System prompts filtrados: el changelog que la industria no publica

El repositorio público asgeirtj/system_prompts_leaks, en GitHub, recopila las instrucciones y reglas que ChatGPT, Claude, Gemini, Grok y otros chatbots reciben antes del primer mensaje del usuario. Se actualiza con regularidad. Quien entre buscando un chivatazo se va a quedar a medias.

El propio repo suma 66.200 estrellas y 10.800 forks. Eso ya no es una rareza de cuatro curiosos. Es una comunidad leyendo las instrucciones internas de los modelos comerciales con la misma lógica con la que se sigue un lanzamiento de software.

Las adiciones más recientes son del 13 de septiembre de 2026: el system prompt local de ChatGPT Work Codex y el de Gemini 3.8 Flash. Antes aparecen Claude Fable 5.1, Codex GPT-6-Astra y Grok 4.6, con capturas de finales de agosto y principios de septiembre. Fechas, nombres de producto, archivos nuevos. El rastro útil no es quién se lo sacó. Es qué versión de qué producto cambió y cuándo.

Ahí está el corte. El system prompt ha dejado de ser un texto oculto y se ha convertido en una pieza de producto versionada y auditable. Lo que se puede leer no es la ideología del modelo. Es su maquinaria operativa: herramientas, skills, componentes de arranque. Decisiones de diseño. Y que una empresa sirva un prompt y otra no sirva ninguno demuestra que el prompt es una elección de producto, no una fatalidad técnica.

Lo que hay dentro no es un manifiesto

La captura del system prompt de Claude Design publicada en el repo incluye el prompt completo, 53 herramientas y 22 skills. Lista además 10 starter components. Eso no es un preámbulo bonito. Es media ficha de producto metida en un archivo de texto.

Noticias AI lo formuló con otra lupa, en febrero de 2026: el system prompt funciona en la práctica como secreto industrial no por el texto en sí, sino porque revela la lógica operativa del agente. Qué herramientas puede usar, cómo decide, qué se considera permitido y cómo se gestiona la información sensible. El repo enseña el inventario. El análisis periodístico explica por qué ese inventario duele más que una frase de tono.

Si Claude Code, Codex y Cursor coinciden solo el 42% al elegir herramientas, el desacuerdo no vive en el modelo abstracto. Vive en esa capa: qué se enchufa, con qué permiso y en qué orden. El system prompt es, en buena parte, esa lista de enchufes. Quien lo trate como un manifiesto moral está leyendo el manual de la cafetera para entender al barista.

Hay un límite que conviene dejar clavado desde ya. El repo se presenta como extracciones "verbatim". Las fuentes consultadas no recogen el método exacto de extracción ni una verificación independiente de cada archivo. La prensa que ha trabajado con ese material avisa de que puede haber reconstrucciones o textos inventados. Se puede seguir el rastro de versiones. No se puede jurar que cada fichero sea el original intacto.

Anthropic ya te dice que es una capa

En su documentación de system prompts, Anthropic confirma que la interfaz web (claude.ai) y las apps móviles usan un system prompt. Ese texto aporta información actualizada, la fecha, por ejemplo, y empuja comportamientos concretos, como servir el código siempre en Markdown. Se actualiza periódicamente. Y no se aplica a la API.

Eso lo dice el fabricante, no un dump de GitHub. El prompt del chat es una capa de producto. El mismo modelo, por API, llega sin esa capa. Quien lea un archivo del repo y concluya que "así es Claude" está mezclando el envoltorio con el motor.

La Constitution de Anthropic empuja en la misma dirección por otro camino. Prefieren cultivar buen juicio antes que un catálogo de reglas rígidas: entrenar comportamientos estrechos puede generalizar mal en la identidad del modelo, y un conjunto mínimo de reglas bien entendidas generaliza mejor que restricciones impuestas sin explicación. Leer el prompt no equivale a predecir la conducta. El propio enfoque declarado apunta a que el comportamiento no vive entero en ese texto.

El contraste queda limpio. El repo (y quien lo usa como dataset) trata el system prompt como pieza comparable. El fabricante trata esa pieza como capa que se actualiza, que no cubre la API y que no pretende ser el sistema completo. Las dos cosas pueden ser ciertas a la vez. La ficha técnica existe. El oráculo, no.

GLM no sirve prompt y eso también es diseño

El repositorio documenta y verifica una excepción que vale más que mil capturas: GLM (Z.ai) no sirve ningún system prompt. Así consta en su propia entrada.

Si el resto de la industria rellena esa capa con herramientas, skills y componentes de arranque, y Z.ai deja el hueco vacío, el hueco también es una decisión. No hay una ley física que obligue a meter un bloque de instrucciones antes del primer mensaje. Hay un producto que lo hace y un producto que no. El prompt deja de parecer un destino técnico y se parece a lo que es: configuración.

Eso desplaza la conversación. Deja de importar tanto "qué me ocultan" y empieza a importar qué configuración operativa lleva cada producto y cómo se compara con la de al lado. El propio fabricante de Claude, al distinguir web y apps de API, está admitiendo el mismo principio: el prompt se sirve o no se sirve según el canal.

De chivatazo a dataset

El repo ya no vive solo en GitHub. The Washington Post construyó sobre esos prompts una historia interactiva, "See the hidden rules behind AI", el 11 de mayo de 2026. CEPS' AI World lanzó un dashboard de datos en vivo a partir de sus archivos el 10 de julio. La prensa no lo trata como un filtrado de una noche. Lo trata como un corpus que se puede indexar, comparar y actualizar.

Ahí se cierra el arco que el escándalo no deja ver. Cuando un medio monta un interactivo y un centro de análisis monta un panel en vivo, el system prompt ha cruzado el umbral: ya se lee como ficha técnica. Tosca, incompleta, con capturas que pueden estar desfasadas. Ficha técnica, igual.

Noticias AI recuperó el argumento de seguridad que suele acompañar a estos dumps: la seguridad basada en ocultar instrucciones es débil por definición. Si un sistema depende de que nadie vea su prompt para no romperse, ya está roto. El uso más sano del repositorio no es coleccionar secretos ajenos. Es el defensivo: threat modeling, red-teaming realista y asumir que el propio prompt es público.

Si el producto se cae porque alguien leyó las instrucciones, el fallo no es la lectura.

Quien diseñe todavía como si el system prompt fuera un cajón con llave está diseñando para un mercado que el propio GitHub, la prensa y la documentación del fabricante ya han dejado atrás. Tu prompt no está mal escrito, está mal entendido: y el malentendido gordo, aquí, es tratar esa capa como misterio en vez de como configuración.

Lo que el archivo no te va a contar

Las versiones vigentes pueden haber cambiado respecto a las fechas de captura. Anthropic dice, sin rodeos, que el prompt de su interfaz se actualiza periódicamente. Un snapshot de septiembre no es la configuración de hoy. Es la configuración de esa captura.

Tampoco consta en las fuentes consultadas ninguna reacción oficial de OpenAI, Google o xAI sobre el repositorio. El silencio de unos y la documentación explícita de Anthropic no pesan lo mismo, y no conviene mezclarlos.

El contrapunto de fondo sigue en pie. Un puñado de reglas bien entendidas, según la Constitution de Anthropic, generaliza mejor que un mural de restricciones. El prompt de la interfaz no es el sistema. GLM demuestra que se puede servir cero. El archivo te enseña una capa de producto. No te enseña al modelo.

La consecuencia práctica es más seca que el morbo. El system prompt empieza a poder tratarse como ficha técnica comparable: qué herramientas declara, qué skills carga, si hay o no hay capa de arranque, si esa capa vale para el chat y no para la API. Quien quiera predecir cada respuesta a partir de un.md se va a estrellar. Quien quiera comparar productos por su configuración operativa ya tiene material. Incómodo, incompleto y, por primera vez, legible.

Preguntas frecuentes

¿Qué es el repositorio system_prompts_leaks de GitHub?

Es un repositorio público (asgeirtj/system_prompts_leaks) que recopila system prompts extraídos de chatbots como ChatGPT, Claude, Gemini y Grok, y se actualiza con regularidad. Acumula decenas de miles de estrellas y ya lo han usado The Washington Post y CEPS' AI World como corpus. Las fuentes consultadas no recogen el método de extracción ni una verificación independiente de cada archivo.

¿Los prompts del repo son los que usan ahora ChatGPT o Claude?

No consta que lo sean. Solo consta la fecha de cada adición al repositorio; las versiones vigentes pueden haber cambiado. Anthropic documenta que el prompt de claude.ai y las apps se actualiza periódicamente. Una captura es un snapshot de producto, no la configuración en vigor.

¿El system prompt de Claude.ai se aplica también a la API?

No. La documentación oficial de Anthropic deja claro que el system prompt de la web y las apps móviles no se aplica a la API. Es una capa de producto: aporta datos como la fecha y empuja hábitos del chat, por ejemplo el código en Markdown. El mismo modelo, por API, llega sin esa capa.

¿Para qué sirve leer un system prompt filtrado?

Para ver la configuración operativa de un producto, herramientas, skills, componentes, y compararla con la de al lado, no para predecir cada respuesta. La Constitution de Anthropic sostiene que un puñado de reglas bien entendidas generaliza mejor que un catálogo rígido. El uso más sano es defensivo: asumir que tu propio prompt es público.