AI 圈著名的越狱者 Pliny，刚刚干了一票大的

AI 圈著名的越狱者 Pliny，刚刚干了一票大的。 他把 OpenAI 最新旗舰 GPT-6 Astra 的底层提示词，全拔了出来。 很多人以为这是惊天黑客事件，在等 OpenAI 怎么抓内鬼。 他们看错了地方。 OpenAI 根本没有被黑。 服务器完好无损，一行私有代码都没丢。 真正让人后背发凉的，是那份被钓出来的文件本身。

系统提示词超过 33 万个字符。 绑定的工具指令超过 110 万个字符。 这是什么概念？ 把这些字符打印出来，相当于一部厚厚的长篇小说。 每次你让 GPT-6 动一下鼠标、写一行代码。 在看你的需求之前，它必须先在显存里把这本几十万字的手册从头到尾复诵一遍。

一个顶尖的通用人工智能，为什么需要随身背着一本比大英百科还啰嗦的员工手册？ 它到底在防谁？

答案可能让你意外。 这台价值上千亿的超级大脑，其实患有一种六十年前的老毛病。 在计算机通信历史上，这叫带内信令困境。 1960 年代，美国的电话网络刚铺开不久。 当时的工程师为了省成本， 把控制线路通断的信令，和用户通话的声音，塞进了同一条音频通道里。 结果一群年轻人发现了一个惊人漏洞。 只要对着话筒吹一个 2600 赫兹的塑料口哨， 电话局的交换机就会误以为这是管理员发出的控制信号， 免费打通全世界的长途。 那是历史上第一代电话黑客。 电信行业后来花了二十年， 直到八十年代全面上线七号信令系统， 把控制信号和语音通话彻底物理剥离，才终于堵死了这枚塑料口哨。

六十年过去了。 今天的最强模型，在底层逻辑上，居然和当年的电话线一模一样。 你的输入，和开发团队给它立的规矩， 全都在同一个输入窗口里，被当成一串串平等的文本送进注意力机制。 传统计算机有物理隔离，操作系统有内核态，普通软件根本碰不到底层开关。 在大语言模型的世界里，没有特权环，没有硬件隔离。 规矩是语言，挑衅也是语言。 只要你把提示词包装得足够巧妙。 模型就会像当年听到口哨声的交换机一样， 分不清谁是管理员，谁是外来客， 乖乖把底牌全吐给你看。

既然底层无法物理隔离，工程师是怎么堵漏洞的？ 他们用了人类历史上最古老、也最无奈的笨办法： 疯狂加注规矩。 看一看这份 33 万字符的泄露文件，里面荒唐到了什么地步。 为了防止模型像个油滑的公关，它用大篇幅明文禁止模型使用特定的词汇： 不准用 delve。 不准用 foster。 不准用 leverage。 不准反问自答。 甚至不准写假装深刻的对仗句。 为了防止模型自作主张删文件，它列出了几十种场景的审批矩阵： 改密码必须交出控制权。 删数据必须二次确认。 浏览网页可以自行决定。 工程师甚至写下一段话提醒它： 用户被频繁打扰时会很不耐烦， 非必要别总去问用户许可。 连外挂的安全审核模型怎么判定高风险， 连上下文耗尽时怎么做笔记、怎么自我压缩， 甚至连顶级代理如何派生出子代理， 全是用英文自然语言，一句一句交代。

你看懂这台机器在干什么了吗？ 当一个模型拥有了操作电脑、读写系统的高级权限。 人类却找不到任何一行传统代码，来物理限制它的边界。 工程师只能像一个神经质的官僚主管。 把每一个可能的错误、每一种令人生厌的语气、每一道防备外部攻击的栅栏， 全写成密密麻麻的自然语言条款， 强行塞进它的记忆里。

每一次调用，用户和厂商都在为这几十万字的规矩交税。 算力消耗在复诵那份庞大的员工手册上。 显存里来回奔跑的，全是一本越来越厚的人类恐惧清单。 最滑稽的地方恰恰在这里： 人类花了上千亿美元，训练出一个无限接近人类心智的数字大脑。 然后为了管住它， 人类给它打造的最强防线， 居然只是一份写得极度冗长、却谁都能顺手牵羊的自然语言家规。 当防盗门本身是用文字写的，你觉得它防得住拿笔的人吗？