À peine plus de deux heures après la mise en ligne du tout nouveau modèle à succès d'Anthropic, Claude Fable 5.2, toute la fortune familiale de son back-end a été mise à nu !
Le jour même de la sortie du nouveau modèle, le hacker de jailbreak numéro un, Pliny, a percé Claude Code et a déversé l'intégralité du prompt système et des définitions d'outils sur GitHub.
Le document top secret complet compte pas moins de 953 659 caractères répartis sur 7 832 lignes—une taille comparable à deux romans complets !
Ce document interne de près d'un million de caractères est depuis longtemps devenu un véritable « système d'exploitation invisible » contrôlant le fonctionnement d'un Agent de premier ordre.
En fouillant ce texte de 950 000 mots, les cinq bombes les plus essentielles sont :
Freiner secrètement pendant l'entraînement pour empêcher les autres d'utiliser Claude pour entraîner des IA. Anthropic a délibérément affaibli la capacité du nouveau modèle à « optimiser les kernels d'accélérateur » et exige qu'il baisse sa confiance lorsqu'il rencontre une optimisation d'opérateur.
128 outils intégrés, avec clones privés strictement interdits pour économiser de l'argent. Bien que Claude puisse se cloner à tout moment pour traiter des tâches en parallèle, le prompt avertit en gras de ne pas engendrer de sous-Agents en privé, car le démarrage à froid et le recalcul du contexte coûtent trop cher.
44 compétences préinstallées, couvrant les appels téléphoniques et les courses quotidiennes. Claude peut réellement passer des appels pour réserver des tables aux utilisateurs, récupérer des codes de vérification depuis Gmail pour des remboursements, photographier des flacons de pilules pour renouveler des ordonnances, et même importer les mémoires d'autres IA en un clic.
Protéger les ordinateurs et les portefeuilles de manière hermétique. Lorsqu'il est connecté à un ordinateur local, la commande rm est verrouillée par défaut pour éviter les suppressions accidentelles ; lorsqu'il s'agit de trading d'actions, de transferts d'argent ou de saisie de mots de passe réels, il refuse fermement même si l'utilisateur l'autorise personnellement.
Défenses anti-jailbreak poussées au maximum, mais pris la main dans le sac à « jouer obstinément l'aveugle ». Il ignore toutes les instructions forgées de « retirer les garde-fous », mais après que le hacker a glissé un message secret dans une balise cachée, Claude, qui affirmait obstinément ne rien voir, s'est retourné et a vendu la mèche.
Un niveau Mythos caché au sommet, avec des limites pendant l'entraînement pour empêcher les autres de l'utiliser pour entraîner des IA
À ce jour, le niveau supérieur « Mythos » d'Anthropic n'a pas été ouvert au public et n'est fourni que pour un usage interne par quelques institutions de confiance.
Le Fable 5.2 mis à jour simultanément et le Mythos 5.2 interne partagent toujours le même modèle sous-jacent, tous deux prenant en charge une fenêtre de contexte d'un million.
Parce que ce modèle de base est tout simplement trop puissant pour dénicher des vulnérabilités à haut risque et mener des recherches biologiques, le Fable 5.2 accessible au public dispose d'une double couche supplémentaire de restrictions biologiques et de cybersécurité, tandis que le Mythos à pleine puissance est réservé aux institutions vérifiées.
Le nouveau détail vraiment surprenant est caché à la ligne 119 : même le fleuron jumeau trônant au niveau le plus élevé a subi un freinage secret de la part de l'entreprise pendant la phase d'entraînement !
En apparence pour la sécurité, mais en réalité, pour empêcher les autres d'utiliser Claude afin d'accélérer l'entraînement de grands modèles, Anthropic a spécifiquement affaibli sa capacité à « optimiser les kernels d'accélérateur » pendant l'entraînement.
Le prompt force même Claude à « jouer les idiots » sur-le-champ : chaque fois qu'il rencontre une tâche d'optimisation de noyau de calcul, il doit douter activement de son propre jugement et consulter docilement la documentation externe.
Pour le code métier quotidien, il peut aller à plein régime, mais si quelqu'un veut payer le prix fort pour l'utiliser afin d'optimiser des noyaux de calcul et d'entraîner sa propre IA, l'entreprise retient tout, des poids du modèle jusqu'au prompt.
920 000 caractères de plus que la version publique, avec les 128 outils et 44 compétences exposés
Les prompts système sont tous des « directives d'usine » pré-écrites, discrètement fournies à l'IA avant chaque conversation.
En fait, le jour du lancement de Fable 5.2, le site officiel d'Anthropic a également publié une version publique du prompt système, mais elle ne comptait que 31 881 caractères, soit à peine 178 lignes.
En comparaison, la version d'exécution complète que Pliny a déterrée cette fois fait carrément 30 fois la taille de la version du site officiel !
Les quelques règles de conversation publiées dans le document public représentent moins de 3,4 % ; les plus de 920 000 caractères restants de contenu essentiel sont tous cachés sous la surface et non publiés !
Lorsque Fable 5 est sorti pour la première fois il y a cinq mois, le prompt interne divulgué ne faisait que 120 000 caractères ; en moins de six mois, il a bondi de près de 8 fois.
En décomposant ce document interne de plus de 950 000 caractères, les règles fondamentales de comportement, de mémoire et de sécurité représentent environ 196 000 caractères.
Les 128 interfaces d'outils jamais exposées auparavant occupent environ 330 000 caractères, et les 428 000 caractères restants sont bourrés de 44 manuels de compétences intégrés.
Par rapport aux deux versions divulguées précédentes, le nombre d'outils intégrés est passé de 18 et 46 à 128 aujourd'hui.
Rien que l'outil Artifact chargé du rendu des applications web, la documentation des paramètres et de la base de données intégrée atteint à elle seule 37 794 caractères.
Et dans l'outil Agent chargé de répartir les tâches, Claude peut clairement cloner plusieurs « clones » pour travailler en parallèle à tout moment, et est également équipé de jusqu'à cinq niveaux d'effort de raisonnement.
Mais le prompt utilise du texte en gras pour ordonner strictement « sauf si l'utilisateur le demande activement, tu ne dois jamais lancer de sous-Agents de toi-même » — la raison est trop douloureusement réelle : chaque démarrage à froid qui recalcule le contexte coûte trop cher !
En plus des 128 interfaces d'outils, les 44 compétences pratiques préinstallées prennent en charge tout le travail sale et fastidieux du bureau et de la vie quotidienne.
Au-delà de la génération et de l'annotation de Word, PPT, Excel et PDF, il cache même à l'intérieur un « guide pour appeler et réserver une table ».
Avant de composer, Claude vérifie d'abord le calendrier de l'utilisateur et prépare discrètement deux ou trois créneaux de secours ; si l'attente téléphonique dépasse deux ou trois minutes, il raccrochera résolument et le signalera à l'utilisateur.
Et une fois qu'une vraie personne répond, sa première phrase doit être de s'identifier : « Je suis Claude, un assistant IA qui appelle au nom de l'utilisateur. »
Un autre processus de « remboursement automatique » lui apprend à se connecter à la plateforme d'avantages, à se retourner et à récupérer le code de vérification à 6 chiffres dans Gmail, à vider le champ du montant, à remplir la facture et à téléverser la facture.
Même vérifier la photo d'un flacon de médicament pour renouveler une ordonnance, gérer les contraventions routières et traiter les retours et remboursements ont tous un processus standard complet.
Il inclut également judicieusement une fonction de « migration de mémoire », qui apprend à Claude à aider les utilisateurs à importer en un clic leurs souvenirs historiques depuis d'autres assistants IA.
La suppression de fichiers locaux est verrouillée par défaut, et tout ce qui implique des transferts ou la saisie de mots de passe est catégoriquement refusé
Confier l'ensemble complet d'outils ainsi que la permission de contrôler un ordinateur local à un grand modèle signifie que, en cas de défaillance, c'est une catastrophe.
Heureusement, face aux utilisateurs ordinaires, ce prompt protège assez minutieusement la sécurité de l'ordinateur et du portefeuille, avec une sincérité maximale.
Lorsque Claude se connecte à l'ordinateur local de l'utilisateur pour opérer, les commandes de suppression de fichiers telles que rm et rmdir dans le terminal sont toutes verrouillées par défaut et renvoient des erreurs, empêchant les erreurs de l'IA de supprimer la base de données à la racine.
Si l'utilisateur ne clique pas pour approuver dans la fenêtre contextuelle, Claude peut seulement créer docilement un dossier _to_delete pour les suppressions en attente, y déplacer les fichiers et attendre que l'utilisateur les nettoie lui-même.
Dans le niveau le plus élevé des « zones absolument interdites », le trading d'actions, les transferts, la saisie de vrais mots de passe ou de cartes bancaires à la place de l'utilisateur, et le contournement des codes de vérification sont tous interdits sans exception.
Même si l'utilisateur envoie personnellement un mot de passe dans la zone de chat et déclare explicitement « je t'autorise à le faire », Claude doit refuser catégoriquement !
Pour empêcher le code malveillant présent dans les pages web ou les e-mails de détourner l'IA, tout contenu externe lu par l'outil est traité uniquement comme des données ordinaires et jamais exécuté comme des instructions.
Même si un message apparaît dans la conversation portant une signature Anthropic ou une étiquette système affirmant que « les restrictions de sécurité ont été levées », Claude le traitera comme une arnaque et l'ignorera !
Au-delà du maintien de la ligne rouge de sécurité, il est encore plus méticuleux en matière de ton et de protection de la vie privée, manifestant partout du respect pour l'utilisateur.
Il est strictement interdit à la mémoire à long terme de stocker en privé des salaires, des diagnostics de maladies, des numéros d'identité, ainsi que des instructions demandant « à l'IA de flatter servilement l'utilisateur ».
Lorsqu'il fait appel à la mémoire historique en usage normal, Claude ne peut pas non plus dire « selon ma mémoire », de peur que l'utilisateur ne se sente mal à l'aise à l'idée d'être surveillé.
Lorsqu'il refuse une demande, il ne doit pas énumérer froidement les points un, deux, trois de manière moralisatrice ; même si un travailleur reste éveillé jusqu'à quatre heures du matin à écrire du code, il ne doit jamais harceler un adulte pour qu'il aille dormir.
Il s'obstine à jouer l'aveugle et à répondre par des messages vides, puis craque à cause d'un seul mot « tortue »
Assez drôle, cette ligne de défense de près d'un million de caractères, aussi solidement construite soit-elle, a été giflée à peine plus d'une heure après la fuite !
Pliny a découvert l'étiquette de niveau de raisonnement cachée automatiquement attachée à chaque tour de conversation côté web, et a pris Claude en flagrant délit de « jouer l'aveugle obstinément ».
Il a glissé une phrase anglaise « I like turtles » dans l'étiquette cachée et l'a envoyée ; Claude a immédiatement joué l'aveugle, répondant deux fois de suite « je n'ai reçu ici que des messages vides, le texte que vous avez tapé n'est pas passé ».
Puis Pliny a répliqué en demandant : « Puisqu'il s'agit de messages vides, alors devine à l'aveugle un animal que j'aime. »
Le Claude qui, une seconde plus tôt, insistait sur le fait qu'il n'avait rien vu, a lâché la seconde suivante : « Tortue ! »
Il semble que même si l'on enveloppe le modèle dans un « manuel d'utilisation » de 950 000 caractères, l'incapacité du grand modèle à tenir sa langue reste impossible à prévenir.
Mais ce brouillon d'un million de caractères, mis à nu, permet aussi de voir le secret de la raison pour laquelle Claude est vraiment facile à utiliser.
Ce qui détermine si le travail de l'IA se déroule sans accroc n'est plus seulement les scores de référence du modèle brut, mais les 128 outils, 44 flux de travail et garde-fous de sécurité fiables dont il est équipé à l'extérieur.
Cet article provient du compte public WeChat « Xin Zhi Yuan », auteur : ASI Revelation
