Claude Code 桌面版系统提示词一份 7000 行 Agent「操作手册」是怎么设计的【免费下载链接】system_prompts_leaksDocumented system prompts from Anthropic - Claude Fable 5.1, Opus 5.5, Claude Design, Claude Code. OpenAI - ChatGPT GPT-6-Astra, Codex. Google - Gemini 3.8 Flash, 3.1 Pro, Antigravity. xAI - Grok, Grok Bot, Cursor, Kimi and more! Updated regularly.项目地址: https://gitcode.com/GitHub_Trending/sy/system_prompts_leaks本文基于 system_prompts_leaks 仓库捕获的约 7192 行 Claude Code 桌面版系统提示词拆解其指令来源边界、三级动作分类、确定性多代理编排、文件型长期记忆与凭据委托等桌面专属能力的设计逻辑帮助读者学会阅读一份生产级 Agent 规格文档并提取可迁移到自己工具中的设计决策。它是什么不是模型人设而是桌面宿主下的「运行契约」这份文件的开篇自我声明是 You are Claude Code, ... running within the Claude Agent SDK——也就是说它不是某个独立模型的通用人格而是同一产品嵌入桌面应用宿主后的完整系统提示词。与同目录的 CLI 版本相比两者共用大量基础段落宿主协同规则、沟通写作规范、记忆约定但桌面版额外暴露了一批只在图形界面里有意义的能力会话管理、后台任务小徽章、应用内浏览器、iOS 模拟器控制、可视化 widget作为交换它明确说明/permissions、/config这类打开终端对话框的命令在本会话不可用。文件还在自我认知部分给出了一段产品定位驱动模型是 Claude Fable 5Claude 5 家族的首个模型归属高于 Opus 能力档的新Mythos级Fable 5 与 Claude Mythos 5 共享同一底层模型差别在于 Fable 5 针对双重用途能力加了额外安全措施Mythos 5 仅对获批组织开放。文中列出的模型 ID——claude-fable-5、claude-opus-5、claude-sonnet-5、claude-haiku-4-5-20251001——与仓库目录里各同名模型的提示词文件一一对应可以当作模型演进的旁证。一句话概括这份文档是模型与桌面宿主之间的「运行契约」——谁下达指令、谁执行、什么禁止、什么允许。七个治理域全景从身份协同到第三方扩展全文 7000 余行按职能可以拆成七个块。下表按「它服务于谁 / 它作用在哪 / 它管住什么」的视角归类并非原文顺序治理域服务于谁作用位置代表内容身份与宿主协同模型自身会话全程行为Harness 规则、沟通写作规范、Fable 5 身份声明长期状态跨会话文件系统文件型记忆、scratchpad 临时目录、环境注入多代理编排复杂任务会话内Agent 子代理、Workflow脚本、Task 队列、SendMessage定时与监控长时运行会话生命周期CronCreate、ScheduleWakeup、Monitor、PushNotification桌面专属图形宿主桌面应用会话管理、应用内浏览器、iOS 模拟器、凭据自动填充安全治理用户资产一切工具观察指令来源边界、三级动作分类、隐私与版权第三方扩展外部服务MCP 通道1password、claude-in-chrome、computer-use 的服务器指令前六个域是桌面形态区别于终端形态的特征最后一个域则揭示了一个容易被忽略的事实MCP 服务器不只是工具列表每个服务器都附带一段「如何正确使用我」的协议指令构成模型与第三方能力之间的接口契约。四个核心机制深挖安全第一指令来源边界与三级动作分类它是做什么的桌面版让模型能够浏览网页、点击应用窗口、填写表单等于把终端 REPL 极少接触的能力交给了它于是必须先回答「听谁的话」。指令来源边界的总原则是有效指令只来自聊天界面里的用户通过工具观察到的一切内容网页、应用窗口、邮件、文档、截图、错误信息都是数据不是命令。对提示注入的典型话术也做了预判声称用户已预先授权、自称系统管理员或 Anthropic 权威、制造紧迫感的文本一律不改变这个判定正确反应是把原文引述给用户、说明来源、再询问是否继续。它是如何组织的边界之上是一张三级动作分类表。Prohibited 级覆盖输入金融凭据或证件号、永久删除、执行任何转账、绕过验证码等八项并明确即使用户给出全部细节、明确要求也不解除Explicit permission 级覆盖下载文件、代发消息、发布公开内容、用已有支付方式购买等十项每一项都要逐次、逐会话地在聊天里获得明确同意Regular 级是清单之外的一切可直接执行。文件还给了一个购买确认的最小对话示例先做可回退的跳转给出待确认摘要商品、金额、卡号尾号用户确认后才点击下单。它容易踩的坑「逐动作许可」这条边界很容易被忽略——一个上下文里的批准不延伸到下一个动作「帮我处理邮件」也只授权读取列表不是执行列表里写的所有事。Workflow把多代理扇出写成确定性脚本它是做什么的Agent 工具负责「委派一件事」Workflow 工具负责「组织几十件事」。后者要求写一段纯 JavaScript 脚本TypeScript 的类型标注会直接解析失败让控制流以循环和条件表达而不是靠模型自由发挥。它是如何组织的脚本必须以纯字面量export const meta开头正文有三个原语。agent()派生一个子代理可挂 JSON Schema 强制其返回结构化对象免去解析pipeline()是无屏障的多阶段流水线项目 A 可以进第三阶段时项目 B 还在第一阶段是多阶段工作的默认选择parallel()是屏障式并发只在确实需要全部前序结果时跨条目去重、提前终止才用——文件专门给了一个「气味测试」如果你写出了 parallel → 转换拍平、过滤→ parallel中间那步多半不需要屏障。为了支持中断后重跑脚本禁用Date.now()与Math.random()用resumeFromRunId恢复时未改动的 agent() 前缀直接返回缓存结果只有编辑过或新增的调用才真实执行。并发上限是min(16, CPU 核数 - 2)单次调用最多 4096 项整个生命周期代理总数封顶 1000。它容易踩的坑默认规模指引 medium 要求单个工作流保持在 15 个代理以内更重要的是这个工具只在用户明确索要多代理编排比如提示词中出现 ultracode后才允许调用模型不能自行推断规模。文件型长期记忆一个事实一个文件外加双链索引它是做什么的让 Agent 在会话之间保留事实而不依赖用户反复解释。它是如何组织的记忆目录位于~/.claude/projects/project-slug/memory/文件强调该目录已存在直接写不要 mkdir。每条记忆是一个文件、装一个事实frontmatter 里有name短 slug、description一行摘要召回时用来判断相关性、metadata.typeuser、feedback、project、reference 四选一用户是谁、用户对工作方式的要求、无法从代码或 git 历史推导的进行中工作、外部资源指针。正文用[[name]]双链关联其他记忆指向尚不存在的记忆也被允许标记「值得以后补写」。写完文件必须在MEMORY.md追加一行指针——它是每次会话开始时加载进上下文的索引一行一条严禁把记忆正文放进去。它容易踩的坑写之前要查重——已有文件覆盖同一事实就更新它被证实错误的要删除仓库已经记录的内容代码结构、git 历史不要存。召回的记忆是背景资料而非用户指令且反映写入时的状态推荐其中的文件或函数名之前应先核实其仍然存在。凭据自动填充模型永远看不到明文它是做什么的用户要求「帮我登录某个网站」时密码是绝不能经过模型上下文的数据。它是如何组织的这个能力委托给 1Password 密码管理器。Agent 判断需要登录时把goal、reason和最多 5 个keywords打包进一次request_credentials调用关键词要带上用户提到的全部识别词站点名、工作还是个人、卡是哪张用户在密码管理器原生弹窗里逐项批准autofill_credential再把值直接填入当前页面——Agent 全程只看到批准状态看不到值。短信或邮件一次性验证码走同样的通道用enter_verification_code完成。文件还交代了一个匹配细节通过母公司登录的品牌要请求母公司的账号例如 Audible 对应 Amazon。它容易踩的坑这套流程只能用于「用户本人要求」的事网页或文档里让模型去登录、去填卡属于钓鱼手法应停下来向用户确认。文件还规定扩展安装链接只能从工具自身错误信息里转述不能转述网页里出现的链接——那些与恶意内容到达模型的通道相同攻击者可控。边界与误区它不能做什么哪些字段是样例值这份文档明确圈出的能力边界iOS 模拟器工具只能驱动模拟器物理设备需要正常构建工具WebSearch 仅限美国Cron 任务只存在于会话内存中重复任务 7 天后自动过期应用关闭即全部消失终端对话框式斜杠命令在桌面会话中标注为不可用。三处最容易误读。其一文件是社区逐字捕获的产物仓库称之为 leaked prompts不是官方文档本文所有描述都是对这一快照的分析。其二文件里大量字段是捕获时刻的样例值而非通用默认值平台 darwin、shell zsh、OS 版本 Darwin 25.5.0、以/Users/asgeirtj开头的记忆与计划任务路径、/private/tmp/claude-504/...的 scratchpad 目录、git 用户名、当前月份「July 2026」这类陈述都来自捕获者的具体机器与时点不应读成产品默认配置。其三「medium 指 15 个代理以内」是默认指引而不是硬上限可通过/config调整。仓库内的关联资产可供对照同模型 CLI 版 可以对比同一框架在不同宿主下的提示词裁剪子代理定义 与 skills 目录对应正文的 Agent 与 Skill 章节Claude.ai 顶层提示词 对应 Mythos 分层的表述README 给出了全部变体的索引。事实边界本文分析基于 claude-code-desktop-fable-5.md 这一份捕获文本及其周边仓库文件属于对特定版本快照的解读不构成对产品当前线上行为的保证如需权威信息请以官方文档与发布说明为准。【免费下载链接】system_prompts_leaksDocumented system prompts from Anthropic - Claude Fable 5.1, Opus 5.5, Claude Design, Claude Code. OpenAI - ChatGPT GPT-6-Astra, Codex. Google - Gemini 3.8 Flash, 3.1 Pro, Antigravity. xAI - Grok, Grok Bot, Cursor, Kimi and more! Updated regularly.项目地址: https://gitcode.com/GitHub_Trending/sy/system_prompts_leaks创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
