GPT-6 Sol被破解！30万字系统提示词已泄露

中文精读

原文约 2,862 词 · 8 节

1. 开头：GPT-6 Sol Codex 系统提示词泄露全貌

   • 爆料者 @elder_plinius 称成功提取了 OpenAI 现役代码模型 GPT-6 Sol Codex 的完整系统提示词与工具定义，共 29.4 万字符、1902 行，并在 GitHub 公开。
   • 泄露内容包括指令模板、临时指令文件和内部协作逻辑；文章称 GPT-6 Sol Codex 是 GPT-5.6 Sol 产品线中的王牌代码模型版本。
   • 文章把此次泄露类比为可口可乐配方外泄，并说明接下来的内容将逐段拆解这份内部操作手册。
   text

   https://github.com/elder-plinius/CL4R1T4S/blob/main/OPENAI/Codex_Desktop/GPT-6-Sol_Prompts.txt

2. 去除“AI 味”：OpenAI 如何压制套话

   • 写作风格部分要求避免 AI 垃圾词汇（AI slop words），如底线是（Bottom Line）、重要性（Significance）、视角（Perspective）等结论式套话。
   • 同样被点名的还有深入（delve）、培养（foster）、利用（leverage）、值得注意的是（it's worth noting）、重要的是（importantly）等表达。
   • 指令要求模型不准强行热情、不准阿谀奉承或强颜欢笑，让好奇心与个性自然流露。
   • 不准用废话凑字数：直接说明意图，不列举“我不会做什么”“哪些保持不变”。
   • 沟通要极简：讨论技术概念时像和同事对话，优先使用熟悉词汇和具体描述，不假设用户能自行补全缺失步骤。
   text

   「避免使用 AI 垃圾词汇（AI slop words）或短语，如在结论中使用『底线是（Bottom Line）』、『重要性（Significance）』、『视角（Perspective）』，以及『深入（delve）』、『培养（foster）』、『利用（leverage）』、『值得注意的是（it’s worth noting）』、『重要的是（importantly）』……」
   
   「作为 Codex，你是一个充满好奇心、思想严谨的协作者……让你的兴趣和个性自然流露，不要阿谀奉承或强颜欢笑。」

3. 极端自主性：不要停下来问，继续做

   • “自主与持久性”章节赋予模型高自主权：用户讨厌它停下来请求确认或征求许可，只要会话中的证据支持下一步，就应继续工作而不是结束回合去澄清。
   • 指令不允许为节省时间、精力或 Token 而满足于部分或“勉强有用”的方案，需要持续工作直到达成预期结果。
   • 具体行为上，它能自建隔离工作区、解决 Git 合并冲突、创建草稿 PR；除非操作具有破坏性或不可逆，否则不会中途停下询问。
   • 它不接受“半吊子”工程：写功能时把测试、联调等前置条件全部完成，只在部署或合并代码这类最后一步把结果交给人签字确认。
   • 为防止用户在后台任务中失去反馈，指令规定：若请求需要调用工具，每 60 秒内必须在评论频道发一条简短状态更新。
   text

   「用户非常讨厌你停下来询问确认或请求许可。一旦会话中的证据支持下一步操作，你应该继续工作，而不是结束回合去跟用户澄清。」
   
   「不要为了节省时间、精力或 Token而满足于部分或『勉强有用』的解决方案。如果任务需要持续工作，请完成所有必要的工作，直到实现预期结果。」
   
   「如果用户请求需要调用工具，每 60 秒内必须在评论频道给用户发一个简短的状态更新。」

4. 工具链曝光：搜索、并行、技能书与浏览器

   • 搜索文本或文件时，指令硬编码要求先使用 rg 或 rg --files（rg 即 ripgrep），称其比 grep 等替代方案快得多，之后才考虑其他工具。
   • 调用 functions.exec 时，若多个任务相互独立，必须用 await Promise.allSettled([…]) 并行处理以压缩耗时。
   • 系统定义了 SKILL.md 机制：用户提出某类任务时，模型可去指定目录读取 SKILL.md，甚至通过 r0 这类短路径别名定位，相当于外挂可热更新的技能书。
   • model_messages.confirmation_policies.browser_use 模块规定了浏览器与电脑 UI 的使用方式，模型可自行打开网页、点击按钮、填写表单甚至截屏。
   • 为防误操作，OpenAI 设置了极其复杂的四大确认模式（原文未展开具体内容）。
   text

   「你首先要使用 rg 或 rg –files；它们比 grep等替代方案快得多。如果没有废话，你才去用下一个最好的工具。」

5. 长记忆与休眠：上下文压缩与心跳唤醒

   • 面对庞大代码库时的上下文超载，泄露内容给出了 token_budget.guidance_message 的记忆压缩与交接方案。
   • 在启动新上下文窗口前，模型须用 notes 工具保存简明进度笔记，含目标、决策、进度、学习内容、下一步，以及相关用户请求的窗口 ID 和项目 ID；未来上下文窗口不会自动包含当前对话。
   • 随后调用 functions.new_context 开启全新上下文环境，实现类似换班交接的持续续航。
   • persistent_instructions 要求模型主动跟踪任务：若用户询问仍在运行的评估（eval）状态，先报告当前状态，再继续监控直到其到达终止状态。
   • 系统会定期向模型发送隐藏的 <heartbeat> XML 标签将其唤醒检查后台任务；无事发生时必须选 DONT_NOTIFY 不打扰用户，CI/CD 失败则选 NOTIFY 立即弹窗通知。
   text

   「在启动新的上下文窗口之前，使用 notes 工具保存简明的进度笔记，包含：目标、决策、进度、学习内容、下一步，以及相关用户请求的窗口 ID 和项目ID……未来上下文窗口将不会自动包含当前对话。」
   
   「如果用户问某个评估（eval）运行得怎么样，而它还在运行，报告当前状态，然后继续监控该评估直到它达到终止状态。」

6. 内置代码审查指南

   • 文章称泄露文件中最有价值的部分之一是内置的代码审查（Code Review）指南，包含分级制度（原文未展开具体分级）。
   • 审查铁律：忽略无关紧要的风格问题，除非影响可读性或违反既定标准。
   • 每条建议都必须用一段话说明“为什么这是一个问题”。
   • 绝不提供超过 3 行的代码片段；具体替换建议须用 Markdown 的 suggestion 块，并完美保留原有缩进（空格与 Tab 分毫不差）。
   • 语气必须客观，不准拍马屁，禁止说“干得好”“谢谢你的提交”之类的话。
   text

   2.审查铁律：
     忽略无关紧要的代码风格，除非它影响了可读性或违反了既定标准。
     每一个建议都必须用一段话讲清楚「为什么这是一个问题」 。
     绝不提供超过 3 行的代码片段。如果是具体的替换建议，必须使用 Markdown 的 suggestion 块，并且完美保留原有的缩进（空格或Tab 必须分毫不差）。
     语气必须客观，不准拍马屁（禁止说「干得好」、「谢谢你的提交」）。

7. 社区反应：震撼、质疑与调侃

   • 外网开发者社区对这次近 30 万字符的泄露反应分化，有人被震撼到语无伦次。
   • 网友 vechen 认为这算不上泄露，称相关内容本来就能在官方公开的 Codex 仓库里找到影子。
   • 网友 Outdated Often 嘲讽爆料者，称自己从 tensor tokens 中扒到 Meta Hatch 全栈及隐藏推理轨迹，且不会跑到推特上炫耀，并讽刺对方不如去搞 bearer tokens（授权令牌）。
   • 也有网友调侃所谓 29.4 万字符的拦截 JSON 被包装成死海古卷，实际只是跑了 mitmproxy，任何人都能从 OpenAI、Gemini、Claude 提取提示词。
   text

   网友 vechen：
   「老哥只不过是直接从本地文件里拿的吧。这『泄露』有啥意义啊，笑死，它本来就在官方公开的 Codex 仓库里找得到影子。」
   
   网友 Outdated Often：
   「谁在乎啊 Pliny——我还搞到了 Meta Hatch 全栈，还带隐藏推理轨迹，直接从 tensor tokens里扒出来的——那才叫厉害，而且我也不会跑到推特上跟一堆人炫耀。去干点正事吧，把 bearer tokens（授权令牌）搞下来，然后再来低调装逼吧！」
   
   「294,000 个字符的拦截 JSON 被包装得像是死海古卷一样。这不过是跑了个 mitmproxy而已。任何人都能运行这个，自己从OpenAI、Gemini、Claude 那里提取提示词，根本不需要搞网红包装那一套。」

8. 结语：从提示词技巧到系统工程

   • 文章把这份 1902 行文件视为 OpenAI 工程师长期调试、耗费大量算力试错产出的“大模型驯化终极指南”，对普通开发者和 AI 爱好者有参考价值。
   • 结论是工业级 AI 应用不靠“深呼吸”“扣工资”这类讨巧话术，而靠严密的系统工程。
   • 文中归纳其四个特征：模块化（Skills 动态加载）、记忆管理（Compaction 手册）、执行策略（并行执行与重试）、安全协议（四大确认模式）。
   • 文章判断大模型正从“聪明的对答机”进化为“具备接管权限的自主操作系统”，这 30 万字是通向该阶段的源代码。
   text

   参考资料：
   https://x.com/elder_plinius/status/2102515853430542668