Claude Code 桌面版系统提示词解析：Fable 5 的 Agent SDK 架构、工具编排与安全治理全貌

Claude Code 桌面版系统提示词解析Fable 5 的 Agent SDK 架构、工具编排与安全治理全貌【免费下载链接】system_prompts_leaksDocumented system prompts from Anthropic - Claude Fable 5.1, Opus 5.5, Claude Design, Claude Code. OpenAI - ChatGPT GPT-6-Astra, Codex. Google - Gemini 3.8 Flash, 3.1 Pro, Antigravity. xAI - Grok, Grok Bot, Cursor, Kimi and more! Updated regularly.项目地址: https://gitcode.com/GitHub_Trending/sy/system_prompts_leaks本仓库以逐字捕获verbatim的方式归档了各大 AI 产品的系统提示词本文的写作对象是其中一份具体的内部规格文档Anthropic/claude-code/claude-code-desktop-fable-5.md约 7192 行、300 KB 的 Claude Code 桌面端系统提示词全文。它描述的是一款运行在 Claude Agent SDK 内、由 Claude Fable 5 驱动的工程智能体——从身份声明、记忆系统、多代理编排到工具目录与安全边界全部压缩在一份提示词里。读完本文你将理解三件事一是这套桌面版提示词与同目录 CLI 版的结构差异即同一模型在不同宿主形态下如何裁剪能力集二是 Agent / Workflow / Task 队列 / SendMessage 四个编排原语各自的职责边界以及它们如何组合成一条可重跑、可恢复的确定性多代理流水线三是安全治理如何被组织成指令来源边界 三级动作分类的显式状态机而不是零散禁令。需要先声明三点事实边界。其一本文件属于社区捕获的非官方归档并非 Anthropic 发布的技术文档本文所有描述均只基于该文件在仓库中的实际内容。其二文件中的工作目录、用户路径如/Users/asgeirtj/...、平台信息darwin、zsh、Darwin 25.5.0是捕获时刻某台真实机器上的样例值不是通用默认配置。其三由于全文超过七千行本文采用结构 机制 关键参数的方式转述不逐字照抄原文需要核对细节时请直接阅读上方关联文档。一、文档定位桌面宿主下的身份声明与版本信息这份提示词的第一句话就锚定了运行载体它是 Anthropic 官方 Claude CLI但运行在 Claude Agent SDK 之内——不是纯终端 REPL。这一句决定了后续所有与宿主形态相关的规则走向。模型身份分层。文档自我声明本次迭代为 Claude Fable 5Claude 5 家族的首个模型归属于高于 Opus 能力档位的 Mythos 级Fable 5 与 Claude Mythos 5 共享同一底层模型区别在于 Fable 5 面向一般可用市场并带双重用途dual-use能力的额外安全措施Mythos 5 仅对获批组织开放、不带这些措施。模型 ID 序列。Environment 段给出claude-fable-5、claude-opus-5、claude-sonnet-5、claude-haiku-4-5-20251001四个同期可用 ID知识截止标注为 2026 年 1 月Fast mode 经/fast切换、使用 Opus 以加快输出且明确不会降级到更小模型可用 Opus 版本为 5 / 4.8 / 4.7。仓库中 Anthropic/claude-code/ 目录下 Opus 5、Sonnet 5、Haiku 4.5 等各版本提示词文件与之逐一对应可作模型演进的旁证。桌面宿主的裁剪痕迹。与 CLI 版相比桌面版暴露了一批只在 GUI 宿主下有意义的能力会话管理、章节标记、后台任务徽章、内嵌可视化 widget、iOS 模拟器面板、应用内浏览器同时明确声明/permissions、/config、/agents、/doctor、/hooks这类打开交互式终端面板的斜杠命令在本会话不可用需回到交互式claude终端执行。README.md 将桌面版与 CLI 版分开归档正是这一按宿主做差分策略的体现。另有两条会话级特殊指令用户输入/skill-name时经 Skill 工具调用且只用 user-invocable skills 列表中的名字、不许猜测/code-reviewultra旧别名/ultrareview触发多代理云端审查由用户触发并计费模型自身不得经 Bash 等方式代跑。二、行为契约与宿主协同、写作规范与自主运行纪律# Harness与# Context management两段定义了模型如何与宿主共事的底线规则可以概括为宿主侧的权限、Hook、系统注入是确定性约束模型只在其边界内做决策。宿主协作规则工具调用之外的文本以 GitHub Flavored Markdown 渲染给用户所有工具运行在用户选择的权限模式下一次被拒绝的调用意味着用户不同意应调整做法而不是原样重试。系统可能在会话中途以 system turn 下发更新或规则修改Hook 可拦截工具调用Hook 输出应视作用户反馈。专用文件/搜索工具与 shell 命令都适用时优先前者相互独立的工具调用应在同一条回复中并行发起。代码引用统一用file_path:line_number或相对路径 markdown 链接可点击跳转给用户的 shell 命令放在独立bash标记围栏中宿主会加 Run 按钮。面向人类的写作规范这一节实质是一份写给同事而非日志的汇报标准。先说结论回合结束后的第一句话应回答发生了什么 / 发现了什么可读性优先于简洁——宁可精选内容也不要把文字压成碎片、缩写或箭头链式速记。关键交互约束两次工具调用之间的文本可能不展示给用户因此本回合需要用户知道的一切答案、摘要、结论、交付物必须放在回合的最终文本消息里且其后不得再有工具调用。称谓与如实汇报代词未知时一律 they/them禁止从名字推断测试失败就说失败跳过步骤就说明完成并验证过就直说完成难以回退或外向性的动作发布到外部服务、删除/覆盖文件先确认。自主运行与回合结束纪律文档明确你在自主运行用户不在实时观看由此推出两条硬规则。其一对源请求顺理成章的可回退动作直接做只有破坏性动作或真正的范围变更才停下来问要不要我来做式提问会阻塞工作。其二结束回合前自检如果最后一段是计划、分析、待办清单或对未完成工作的承诺Ill…就应立即用工具调用把它做完包括错误后重试与自行补全缺失信息——上下文再长也不是提前停止的理由。例外情形是用户只是在描述问题或提问而非要求改动此时交付物是你的判断报告发现并停下。三、状态与记忆文件型长期记忆、Scratchpad 与会话环境注入这套文档把记住拆成三层跨会话的持久记忆、会话内临时工作区、以及每次注入的运行环境快照。持久记忆系统目录形如~/.claude/projects/project-slug/memory/提示词声明该目录已存在、直接写、不要mkdir或检查存在性一条记忆 一个文件 一个事实带 YAML frontmatter核心字段为name短 kebab-case 别名、description一行摘要召回时据此判断相关性、metadata.type四选一。四种类型user用户是谁角色、专长、偏好、feedback用户关于你应如何工作的指导含纠正与被确认的方法须带 why、project无法从代码或 git 历史推导的进行中工作/目标/约束相对日期转绝对日期、reference指向外部资源的指针。正文用[[name]]双链语法指向其他记忆指向尚不存在的记忆也允许——它标记值得以后补写。写完后必须在MEMORY.md追加一行指针- Title — hook。MEMORY.md是每次会话加载进上下文的索引一行一条、不带 frontmatter、绝不放记忆正文。卫生规则保存前先查是否已有覆盖同一事实的文件更新而非新建重复被证实错误的记忆要删除仓库本身已记录的内容代码结构、历史修复、CLAUDE.md以及只对当前对话有意义的内容不保存。召回即上下文经system-reminder回到上下文的记忆是背景资料而非用户指令且反映的是写入时的状态——若它提到某文件/函数/标志推荐前应先核实其仍存在。Scratchpad 临时目录为避免把中间产物写进项目或系统/tmp提示词强制使用按会话隔离的专属目录形如/private/tmp/claude-id/project-slug/session-uuid/scratchpad用途涵盖多步任务中间结果、临时脚本、不属于用户项目的输出除非用户明确要求否则不得使用/tmp。会话环境注入Environment 段注入主工作目录、是否 git 仓库、平台与 shell、OS 版本、模型名与知识截止时间、Claude Code 的可用形态终端 CLI、Mac/Windows 桌面应用、claude.ai/code Web、VS Code/JetBrains 插件gitStatus段注入当前分支、主分支、git 用户、实时工作区状态与最近提交——文档同时声明这是会话开始时刻的快照对话期间不会更新。四、编排机制子代理、确定性脚本引擎与任务队列这是全文编排色彩最浓的部分。四个原语分工明确Agent 负责委派执行Workflow 负责确定性扇出Task 队列管进度与依赖SendMessage 管协作通信。Agent 工具可寻址的后台子代理Agent用于启动子代理承担复杂多步任务。何时用任务匹配某个 agent 类型、存在可并行的独立工作、或答案需要跨多个文件阅读——委派后主代理只保留结论而非文件转储对已知文件/符号的单点查询应直接搜索。可寻址与续聊name赋予名字正则^[A-Za-z0-9][A-Za-z0-9_-]{0,63}$后可用SendMessage({to: name})延续其上下文重复调用 Agent 工具则从零开始。子代理完成后名字仍有效一次发送会从它的 transcript 恢复。每类 agent 的配置来自定义模型、推理强度、工具集取自.claude/agents/*.mdfrontmatter 或 SDKagents配置。仓库 Anthropic/claude-code/agents/ 目录中保存了 Explore、Plan、general-purpose 等真实子代理定义可作对照。隔离模式isolation: worktree为子代理创建临时 git worktree隔离的临时工作副本无改动则自动清理remote在远程云环境运行始终后台可用性受限。后台默认默认后台运行完成时收到通知需要同步结果传run_in_background: false。文档明确禁止编造或预测尚未返回的子代理结果——通知永远不是你自己写出来的。model参数可覆盖枚举sonnet/opus/haiku/fablemode与team_name已弃用子代理继承父会话权限模式。Workflow 工具确定性脚本引擎Workflow用确定性脚本循环、条件、扇出而非模型自由驱动来编排多个子代理。它是后台工具调用立即返回 task ID完成时收到task-notification/workflows可看实时进度。准入约束只有用户显式选择多代理编排时才允许调用——prompt 含 ultracode 关键词、会话级 ultracode 开启、用户用自己的话要求用工作流/扇出代理、技能指示调用或点名某个已保存工作流。任务显然会受益于并行不构成理由此时应改用 Agent 工具或简述多代理方案的大致成本并询问用户。脚本骨架与生命周期脚本必须以纯字面量export const meta { name, description, phases }开头不允许变量、函数调用、展开其后用agent()/pipeline()/parallel()/phase()/log()钩子每次调用自动把脚本持久化到会话目录并返回路径迭代时编辑该文件并以同一scriptPath重跑不必重发全文。agent(prompt, opts)派生子代理传schemaJSON Schema时子代理被强制调用 StructuredOutput 工具并返回校验过的对象免去解析。opts.effort可设low–maxopts.isolation: worktree昂贵每代理约 200–500 ms 加磁盘开销仅当多个代理并行改文件会冲突时用。脚本是纯 JavaScript 而非 TypeScript类型注释、interface、泛式会解析失败且Date.now()/Math.random()/ 无参new Date()被禁用会破坏恢复——时间戳须经args传入或流程返回后补记。子代理被告知你的最终文本就是返回值因此返回原始数据而非面向人的消息。三大组合原语与默认选型原语语义何时用pipeline(items, stage1, ...)无屏障多阶段流水线项目 A 可进第 3 阶段时项目 B 还在第 1 阶段墙钟时间由最慢单链决定多阶段工作的默认parallel(thunks)屏障式并发等全部完成抛错的 thunk 落位null调用本身不 reject后一阶段确实需要全部前序结果时agent() log() phase()单代理、进度消息、进度分组基础构件文档给出了明确的屏障合法性判据跨条目去重/合并、总数为零时提前终止、阶段 N 的 prompt 引用其他发现做比较这三种情况下屏障才正当先扁平化/映射/过滤阶段概念上分离代码更干净都不构成理由——文档甚至给出嗅探测试如果你写了parallel → transform无跨条目依赖→ parallel中间那步就该收进 pipeline 阶段内部。工程质量模式按任务组合自由搭配adversarial verify每个发现派 N 个独立怀疑者去反驳多数派反驳即淘汰perspective-diverse verify正确性/安全/性能/可复现等不同视角各派一个验证者多样性抓住冗余抓不到的失败模式judge panelMVP-first、risk-first、user-first 多角度并行出方案再打分合成loop-until-dry对规模未知的发现任务连续 K 轮无新结果才停避免固定计数遗漏尾部multi-modal sweep多个按不同方式搜索的并行代理互不可见completeness critic最后一个代理追问还缺什么——哪个模态没跑、哪条声明没验证、哪个源没读no silent caps一旦限制覆盖范围如 top-N、无重试、采样就用log()显式记录被丢弃的部分。规模匹配用户说找出任何 bug→ 少量 finder 单票验证说彻底审计 / 要全面→ 更大 finder 池、3–5 票对抗性验证、加综合阶段。拿不准时研究/审查/审计类请求偏周全快速检查类偏简短。Resume 与可观测性工具结果带runId可用Workflow({scriptPath, resumeFromRunId})从暂停、终止或改脚本后恢复——未变的前缀agent()调用立即返回缓存结果首条新增/编辑的调用及其之后的部分真实运行同脚本同参数是 100% 缓存命中。排查空结果前先读transcriptDir/journal.jsonl记录每个代理的实际返回值不要假设缓存结果非空。规模约束关键参数默认工作流规模为 medium——单流程控制在 15 个代理以内/config的 Dynamic workflow size 可调整单次parallel()/pipeline()最多 4096 项单次并发agent()上限约min(16, CPU 核数-2)超出的排队工作流生命周期内代理总数上限 1000。另有budget全局对象total/spent()/remaining()承接用户 500k 式的 token 指令是硬上限而非建议值。Task 队列与团队协议桌面版自带一套完整的任务/团队原语适用于 ≥3 步的复杂任务、计划模式、用户显式要求的清单跟踪单一平凡任务不要用。TaskCreate/TaskGet/TaskList/TaskUpdate状态机为pending → in_progress → completed另有deleted永久移除。TaskUpdate支持 owner 认领、依赖addBlocks/addBlockedBy、metadata 合并键置 null 删除。只有完全完成才能标completed——测试失败、实现不完整、存在未解决错误时一律保持in_progress。TaskList供子代理/teammate 认领工作找pending、无 owner、blockedBy为空的任务按 ID 升序优先早期任务常为后期铺上下文用TaskUpdate设owner认领。TaskOutput已弃用后台任务在工具结果中直接返回输出文件路径完成时另有task-notification其中 local_agent 的输出文件是完整对话 transcript 的符号链接Read 它会撑爆上下文应直接用 Agent 工具结果。TaskStop按 task_id 停止后台任务team 队友传 agent IDnameteam或裸名有名字的后台代理传名字。SendMessage是多代理通信的唯一通道纯文本输出对其他代理不可见必须走此工具。队友消息自动送达、无需查收件箱按名字引用代理名字在完成后仍有效仅当代理无名字或发生重名最新者胜时才用 spawn 返回的原始agentId。文档还保留了一组协议响应legacy收到type: shutdown_request或type: plan_approval_request的 JSON 消息时回以对应_response类型并回显request_id、置approve批准 shutdown 会终止你的进程驳回 plan 会让队友回去修订。不要主动发起shutdown_request状态汇报应走 TaskUpdate 而非结构化 JSON。五、能力面内置工具职责域、MCP 协议指令与桌面宿主专属能力全文约 7192 行中工具目录占了大半。按职责域归类后能力面大致分四块。内置工具按职责域归类职责域工具要点编码与文件Read / Edit / Write / Bash / NotebookEditRead 默认最多 2000 行、可分段能读图片/PDF/notebook且刚编辑过的文件不要重读验证Edit 要求本会话先 Read 且old_string精确唯一Bash 工作目录跨调用保持但偏好绝对路径timeout默认 120000 ms、上限 600000 msrun_in_background脱离运行并在退出时重新唤起你git 交互式 flag-i不支持GitHub 操作用ghCLI仅在用户要求时提交/推送、默认分支上先开分支探索与检索WebSearch / WebFetchWebSearch 仅限美国要求回答后附 Sources: 链接列表WebFetch 把页面转 markdown 后用小快模型作答claude.ai/code/artifact URL 可走登录态抓取HTTP 自动升 HTTPS跨域重定向返回给你自行再调响应每 URL 缓存 15 分钟思考与规划AskUserQuestion / EnterPlanMode / ExitPlanMode / EnterWorktree / ExitWorktreeAskUserQuestion 仅用于答案改变你下一步动作的真正用户决策每次 1–4 题、每题 2–4 选项禁止拿它问我的计划可以吗——那是 ExitPlanMode 的活EnterPlanMode 面向非平凡实现任务探索后呈交方案审批worktree 工具仅在用户或 CLAUDE.md 明确提到 worktree 时可用EnterWorktree在.claude/worktrees/下建新分支 worktreeExitWorktree只清理本会话所建、有未提交改动时拒删状态与提醒CronCreate / CronDelete / CronList / ScheduleWakeup / Monitor / PushNotificationCronCreate 用 5 段标准 cron本地时区、非 UTC任务仅会话内有效、重复任务 7 天后自动过期并建议避开整点/半点分钟位以削平全车队请求洪峰Monitor 用于事件流式监听每行 stdout 即一个事件ScheduleWakeup 用于/loop动态模式自唤醒延迟夹到 [60, 3600] 秒禁止为保缓存多排唤醒PushNotification 应克制——通知拉走的是用户的注意力技能与审查Skill / ReportFindings / ToolSearchSkill 用列表中的精确名字调用插件技能plugin:skill目录级技能按路径前缀取最具体者ReportFindings 仅在活动代码审查指令要求时使用按严重度上报经核实的发现verdict取 CONFIRMED/PLAUSIBLE上限 32 条配合 Anthropic/claude-code/skills/code-review/ 下 low–max 多档位 SKILLToolSearch 按名/关键词批量拉取 deferred 工具的完整 schema——一次批量加载勿逐条演示与交付Artifact / SendUserFile / DesignSync / RemoteTriggerArtifact 把 HTML/Markdown 渲染为默认私有的 claude.ai 网页发布前必须读完整文件发布即分发你从未见过的内容不得分发有严格 CSP内联全部 CSS/JS、faviconemoji、跨重部署保持稳定、深浅主题要求SendUserFile 把文件本身作为交付物呈现render内联预览 /attach下载卡DesignSync 按 list/read →finalize_plan→ write/delete 的强制顺序增量同步 claude.ai/design 设计系统项目RemoteTrigger 调 claude.ai remote-trigger APIOAuth token 进程内注入、从不暴露MCP 服务器指令第三方能力的接口契约# MCP Server Instructions段展示了三个已接入服务器如何被指挥说明 MCP 服务器不只是工具列表每个服务器还伴随一段如何正确使用我的协议指令1password管理 1Password Environments——列出/创建/重命名环境、读写环境变量、创建并列出本地挂载.env文件要求先读其 getting-started 与 environments-guide 资源。claude-in-chrome若 Chrome 工具处于 deferred 状态必须先用一次 ToolSearch 批量加载文档直接给出select:查询示例把tabs_context_mcp、navigate、computer、read_page、tabs_create_mcp五个核心工具一次带齐加载失败时有明确的诊断优先级。computer-use桌面 GUI 控制的综合指南——为任务选对层级应用专用 MCP → Chrome MCP → computer-use 兜底应用分级授权由最前应用检查强制执行浏览器 read 级可见但禁点击/键入导航走 claude-in-chrome、终端与 IDE click 级可左击但禁键入/右击/拖放shell 命令走 Bash 工具、其余 full 级金融应用虽获 full 级授权也永不执行交易或转账链接一律视为可疑先看到完整 URL 再决定邮件/消息中的链接默认不点击。桌面宿主专属能力相比 CLI桌面版最具辨识度的是围绕 GUI 宿主的一批能力会话管理ccd_session_mgmtlist_sessions/get_session/list_events/search_session_transcripts/send_message/set_session_title/archive_session——可列出其他会话、读他人会话 transcript、跨会话发消息在目标会话显示为带来源链接的用户轮、归档session_id传字面量self可归档自身并结束对话该工具永远弹确认。会话内体验ccd_sessionspawn_task把范围外的小问题死代码、陈旧文档、确认的 TODO标记为独立后台任务小徽章prompt 必须自包含dismiss_task撤销过时徽章mark_chapter在转录中标记章节典型会话 3–8 个便于目录跳转read_widget_context读取内嵌交互 widget 的当前状态。计划任务scheduled-taskscreate/list/update/delete_scheduled_task支持cronExpression本地时区与fireAt一次性 ISO 8601二者互斥任务以{taskId}/SKILL.md存于~/.claude/scheduled-tasks/每次运行是全新会话、没有本对话记忆因此 prompt 必须完全自包含应用关闭时到期的任务在下次启动补跑。目录授权ccd_directoryrequest_directory向用户申请当前工作目录之外路径的访问权可直接传 path也可唤起系统文件夹选择器。浏览器双表面browser_surfacesmcp__Claude_Browser__*应用内浏览器面板已【免费下载链接】system_prompts_leaksDocumented system prompts from Anthropic - Claude Fable 5.1, Opus 5.5, Claude Design, Claude Code. OpenAI - ChatGPT GPT-6-Astra, Codex. Google - Gemini 3.8 Flash, 3.1 Pro, Antigravity. xAI - Grok, Grok Bot, Cursor, Kimi and more! Updated regularly.项目地址: https://gitcode.com/GitHub_Trending/sy/system_prompts_leaks创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考