系统提示词：跨厂商规律分析 & 提示词设计原理 从 100+ 份泄露/公开系统提示词中提炼固定模式，并以 Claude Code (Opus 4.8) 为案例，拆解 Prompt / Context / Harness / Loop 四层工程

§0摘要 & 量化锚点

系统提示词远非自由写作，而是高度模板化的工程产物。规律呈三层：通用骨架 → 厂商方言 → 编码 Agent 趋同。

一、通用骨架：所有聊天类提示词共享的固定序列

[身份声明] → [时间/知识截止] → [能力与工具] → [语气/格式/长度契约] → [安全/拒绝规则] → [场景特例/策略]

身份句是最硬的固定模式："X by Y"

全库统计："X by Y" 句式反复出现——created by Anthropic 60 次、trained by OpenAI 26 次、built by xAI 5 次。"You are <名字>, <动词> by <公司>" 是跨厂商通用身份模板。

知识截止字段：位置固定，但维护策略暴露工程习惯

二、厂商"方言签名"：一眼认出是谁写的

引用格式：各成一派（反证未互相复制）

三、编码 Agent 的"行业趋同"（最强规律）

Claude Code、Codex、Cursor、Gemini CLI、Copilot CLI、Amp、Warp 在核心行为契约上近乎逐字一致——指向共同设计谱系与相互借鉴：

其他近乎逐字收敛的条目：

• 持续到完成：Persist until the task is fully handled end-to-end…（amp-code.md:58, 251, 341；Codex 同）
• 先读后改：You MUST use the Read tool at least once before editing.（cursor.md:42）／ You must Read the file … before editing（claude-code-opus-4.8.md:471）
• 不主动提交：Commit or push only when the user asks.（claude-code-opus-4.8.md:434）／ Do not stage or commit changes unless specifically requested（gemini-cli.md:7）
• 完成前必须验证、并行工具调用、注释极简（只解释非显然意图）、file:line 引用

四、差异点：安全立场的分化

Grok 明确放开成人内容（仅对未成年内容坚决拒绝，:14）；而 Anthropic / OpenAI / Meta / Google 立场更严——Meta 细分"创作/学术 vs 操作性伤害"，Google 设"绝对覆盖"的安全拒绝层。自我保护条款（不泄露系统提示）广泛存在——Anthropic 用专门的 <respond_without_citing_system_prompt>（claude-opus-4.8.md:81）。

五、随版本演化的规律（3.7 → 4.x → 5）

1. 膨胀：Anthropic 4.5+ 新增数百行 <memory_system>；OpenAI 工具命名空间从 4o 约 6 个增至 5.5 的 14+
2. 人格模块化：OpenAI 5.1 起把人格拆成独立文件（friendly/cynical/nerdy…），结构统一
3. 安全细化：儿童安全、双用途能力等块越写越长、越结构化
4. 上下文/循环机制从无到有：记忆系统、延迟加载、压缩、自我调度依次进入提示词——这不是零散的"膨胀"，而是 Prompt→Context→Harness→Loop 四层在文本里按地层顺序沉积（下一节 🔗 化石层用带日期的引用坐实这条箭头）

🔗 承上启下 · 这个仓库就是四层进化的"化石层"

第一部分是横切面（一个时刻、几十家厂商的共性），接下来的第二部分是纵切线（单一谱系的四层演化箭头）。两者看似两张皮——但只要把仓库里带日期的提示词按年代排开，横切面自己就长成了纵切线。这一节用仓库自身的编年证据把二者缝合，所有引用均经独立核验。

四层地层剖面（标志化石 · 经核验引用）

标志化石的"层位首现"（0 → 全现）

把几个标准化机制当作地层学里的"标志化石"，在最早（2024）与最新（2026）提示词里做在场检测——它们整齐地缺席于早期、齐现于晚期，且出现顺序正对应四层：

检测方式：grep -il 在 2024-07-12-claude-sonnet-3.5、gpt-4o.md 等早期文件 vs claude-opus-4.8.md、claude-code-opus-4.8.md。七个机制词早期命中数全为 0、最新全为正。

下面第二部分，就沿着这条已被实证的箭头，钻进最新地层（Loop 层）的一份完整标本——Claude Code (Opus 4.8)——看四层在一份真实提示词里如何咬合。

§1深度案例：为何选 Claude Code (Opus 4.8)

要讲"提示词设计原理"，最好的样本是一份把四个工程层面都显式写进文本的提示词。Claude Code 正是如此——它不只是"人格设定"，而是一台用自然语言编程的智能体运行时。

大多数聊天提示词只覆盖"身份 + 语气 + 安全"。而 Claude Code 的提示词额外包含：一套持久化记忆系统、一个延迟加载的工具目录、权限/钩子协议、子智能体编排、以及自我调度与后台循环。这让它成为观察下面四层的完美切片。

§2四层工程模型

把一个 LLM 变成可靠产品，需要围绕模型搭四层同心壳。它们的边界常被混为一谈，但职责截然不同：

①Prompt Engineering — 措辞的工程

这一层管的是单条指令怎么写才稳。Claude Code 里有几个可直接复用的手法：

1. 负约束 + 内嵌理由，而非裸命令

没有只写"不要重试"，而是先解释语义（拒绝=用户主动否决），再给行为（调整而非原样重试）。模型对"带因果的指令"泛化得更好——它能推广到提示里没枚举的相似情形。

2. 原则 > 枚举清单

与其列"用 2 空格、驼峰命名、行宽 80…"，不如给一条可自适应任何代码库的元原则。这也是所有编码 Agent 都写 follow existing conventions 而非硬编码风格的原因（§0.三）。

3. 忠实报告——对抗谄媚与幻觉

这条同时压制两种失败模式：过度乐观（谎称成功）和过度对冲（该肯定时含糊）。它把"诚实"操作化成可执行的三个具体动作，而不是抽象美德。

4. 优先级信号：IMPORTANT / BLOCKING / NEVER

Transformer 对显式的强度词与大写敏感。全库 150 个文件用 IMPORTANT 绝非偶然——它是一种廉价的注意力再分配手段。但用多了会通胀失效，所以 Claude Code 只在少数真正不可让步处使用。

②Context Engineering — 上下文窗口的工程

上下文窗口是稀缺、且注意力不均匀的资源。这一层的全部艺术是：只让该在的信息在，且放在模型看得见的位置。Claude Code 有四招教科书级操作。

1. 信息信道分层：<system-reminder> 是独立信任级

同一段文本流里，模型被教会区分三种来源：用户说的、harness 注入的、钩子返回的。这解决了 prompt injection 的一个核心难题——让模型知道哪些"指令"其实不是用户的意图。记忆召回也走这个信道，并明确标注"是背景、非用户指令"。

2. 外部化状态：文件系统即长期记忆

上下文窗口装不下一切，于是把长期知识搬到窗口之外的磁盘，只在窗口里常驻一个轻量索引（MEMORY.md 每条一行）。需要时再按需读全文。这是典型的分级存储思想（窗口=L1 缓存，磁盘=主存）。

3. 延迟加载工具：ToolSearch —— 最精妙的一招

Claude Code 可用工具有几十上百个（本会话就有 CronCreate、computer-use、pdf、chrome 等一大批）。若把所有工具的完整 JSON Schema 都塞进系统提示，将吃掉巨量 token 且淹没注意力。解法：默认只放工具名清单，schema 按需通过 ToolSearch 拉取。

// 系统提示里只有名字（几乎零成本）：
CronCreate  WebFetch  mcp__claude-in-chrome__navigate  …

// 真要用时才加载 schema：
ToolSearch("select:WebFetch") → 返回完整参数定义 → 之后即可调用

这把"工具目录规模"与"上下文成本"解耦——工具再多，常驻开销也只随名字数线性增长。是大型 Agent 能挂载海量工具的关键前提。

4. 压缩即一等公民：Context management

长对话必然溢出窗口。与其让模型"感到时间紧迫而草草收尾"，不如明确告知压缩机制存在，从而解除它的"结束焦虑"。这是把一个 harness 事实（自动摘要）写进提示，用来校准模型的行为预期。

③Harness Engineering — 运行时脚手架的工程

Harness 是模型之外的一切：工具、权限、钩子、沙箱、子智能体。提示词在这里的作用，是把"运行时能力"翻译成模型能安全使用的操作契约。

1. 权限模式 + 钩子：人类留在回路里

模型不能无条件执行任何工具——每次调用都经过权限层与可能的钩子拦截。提示词教模型把这些外部信号当作一等反馈，而非报错噪音。对"难以逆转/对外发布"的动作，还要求先确认（:131）。

2. 工具生态设计：把正确用法写进工具描述

与其让模型用万能的 Bash 干一切，不如提供专用工具（Read/Grep/Glob/Edit）并在描述里主动劝退危险或低质的用法。专用工具能返回结构化结果、走权限 UI、被 harness 追踪状态——这些都是裸 shell 给不了的。

3. 状态不变量由 harness 强制，而非靠模型自觉

"先读后改"不是道德劝诫，而是硬约束：没读就编辑会直接失败。反过来，harness 追踪文件状态，于是提示词又劝阻多余的"改完再读一遍验证"——省 token。规则与运行时能力严丝合缝。

4. 子智能体：上下文隔离即架构手段

把"读 20 个文件找答案"派给子智能体，主线程只回收结论，不被文件原文污染。isolation:"worktree" 还能让并行改文件的 agent 互不冲突（:248）。这是用 harness 结构解决 Context 问题的典范——三层之间是协同的。

④Loop Engineering — 智能体循环的工程

一次 LLM 调用只是"一拍"。真正的 Agent 是多拍循环：思考→调工具→观察→再思考…直到收敛。这一层决定循环何时继续、何时停、如何跨轮存活。Claude Code 在这层的设计尤其惊艳。

1. 事件驱动 > 轮询：别浪费"一拍"

后台任务完成会自动唤醒模型，所以提示词明令禁止"定时轮询"这种浪费 token 的反模式。循环的推进由事件触发，而非空转检查。

2. 缓存感知的自我调度——把成本模型写进提示

3. 确定性编排：Workflow 把控制流移出模型的"直觉"

当逻辑是"对 30 个文件各跑 3 阶段、多数票通过才保留"这类确定性控制流时，靠模型逐轮即兴既慢又易漂。Claude Code 提供一套可编程的编排原语，把 loop 从模型的自由发挥变成代码：

pipeline(items, stage1, stage2)  // 每个 item 独立流水，阶段间无栅栏（默认）
parallel(thunks)              // 栅栏：全部完成才返回（仅当需要汇总时）
// 内建控制流模式：
while (bugs.length < 10) { … }                       // loop-until-count
while (budget.remaining() > 50_000) { … }            // loop-until-budget（硬预算天花板）
while (dry < 2) { …find→dedup→judge… }              // loop-until-dry（连续 K 轮无新发现才停）

并且给出反模式判据（何时用栅栏、何时不用）与"对抗式验证/多视角评审/完备性批评"等高阶质量模式（:865–883）。这是把软件工程的并发/收敛思维直接编码进提示词。

4. 循环恢复与缓存复用

长流程可中断/改脚本/续跑，未变的前缀秒回缓存。为此还约束脚本不得用 Date.now()/Math.random()（会破坏可复现的缓存键）——纯函数式的确定性要求，直接写进了提示。

5. 终止条件：主动防"兔子洞"

健康的循环必须有失败熔断。提示词给出具体阈值（2–3 次）和退出动作（停下、说明、问用户），防止模型在死路上无限打转。

§3四层如何互相咬合

四层不是并列清单，而是互相支撑的。同一个设计目标，往往需要跨层协作：

§4第三部分 · 融合《万字综述》的工程干货

上面把综述的观点逐层嵌入了四层模型。这一部分收纳该文里可直接落地、我原报告未展开的参考表与操作手册——尤其 Loop 层的完整构型与实践路径。

范式的数学分野：从"单次质量"到"循环自愈"

把四阶段抽象为数学表达，会看到两种根本不同的架构范式：

核心跃迁：对抗幻觉的手段不再是调提示词，而是 Text → Code → Execute → Read Result → Self-correct 的闭环控制。把不可避免的单次概率错误，交给循环去收敛。

工业级自主循环的底层：五件套 + 一个记忆

无论哪档成熟度，一个能无人值守运转的循环系统都由这些构件组成——每一件都能在 Claude Code 里找到对应：

循环协议（Loop Contract）：防止自主循环退化为失控死循环

策略层必须强制一份"合同"，用六个维度约束每个循环：

其中 BUDGET 与 STOP 会固化为两道硬约束：

• 熔断器（Circuit Breaker）：连续失败达 max_consecutive_failures 立即跳闸、回退代码、打包日志转人工；并加 max_runtime_min 墙上时间，超时无条件熔断。↔ Claude Code："兔子洞：同一动作失败 2–3 次即停下问用户"
• 看门狗（Watchdog）：独立于主线程的外部进程监控 CPU，一旦满载且长时间无 I/O（自旋死循环征兆），越过应用层直接 SIGKILL 强杀回收。

全部串起来，就是标准的自主闭环流水线：

AI 编码 → 沙箱测试 → 日志自动回灌 → AI 修复 → CI 绿标通过 → 自动发起 PR
// 全流程无人类介入，高频 Agent 在安全边界内日夜运转

基础设施产品化：HaaS（Harness-as-a-Service）

主流工具已把这套能力固化为标准原语：Claude Code 内置 /loop 指令、SKILL.md 规范、Subagent Team 编排；Codex 提供自动化面板与 .codex/agents/ 多 Agent 规范。把 Worktree + Skills + Connector + Subagent + State 封装为标准底座的模式，业界称为 Harness-as-a-Service。↔ 本会话可见的 CronCreate / Workflow / Agent / Skill / MCP 全家桶，就是 HaaS 的一份实例

开发者的新生态位：Loop Designer（循环设计师）

范式下开发者从"写提示词/控制流"上移为循环系统架构师，三项核心职责：

• 定义终止边界（Goal & Verifier）：写 VISION.md、完工条件、测试用例与评估矩阵。
• 维护工具链与领域资产：配沙箱、对接 MCP、把高频逻辑固化为命名 Skill（省重复提示开销）。
• 设计安全断路器（Human-in-the-Loop & Budget Guard）：设步数/时间/Token/成本多维约束，异常时人工介入。

§5第四部分 · 实证审计：把文章每条主张放回提示词里查

前三部分把文章的四层理论讲清楚了。这一部分做一件更硬的事：把文章的每一个具体机制当作待检验的假设，回到真实提示词里逐条求证、并主动找反例——看哪些被证实、哪些只是文章的一厢情愿。

文章概念 × 提示词实证 · 审计矩阵

四个最值得盯的发现

七条跨切面结论

1. Context 层证据最硬：JIT 工具装配 + Compaction + 运行时记忆，三项都有 Anthropic/OpenAI/Amp 三厂同构原句——是全九簇最强的三方一致。
2. 提示词在 Context 层领先文章：防腐验证（claude-code:161）、幽灵请求（Codex:90）、事前硬拦截（deferred-tools:884）——事前 vs 事后的区分文章没讲。
3. 动态变量位置各家不一：Claude Code 符合、OpenAI/Gemini/Mistral 把日期写开头违反、Grok 干脆不放——文章过度概括为普遍规范。
4. Harness 信任姿态与完成门存在厂商分歧：Hook 权威（Claude ↔ Gemini 相反）、验证门（Gemini 绝对 ↔ Warp 可选）。
5. 熔断器/看门狗多为纯理论：Loop 层四维预算只落地两维，失败熔断与自旋看门狗无提示词实证。
6. 公式 Loop=Cron+决策器 被证伪，但其底层直觉（机制/策略分离）反被 deferred-tools:34 的三层模型更细地验证——公式错、直觉对。
7. 评审回路真实但默认关闭；可插拔人格是 OpenAI 专属而非行业共识（Claude 用条件式 <preferences_info> 替代）。

§6第五部分 · 消费版 Opus 4.8 的"行为微调"规则解读

前面聚焦 Claude Code（Agent/终端）。这一部分深读消费版 claude-opus-4.8.md（3769 行）——它不谈工具编排，而是密密麻麻的性格与分寸微调。下面挑最特别的一批规则，每条给逐字引用＋我的解读推断（为什么这么设计）。⭐ 标记的是我认为最"反直觉、最能看出设计者意图"的。

§7给设计者的 10 条可迁移启示

1. 人称是工程选择：Agent 场景用第二人称"你就是执行者"压实指令；中立叙述场景可用第三人称。
2. 指令带理由：行为 + 为什么 + 边界 比裸命令泛化更好。
3. 原则优于枚举：给能自适应的元规则（"读起来像周围代码"），别硬编码风格清单。
4. 强度标记要节制：IMPORTANT/NEVER/BLOCKING 是稀缺注意力资源，滥用即通胀。
5. 给信息标来源：区分"用户说的 / 系统注入的 / 工具返回的"，是抗注入的第一道防线。
6. 状态外置 + 轻索引：长期知识放磁盘，窗口里只留一行行的目录，按需展开。
7. 工具 schema 延迟加载：工具目录规模与上下文成本必须解耦，否则无法规模化。
8. 不变量交给运行时强制：能"硬失败"的约束，就不要只靠模型自觉；并据此省掉冗余自查。
9. 循环要事件驱动：别让模型轮询它本会被自动唤醒的东西；为循环设失败熔断阈值。
10. 把成本结构告诉模型：缓存 TTL、token 预算这类系统事实写进提示，模型能自行做资源最优决策。