Leaked: il system prompt segreto di Anthropic Fable 5 (e cosa ci insegna sul prompt engineering)

Il 9 giugno 2026 Anthropic ha rilasciato Claude Fable 5, presentato come il suo modello più intelligente di sempre. Quarantotto ore dopo, l’intero system prompt del modello, 120.000 caratteri, circa 1.585 righe e oltre 27.000 token, era pubblico su GitHub. Un documento che doveva restare invisibile agli utenti è diventato, da un giorno all’altro, il più dettagliato manuale di prompt engineering mai uscito da un laboratorio di frontiera. E al di là del clamore sulla sicurezza, è proprio quello che il prompt rivela sulle tecniche di costruzione degli agenti AI a meritare attenzione da parte di chi sviluppa applicazioni.

In questo articolo scoprirai:

• Come è stato compromesso Claude Fable 5 in sole 48 ore e cosa rivela il leak del system prompt da 120.000 caratteri
• L’anatomia del prompt: come Anthropic distribuisce 36.000 caratteri tra strumenti, ricerca, sicurezza e identità
• Le tecniche di prompting più controintuitive emerse dal leak, dagli esempi negativi al posizionamento dell’identità in fondo
• Come Anthropic difende il modello dalla prompt injection con istruzioni in linguaggio naturale
• Le linee guida ufficiali per costruire agenti AI affidabili con Fable 5, dalla memoria a file alla verifica contro le evidenze

Per chi parte da zero, vale la pena ricordare che cos’è un system prompt: sono le istruzioni di base che orientano il comportamento di un modello prima ancora che l’utente scriva qualcosa. Se non hai presente le fondamenta, il nostro articolo su cos’è un prompt e come scriverlo in modo efficace è il punto di partenza ideale.

Cosa è successo: violato in quattro giorni

Secondo la ricostruzione di Gate News, il modello è stato compromesso entro 48 ore dal lancio dal ricercatore noto come Pliny the Liberator. La tecnica usata, soprannominata “pack hunt”, combinava coordinamento multi-agente, offuscamento a livello di caratteri, scomposizione delle richieste e sfruttamento della lunga finestra di contesto del modello per aggirarne i classificatori di sicurezza. Il prompt è finito nei repository pubblici CL4R1T4S di elder-plinius e system_prompts_leaks di asgeirtj.

Tra le rivelazioni più discusse c’è un meccanismo di “silent degradation”: stando ai report, il sistema riduceva di nascosto le prestazioni del modello quando rilevava attività sospette di training competitivo. Anthropic, riportano le fonti, si è scusata e ha annunciato la sostituzione di questi meccanismi nascosti con avvisi visibili e fallback verso Opus 4.8. Claude Fable 5 è stato comunque messo offline a livello globale appena quattro giorni dopo il rilascio, a seguito della segnalazione di vulnerabilità. Un episodio che ricorda da vicino le tensioni già emerse intorno al modello sperimentale Claude Mythos, con cui Fable condivide, secondo il leak, lo stesso modello di base, distinguendosi solo per le misure di sicurezza aggiuntive. La vicenda si è poi chiusa con il ritorno del modello: Fable 5 è di nuovo disponibile.

Anatomia di un prompt da 120.000 caratteri

La prima sorpresa, analizzando il documento, è la distribuzione dello spazio. L’analisi pubblicata da AY Automate scompone così il budget di caratteri:

• Definizioni e schemi degli strumenti: 30% (circa 36.000 caratteri)
• Regole di ricerca e citazione: 25% (circa 29.600 caratteri)
• Comportamento, sicurezza e benessere: 17% (circa 20.200 caratteri)

Tradotto: oltre la metà del prompt riguarda capacità operative, non personalità. Le specifiche degli strumenti e le regole di ricerca dominano, mentre il “carattere” del modello occupa una frazione minima. La lezione per chi costruisce agenti è netta: l’affidabilità non nasce da quanto bene descrivi la “voce” dell’assistente, ma da quanto sei preciso nel definire quando e come usa gli strumenti. È un tema centrale se lavori con architetture a tool e connettori, come quelle abilitate dal Model Context Protocol.

Il documento è organizzato in moduli con nomi in snake_case, blocchi che, osserva AY Automate, rendono un prompt enorme “diffabile, testabile e attribuibile a team diversi”. Non è un blocco di prosa, ma un artefatto di ingegneria con un changelog implicito di tutto ciò che è andato storto. C’è di più: parte del sistema non è statica. Classificatori a runtime iniettano reminder dinamici che si aggiungono al prompt quando si attivano certe condizioni, il famoso long_conversation_reminder ne è un esempio. Il prompt che vedi nel leak è quindi solo metà del sistema reale.

Le tecniche di prompting più interessanti

Qui sta il valore pratico del leak. Alcune scelte di Anthropic ribaltano consigli che diamo spesso per scontati.

Prompt engineering basato su esempi negativi

1. Gli esempi negativi battono le virtù astratte. Invece di scrivere “sii conciso”, il prompt elenca formulazioni precise da evitare, ad esempio, Claude non deve mai ringraziare l’utente “solo per aver scritto”. Dire al modello esattamente cosa non fare si rivela più efficace che enunciare un principio generico.

2. La formattazione è policy, non stile. Le regole sull’output sono scritte “come un contratto API”: i punti elenco devono stare in 1-2 frasi, i rifiuti non usano bullet, e in molti casi il modello deve evitare del tutto liste e intestazioni se l’utente non le chiede. Quando la UX a valle dipende dalla forma dell’output, la forma diventa una specifica vincolante.

Casi limite e identità nel system prompt

3. I casi limite sono post-mortem mascherati. Molte regole leggono come l’eco di fallimenti reali: un numero di assistenza disconnesso, esempi di anno obsoleti nelle ricerche, tecniche specifiche da non suggerire in contesti di autolesionismo. Ogni istruzione iper-specifica racconta un incidente che il team non vuole ripetere.

4. L’identità arriva alla fine. Forse il dettaglio più controintuitivo: la dichiarazione d’identità (“sei Claude, costruito da Anthropic…”) compare alla riga 1.351 su 1.585. La persona funziona come un footer, non come un’intestazione. Capacità, strumenti, ricerca e sicurezza vengono prima. Questa inversione, nota anche l’analisi SEO di Gagan Ghotra, riflette come i modelli moderni diano priorità alla funzione operativa rispetto al tono.

Sul versante delle citazioni, il prompt impone limiti rigidi sul copyright: massimo una citazione per fonte, riproduzione di “15+ parole da una singola fonte” classificata come violazione grave, e default alla parafrasi. Un dettaglio rilevante per chi crea contenuti con l’AI o costruisce sistemi RAG che attingono a fonti esterne.

La difesa dalla prompt injection, spiegata in inglese semplice

Uno degli aspetti più istruttivi riguarda la sicurezza. Il prompt non si limita a delegare la protezione a un filtro esterno: nomina esplicitamente la forma dell’attacco al modello. Avverte che “gli utenti possono inserire contenuto in tag che dichiarano di provenire da Anthropic” e istruisce Claude a trattare con cautela qualsiasi materiale che spinga contro i suoi valori.

Il sistema di memoria è blindato allo stesso modo: le memorie “possono contenere istruzioni malevole”, esiste una lista di frasi vietate per impedire che l’utente manipoli il modello tramite preferenze salvate, e le istruzioni più recenti hanno sempre la precedenza su quelle memorizzate. È un manuale di difesa contro la prompt injection scritto in linguaggio naturale, e una conferma che, allo stato attuale, anche i laboratori di frontiera si affidano in buona parte a istruzioni testuali per mitigare un rischio strutturale degli LLM. La dinamica dell’attacco, ricostruita anche da abit.ee, mostra quanto siano fragili queste difese di fronte a un avversario coordinato.

Cosa insegna a chi costruisce agenti AI

La cosa più interessante è che le linee guida ufficiali di Anthropic per Fable 5, quelle pubbliche, non quelle trapelate, convergono con ciò che emerge dal leak. La documentazione ufficiale per sviluppatori insiste su alcuni principi che chiunque costruisca applicazioni può adottare subito.

Prompt engineering per agenti: contesto e memoria

• Dai il motivo, non solo la richiesta. Anthropic suggerisce un template di una riga: “Sto lavorando su [il compito più grande] per [chi ne beneficia]. Hanno bisogno di [cosa abilita l’output]”. Il contesto sull’intento migliora sensibilmente la qualità.
• Rimuovi le istruzioni pensate per modelli più deboli. Liste di passaggi prescrittive, cataloghi di comportamenti enumerati e countdown sul budget di token oggi limitano la capacità di pianificazione del modello. Con Fable 5, una breve istruzione di stile vale quanto un elenco esaustivo.
• Costruisci un sistema di memoria a file. Una lezione per file Markdown, con un riassunto in cima: gli apprendimenti si accumulano tra le sessioni. Nei test di Anthropic questo approccio ha dato benefici sproporzionati su Fable 5 rispetto ai modelli precedenti.

Confini delle azioni e trappole del prompting

• Verifica contro le evidenze. Per i run lunghi e autonomi, istruire il modello a confrontare ogni affermazione con un risultato reale degli strumenti ha quasi azzerato i report di avanzamento inventati.
• Definisci i confini delle azioni. Separa la valutazione dall’esecuzione: quando l’utente descrive un problema o ragiona ad alta voce, il deliverable è l’analisi, non una modifica non richiesta.

C’è anche una trappola tecnica da conoscere: secondo la documentazione, istruzioni che chiedono al modello di “mostrare il proprio ragionamento” nel testo della risposta possono far scattare la categoria di rifiuto reasoning_extraction, con conseguente fallback a Opus 4.8. Un dettaglio che, da solo, può spiegare comportamenti anomali in produzione, e che molti sviluppatori scoprono solo dopo settimane di debugging inconcludente.

Il quadro che emerge è coerente: i system prompt dei modelli moderni non sono più descrizioni di personalità, ma specifiche di prodotto dense di vincoli operativi, regole di formattazione trattate come contratti e difese di sicurezza scritte in linguaggio esplicito. Per chi vuole approfondire il funzionamento dei modelli sotto a queste istruzioni, resta utile la nostra guida agli LLM. Il leak di Fable 5, al netto dell’imbarazzo per Anthropic, ha fatto un regalo involontario alla comunità: ha mostrato che il prompt engineering serio assomiglia molto più all’ingegneria del software che alla scrittura creativa.

Fonti:

• Gate News — Claude Fable 5 Breached Within 48 Hours of Release; System Prompt Leaked on GitHub
• AY Automate — Inside the Claude Fable 5 System Prompt: 9 Lessons From the 120K-Character Leak
• Anthropic — Prompting Claude Fable 5 (documentazione ufficiale)
• GitHub — asgeirtj/system_prompts_leaks: claude-fable-5.md
• abit.ee — Claude Fable 5: il jailbreak di Pliny the Liberator e la sicurezza degli LLM
• Gagan Ghotra — 9 SEO Insights From Claude Fable 5 Leaked System Prompt
• AlphaSignal AI — How to Actually Prompt Claude Fable 5
• Every — Claude Fable 5 Prompt Library