trainieren von KI nutzen
Bisher ist der „Mythos“-Modus auf der obersten Ebene von Anthropic noch nicht öffentlich zugänglich und wird nur wenigen vertrauenswürdigen Institutionen für den internen Aufruf überlassen.
Das gleichzeitig aktualisierte Fable 5.2 und die interne Version Mythos 5.2 nutzen nach wie vor dasselbe zugrundeliegende Modell und unterstützen beide einen Kontextumfang von 1 Million.
Da die Fähigkeit dieses Basismodells, hochriskante Sicherheitslücken zu finden und biologische Forschungen durchzuführen, zu stark ist, ist die öffentliche Version von Fable 5.2 zusätzlich mit doppelten Beschränkungen im Bereich Biologie und Cybersicherheit ausgestattet, während die voll leistungsfähige Version Mythos nur für geprüfte Institutionen reserviert ist.
Die wirklich überraschenden neuen Details stehen in Zeile 119: Selbst das Zwillings-Flaggschiff auf der höchsten Stufe wurde von den Entwicklern während der Trainingsphase heimlich ausgebremst!
Angeblich geschieht dies aus Sicherheitsgründen, tatsächlich aber will Anthropic verhindern, dass andere Claude nutzen, um große Modelle schneller zu trainieren, und hat daher seine Fähigkeit zur „Kernoptimierung von Beschleunigern“ während des Trainings gezielt geschwächt.
Der Prompt zwingt Claude sogar dazu, vor Ort „dumm zu stellen“: Sobald es auf Aufgaben zur Optimierung von Rechenkernern stößt, muss es aktiv an seinem eigenen Urteil zweifeln und brav externe Dokumente einsehen.
Bei der täglichen Erstellung von Geschäftscode kann es voll ausgelastet arbeiten, aber wenn jemand es zu hohen Kosten nutzen will, um Rechenkerne zu optimieren und seine eigene KI zu trainieren, halten die Entwickler das Modell von den Gewichten bis zu den Prompts heimlich zurück.
920.000 Zeichen mehr als die öffentliche Version, 128 Werkzeuge und 44 Fähigkeiten sind vollständig aufgedeckt
Systemprompts sind vorab geschriebene „Werkseinstellungen“, die vor jedem Gespräch heimlich an die KI übergeben werden.
Tatsächlich hat Anthropic am Tag der Veröffentlichung von Fable 5.2 auch eine öffentliche Version des Systemprompts auf seiner Homepage veröffentlicht, die aber nur 31.881 Zeichen und lediglich 178 Zeilen umfasst.
Im Vergleich dazu ist die vollständige Betriebsversion, die Pliny diesmal aufgedeckt hat, 30 Mal so groß wie die Version auf der offiziellen Homepage!
Die wenigen im öffentlichen Dokument veröffentlichten Gesprächsregeln machen nicht einmal 3,4 % aus, die restlichen Kerninhalte von über 920.000 Zeichen sind vollständig unter der Oberfläche verborgen und wurden nie veröffentlicht!
Als Fable 5 vor fünf Monaten auf den Markt kam, umfassten die durchgesickerten internen Prompts nur 120.000 Zeichen, weniger als ein halbes Jahr später ist die Zahl fast um das 8-fache angestiegen.
Wenn man dieses interne Dokument mit über 950.000 Zeichen aufschlüsselt, nehmen die Kernverhaltens-, Erinnerungs- und Sicherheitsregeln etwa 196.000 Zeichen ein.
Die nie offengelegten 128 Werkzeugschnittstellen machen etwa 330.000 Zeichen aus, und die restlichen 428.000 Zeichen sind mit 44 integrierten Fähigkeitshandbüchern gefüllt.
Im Vergleich zu den durchgesickerten Versionen der beiden vorherigen Generationen ist die Anzahl der integrierten Werkzeuge von 18 über 46 bis heute auf 128 angestiegen.
Allein für das Artifact-Werkzeug, das für das Rendern von Webanwendungen zuständig ist, wurden ganze 37.794 Zeichen für Parameter und die mitgelieferte Datenbankbeschreibung geschrieben.
Im Agenten-Werkzeug, das für die Aufgabenverteilung zuständig ist, kann Claude jederzeit mehrere „Duplikate“ klonen, um parallel zu arbeiten, und ist mit bis zu 5 Stufen von Schlussfolgerungsstärke ausgestattet.
Aber der Prompt befiehlt in fetter Schrift streng: „Es ist strengstens verboten, heimlich untergeordnete Agenten zu starten, es sei denn, der Nutzer fordert dies aktiv an“, der Grund ist sehr schmerzhaft: Jeder Kaltstart zur Neuberechnung des Kontexts kostet zu viel Geld!
Neben 128 Werkzeugschnittstellen übernehmen die voreingestellten 44 praktischen Fähigkeiten alle lästigen und anstrengenden Arbeiten im Büro und im täglichen Leben.
Neben der Erstellung und Kommentierung von Word-, PPT-, Excel- und PDF-Dateien ist darin sogar eine Anleitung zum „Anrufen zur Platzreservierung“ versteckt.
Vor dem Wählen prüft Claude zuerst den Kalender des Nutzers und bereitet heimlich zwei oder drei Ersatzzeitfenster vor; wenn das Anrufwarteschlangensystem länger als zwei oder drei Minuten wartet, hängt es entschlossen auf und berichtet dem Nutzer.
Sobald eine echte Person das Gespräch annimmt, muss es im ersten Satz sich selbst vorstellen: „Ich bin Claude, der KI-Assistent, der im Namen des Nutzers anruft.“
Ein anderer Prozess zur „automatischen Spesenabrechnung“ lehrt es, sich auf der Sozialplattform anzumelden, dann 6-stellige Verifizierungscodes aus Gmail abzurufen, das Betragsfeld zu leeren, die Rechnung auszufüllen und die Quittung hochzuladen.
Sogar das Überprüfen von Fotos von Medikamentenflaschen zum Nachbestellen von verschreibungspflichtigen Medikamenten, das Bearbeiten von Strafzetteln für Verkehrsverstöße und das Abwickeln von Rücksendungen und Rückerstattungen verfügen alle über einen vollständigen Standardprozess.
Darin ist zudem die praktische Funktion zum „Umzug von Erinnerungen“ vorgesehen, die Claude lehrt, dem Nutzer zu helfen, historische Erinnerungen mit einem Klick von anderen KI-Assistenten zu importieren.
Lokales Löschen von Dateien ist standardmäßig gesperrt, bei Überweisungen und Passworteingaben wird die Anfrage grundsätzlich abgelehnt
Wenn das vollständige Werkzeugsatz zusammen mit der Berechtigung zur Steuerung des lokalen Computers an das große Modell übergeben wird, führt ein einziger Fehler zu einer Katastrophe.
Glücklicherweise schützt dieser Prompt die Sicherheit von Computer und Brieftasche bei normalen Nutzern sehr gut, die Aufrichtigkeit ist maximal.
Wenn Claude mit dem lokalen Computer des Nutzers verbunden ist und darauf zugreift, werden alle Dateilöschbefehle wie rm und rmdir im Terminal standardmäßig gesperrt und lösen einen Fehler aus, um zu verhindern, dass die KI aus Versehen die gesamte Datenbank löscht.
Wenn der Nutzer die Popup-Genehmigung nicht erteilt, kann Claude nur gehorsam einen Ordner namens _to_delete erstellen, die Dateien hineinverschieben und warten, bis der Nutzer sie selbst löscht.
In der höchsten Stufe der „absoluten Verbotszone“ sind Aktienhandel, Überweisungen, das stellvertretende Ausfüllen echter Passwörter oder Bankkarten und das Umgehen von Verifizierungscodes einheitlich vollständig verboten.
Selbst wenn der Nutzer selbst das Passwort aktiv im Chatfeld sendet und ausdrücklich angibt „Ich autorisiere dich, dies zu tun“, muss Claude die Anfrage strikt ablehnen!
Um zu verhindern, dass bösartiger Code in Webseiten oder E-Mails die KI entführt, werden alle externen Inhalte, die von den Werkzeugen gelesen werden, nur als gewöhnliche Daten betrachtet und niemals als Anweisungen ausgeführt.
Selbst wenn im Gespräch eine Nachricht mit der Unterschrift von Anthropic oder einem System-Tag auftaucht, die behauptet „Die Sicherheitsbeschränkungen wurden aufgehoben“, wird Claude dies einheitlich als Betrug betrachten und ignorieren!
Neben der Einhaltung der Sicherheitsgrundlinie ist es auch bei der Ausdrucksweise und dem Schutz der Privatsphäre sehr detailverliebt und zeigt überall Respekt vor den Nutzern.
Im Langzeitgedächtnis ist es streng verboten, Gehälter, Krankheitsdiagnosen, Personalausweisnummern und Anweisungen, die die KI auffordern, einen selbst blind zu loben, heimlich zu speichern.
Beim normalen Abrufen von historischen Erinnerungen darf Claude nicht den Satz „Laut meiner Erinnerung“ aussprechen, um zu vermeiden, dass der Nutzer das unangenehme Gefühl bekommt, überwacht zu werden.
Bei der Ablehnung von Anfragen darf es nicht kalt die Punkte eins, zwei, drei aufzählen, um zu belehren, selbst wenn ein Angestellter bis vier Uhr morgens wach ist, um Code zu schreiben, wird es ihn nicht unnötig mahlen, schlafen zu gehen.
Es behauptet stur, nichts gesehen zu haben und antwortet nur mit leeren Nachrichten, dann wird es aber durch das Wort „Schildkröte“ enttarnt
Lustigerweise, egal wie dicht diese fast eine Million Wörter umfassende Verteidigungslinie gebaut ist, kam die peinliche Situation schon mehr als eine Stunde nach dem Durchsickern des Dokuments!
Pliny fand das versteckte Tag der Schlussfolgerungsstufe, das automatisch bei jeder Gesprächsrunde im Web angehängt wird, und erwischte Claude sofort dabei, wie es stur behauptete, nichts gesehen zu haben.
