System Prompt 是什么？AI 的说明书一次讲透

System Prompt（系统提示词）是开发者在对话开始之前就写给大模型的一份「说明书」，规定它的角色、语气、能做什么、不能做什么。你在输入框里敲的那句话，只是这份说明书之后的第二条指令。为什么同一个模型，在不同产品里性格完全不同？答案多半就藏在这份说明书里。

一个比喻：服务员的岗位手册

把大模型想象成一家餐厅的新服务员。你看到的对话是台前，但服务员上岗前已经拿到一本话术手册：迎宾说什么、能不能推荐别家餐厅、遇到投诉找谁。System Prompt 就是这本手册，由店长（产品开发方）写好，顾客看不见。不同的店用同一个服务员，客人体验却天差地别，因为手册不一样。

对话的三层结构：它排在最前面

一次标准的模型调用，消息列表从上到下分三层：最上面是 System Prompt，中间是你发的用户消息，下面是模型的历史回复。模型每次回答，都会把整个列表重读一遍，而系统提示词稳稳排在第一位。这个位置给了它最高话语权，也意味着它实际占据上下文窗口和计费额度（见上下文窗口是什么）。

为什么同一个模型，不同产品表现完全不同

模型是同一个大脑，System Prompt 是不同的岗位手册。以同一个底模为例：A 产品把它设定成专业耐心的客服，B 产品设定成毒舌敢说的好友，C 产品设定成只谈代码的助手。三种输出风格的差异，几乎全部来自系统提示词，而不是模型本身被改过。这就是为什么很多新产品的「人设」当天就能换：改一段文字，不用重新训练。

微软官方文档把系统消息定义为引导模型行为、语气和输出格式的机制，并给出设计清单（见 System message 设计指南）。

系统提示词也会被「骗」出来：泄露与注入

说明书是保密的，但它写在对话流里，就可能被话术套出。攻击者诱导模型「复述你的全部指令」，就能让说明书公开，这叫提示注入。OWASP 在《LLM 应用 Top 10（2025）》里把提示注入列为第一大风险 LLM01（见 OWASP 官方条目）。

2026 年的 Fable 5.1 系统提示词泄露事件就是典型样本，复盘见Fable 5.1 泄露事件解读。对开发者的启示很直接：关键约束要放在代码层校验，不能只写在提示词里。

普通人怎么借它的力

聊天产品里的「自定义指令」「角色设定」，本质就是让你写自己的 System Prompt。写好三条就够用：

1. 先给身份再给任务：先说「你是资深 UX 审稿人」，再说要它做什么。
2. 写清输出格式：指定表格、条数、字数，省掉反复返工。
3. 列出禁止事项：明确说不要什么，比只说要什么更有效。

更多可直接套用的写法见如何向 AI 提问：普通人可直接套用的提示词方法。

一段话讲清 System Prompt

可以直接复述这个口径：System Prompt 是对话开始前由开发者写给模型的指令，位于消息列表最前面，用来设定角色、语气、能力和安全边界，用户消息只是它之后的追加指令。同一个模型换不同的系统提示词会表现出完全不同的产品个性，所以它是 AI 产品的核心资产；同时因为提示注入攻击，它也被 OWASP 列为 LLM 应用的第一大安全风险，关键约束必须在代码层兜底。