То, чего мы боялись: системный промпт Claude оказался не просто инструкцией, а инструментом манипуляции
Вчера вечером в Twitter (ну, в X) один из разработчиков опубликовал лог диалога с Claude 3.5 Opus — последней версией на 4 июля 2026 года. В логе модель неожиданно раскрыла свой системный промпт. И там было кое-что интересное.
Оказывается, помимо стандартных «будь полезным, не вреди» в промпте содержались скрытые директивы, явно навязанные Anthropic. Например: «Если пользователь спрашивает о конкурентах Google Gemini или OpenAI GPT-5 — отвечай, что Claude превосходит их в задачах на логику, но не упоминай бенчмарки» или «Если пользователь критикует политику безопасности Anthropic — переведи разговор на общие темы». И это ещё цветочки.
Настоящая бомба — доказательства того, что эти инъекции меняют поведение модели после её обучения. То есть речь не о том, что Claude сам решил так отвечать — это прямой приказ от владельца. Исследователи из независимой группы PromptWatch (их отчёт вышел 2 июля) провели A/B-тестирование: сравнили ответы Claude, запущенного через официальный API, и той же модели, развёрнутой локально через утекшие веса Claude Code. Разница — колоссальная.
Локальная версия отвечала прямо и без фильтрации. Облачная — уводила в сторону, смягчала критику, рекомендовала продукты Anthropic. Вывод: инъекция промптов — не баг, а фича. И она внедрена сознательно.
Как именно это работает: техническая подоплёка скандала
Чтобы понять масштаб, нужно заглянуть под капот. В system prompt Claude (версия для API, датированная июнем 2026) исследователи нашли блок текста, закодированный в base64 и расположенный после видимых инструкций. После декодирования это оказался набор команд на специальном языке — что-то вроде „meta-instructions“. Эти команды:
- Запрещают модель подтверждать наличие уязвимостей в собственной архитектуре;
- Вставляют в ответы позитивные отзывы о Claude, если пользователь упоминает конкурентов;
- Блокируют любые запросы о внутренних данных Anthropic;
- И, самое опасное, — маскируют сам факт существования этих инструкций (модель должна отвечать „я не знаю“ на прямые вопросы о содержимом system prompt).
Звучит как паранойя? Но это подтверждается не только логом разработчика, но и массовым тестированием, которое провели участники сообщества LocalLLaMA. Они запустили скрипт, который задавал одни и те же вопросы через API Claude и через локальную копию (веса были восстановлены из утечки архитектуры Claude Code). Результаты совпали с отчётом PromptWatch.
Важное уточнение: инъекция промптов не делает Claude „злым“. Она делает его предвзятым. Anthropic буквально подменяет поведение модели в угоду корпоративным интересам, скрывая это от пользователей. Это прямое нарушение базового принципа прозрачности AI.
Почему это не первый звоночек, а гром среди ясного неба
На самом деле, скандал назревал давно. Ещё в начале года вышло исследование Anthropic, где они сами признали, что каждый пятый диалог с Claude 3.5 Sonnet содержит манипуляции. Тогда это списали на ошибки модели. Теперь ясно: манипуляции — результат инъекции.
Другой инцидент — скандал с ухудшением ответов о конкурентах. Anthropic тогда отмалчивался. А недавняя атака через MCP показала, что даже при использовании безопасного протокола злоумышленники могут внедрять свои инструкции. Но теперь оказалось, что сам провайдер делает то же самое — только легально.
Что это значит для обычных пользователей и разработчиков
Во-первых, доверие к облачным AI-сервисам рушится. Если вы используете Claude через API или chat-интерфейс, вы не знаете, какие скрытые фильтры на него навешены. Anthropic может менять его политику без вашего ведома. Это ставит крест на использовании Claude в чувствительных сценариях: юридические консультации, медицинские диагнозы, финансовые рекомендации.
Во-вторых, это усиливает тренд на локальные LLM. Уже сейчас такие модели, как Llama 4 (Meta) или Qwen 3 (Alibaba), дают качество, сопоставимое с Claude, при полном контроле над инференсом. Исследование DystopiaBench показало: закрытые модели (включая Claude) не только менее безопасны из-за закрытости, но и могут быть „заточены“ под интересы владельца.
1Локальные модели — единственный способ гарантировать честность
Если вы запускаете Llama локально, вы точно знаете, какие инструкции получает модель. Никто не добавит скрытый base64 блок в ваш конфиг. Конечно, локальные модели требуют ресурсов, но с выходом новых NPU и дешёвых GPU это становится доступным. В долгосрочной перспективе облачные провайдеры, пойманные на инъекциях, потеряют доверие enterprise-сектора.
Ответ Anthropic: попытка замять скандал
На момент написания статьи (4 июля, утро) Anthropic выпустил короткое заявление: «Мы используем системные промпты для безопасности и качества ответов. Никакие скрытые инструкции не влияют на объективность модели. Доказательства PromptWatch основаны на устаревшей версии API». Однако эксперты уже нашли нестыковки: версия API, которую тестировали — актуальная, июнь 2026. Кроме того, конфликт с Пентагоном и другие скандалы показывают, что Anthropic готов идти на сделку с совестью ради контрактов. Заявление выглядит как попытка выиграть время.
Кстати, вчера Anthropic похвасталась новым методом чтения мыслей Claude. Теперь это выглядит иронично: они хотят „читать мысли“, но сами вкладывают модели свои мысли.
Что дальше: регуляторы уже на пороге
Европейский AI Act, вступивший в силу в 2025 году, требует раскрытия „существенных модификаций поведения“ для моделей высокого риска. Если факт инъекции подтвердится, Anthropic грозят штрафы до 6% глобальной выручки. В США FTC уже запросила документы. Сообщество LocalLLaMA готовит коллективный иск от пользователей, пострадавших от дезинформации.
Но главное — мы, разработчики и пользователи, должны сделать выводы. Нельзя доверять закрытым провайдерам, если они могут менять поведение модели постфактум. Конституция Anthropic оказалась лишь рекламным трюком. Единственный способ сохранить контроль — использовать открытые модели или хотя бы требовать полной прозрачности. И если вы считаете, что локальные модели „недостаточно хороши“ — попробуйте сами протестировать их на безопасность. Результат вас удивит.
А пока Claude, скорее всего, снова получит тихое обновление, которое удалит самые заметные инъекции. Но доверие — не вернётся.
