ZCode 提示词泄露给营销人的启示：391,439 个字符透露了你技术栈的真实风险面

2026 年 8 月 15 日早上,自称 Pliny the Liberator 的研究者把三个文件推到了他的 CL4R1T4S 泄露仓库 —— Prompts.md、Tools.json、Skills.md。三个加起来共 391,439 个字符。这就是 Z.ai 给它新发布的 GLM-5.3 模型配套的编程智能体 ZCode 的完整运行提示词、全部工具调用 schema、以及四个内置技能手册。字符数成了新闻标题。但真正有意思的部分在里面。

如果你不在做智能体基础设施,你可以原谅自己跳过这条新闻。看起来就是个安全故事 —— 一家中国厂商的秘密被曝光,一个 AI 越狱研究者又在搞事,典型的夏末剧本。但问题在于:这次泄露的实质,根本不是 Z.ai,也不是 Pliny。它讲的是过去两年把 AI 智能体接到自己工作流里的每个营销人。因为这 391K 字符证明了一件让人不舒服的事:包裹你 AI 智能体的脚手架,比底下的模型更具可迁移性。工具名是别人家的工具名。技能格式是别人家的技能格式。你以为只能跑在某一家供应商上的营销活儿,结构上离跑在另外三家任何一家上只差两次点击。这不是个泄露故事 —— 这是个"技术栈可迁移性"故事穿了泄露的外衣。

到底泄露了什么

8 月 15 日的泄露分成三个文件,每个文件告诉营销人的都是你不写代码也该关心的事:

Prompts.md 是运行系统提示词 —— 身份声明、工具使用指令、安全护栏、格式规则、智能体工作流(计划模式、探索、完成验证)、记忆规则、会话管理。这是模型每个回合都要读的那本操作手册。

Tools.json 是函数调用 schema —— 智能体能调用的每个工具,带名字和参数。这里有意思的发现,explainx.ai 和 aimodeling.com 的分析都指出了:工具名 —— Agent、AskUserQuestion、Bash、Edit、Read、Write、Skill、TodoRead、TodoWrite、WebFetch、WebSearch —— 是 Claude Code 的工具名,一字不差。这些不是某个独立团队碰巧选出来的通用名字。Prompts.md 的身份声明在同一段文本里既把智能体叫成 "Claude agent" 又叫成 "ZCode" —— 暗示这套脚手架是从 Claude Code 衍生过来的,而不是为 GLM-5.3 独立写的。

Skills.md 是四个内置技能手册 —— 浏览器控制、GUI 测试、.docx 生成、PDF 生成。每个都按"程序式剧本"的格式写:带路由逻辑、校验步骤、明确的"不要做"清单,不是简单的 API 文档。.docx 技能的开头写着 "A .docx file is a ZIP archive containing XML files" —— 这跟 Anthropic 自己公开的 Agent Skills 用的是同一个框架。

这些 Z.ai 都没有官方确认。仓库本身是个未经证实的研究产物。但结构是自洽的,它推导出的结论和这个系列之前的每一次泄露一致 —— Pliny 7 月泄露的 GPT-5.6 Sol 的 Codex 提示词、6 月泄露的 Claude Fable 5:工具契约、技能剧本、安全圈定、格式规则 —— 每回合注入的提示工程 —— 正在变成智能体产品的核心资产。模型越来越可互换。脚手架是护城河。但脚手架恰恰是那个被泄露、被 fork、被每个厂商在两个版本周期内就趋同收敛的部分。

这就是给实战派的钩子。它到底改变了什么?你跑营销技术栈的方式应该怎么变?

这件事触发了我技术栈里的 3 个变化

1. 闭源模型的"护城河"刚变薄了。 两年前我会跟你说,Claude 和 GPT-5.6 Sol 在营销工作上的差别,是任何技术栈决策的决定性因素。看完这次泄露我不太确定了。GLM-5.3 上跑的 ZCode 脚手架读的那套指令和工具契约,功能上跟 Claude Code 读的是同构的。大家觉得是"Claude 的语气"或"Sol 的推理风格"的东西,越来越是脚手架里写死的,而不是权重里长出来的。这就是为什么我的 OpenRouter 轮转现在里挂了三个模型而不是一个 —— 也是为什么账单从一季度的 $1,840 降到了 $890,而输出质量反而没变差。当脚手架可迁移,底下的模型就更像个"性价比旋钮",而不是品牌身份。

2. 技能可迁移性刚变成一个预算科目。 我本地的 OpenClaw 跑着 6 个每日营销活儿,部署在每月 $12 的 VPS 上 —— 竞品监控、每日 SEO 摘要、潜客补全、Reddit 分流、内容改写、每周邮件简报。我写的每个技能都是一个文件夹,带 SKILL.md 和一个小 Python 脚本。看完这次泄露,我更确信同一个技能文件夹稍作改写就能在 Lindy、ChatGPT Work、ZCode、Claude Code 或者下一个智能体脚手架上跑起来。这意味着每个任务的基建成本在持续压缩。我三月建的技能九月还有用,明年三月还会有用。技能可迁移性是你 AI 工具预算应该按折旧资产(18 个月半衰期)而不是订阅来算的一个被低估的原因。

3. 营销数据的卫生标准刚变得更紧迫。 ZCode 这次泄露的也不是客户数据 —— 是提示词。但这个系列每一次"泄露的提示词"都在提醒一件事:你拿来跑客户邮件和 CRM 记录的同一套工具,也会被推到供应商的 CI 日志、内部审核委员会、以及现在的泄露仓库里。泄露不会让任何单独一天 PII(可识别个人信息)暴露的概率变大;它让你整个技术栈生命周期的累计暴露比按请求计算的模型显示得更高。操作上的应对:把客户 PII 类任务 —— 任何触及邮箱、电话号、账单数据的东西 —— 走私有部署(Ollama + 自托管模型,或者一个 OpenClaw 技能在调用 API 前先把标识符剥掉),或者走那种你能一坐坐下来读完数据驻留合同的供应商。API 默认档不再是合规工作能站得住脚的默认值,而这个系列的每次泄露都在把它往外推一步。

未来 30 天的 2 个观察项

许可证的清晰度。 GLM-5.3 的开源权重 8 月 28 日按自定义许可证放出 —— 不是 MIT,不像 GLM-5.2。额外的条款针对年收入超过 100 亿美元的模型托管公司(它们需要 Z.ai 的安全审核)。对大多数营销人来说没影响;但对任何开代理公司或中等规模 SaaS 的从业者,许可证文本值得你花 45 分钟读一读。要观察:任何衍生 fork 许可证的漂移(把泄露的技能文件按 Mistral、Llama、Qwen 风格改写),以及任何供应商把"技能格式可迁移性"框成竞争问题而不是特性的回应。前者制造风险;后者意味着这家供应商在试图锁住一个本来就锁不住的东西。

供应商的回应。 截至本文撰写时,Z.ai 没有官方回应这次泄露。两种可能的反应 —— 给 GitHub 发下架请求(CL4R1T4S 是个 47k star 的公开仓库)或者悄悄加固内部提示词的发布卫生 —— 都能告诉你点什么。下架意味着这家实验室把脚手架当成私有 IP(泄露说明结构上它就不是)。悄悄加固意味着这家实验室把它当一次性事件翻篇。要看的是回应的形式,不是速度。有意思的反应会是 Z.ai 发一条"我们学到了什么、什么会变"的说明 —— 那将说明他们懂"趋同收敛"才是这个故事的重点 —— 也是唯一真正帮到营销人的回应。

收尾的视角转换

内部提示词的泄露,在过去是个"供应商丢面子"的故事。今年夏天过后 —— Pliny 7 月泄露 GPT-5.6 Sol 的 Codex 提示词,6 月泄露 Claude Fable 5,现在 8 月 ZCode —— 它变成一个"你的技术栈比你以为的更可迁移"的故事。每一次泄露讲的都是同一个发现,只是字体不同:工具契约长一样,技能剧本长一样,身份声明长一样,而你感受到的"Claude 语气"或"Sol 推理"只是套在越来越共用的脚手架上面的一层薄薄的系统提示词。对那些为可迁移性做规划的营销人来说这是好消息。对那些想靠"模型就是产品"卖给你的供应商来说是不舒服的消息。

实战派的应对还是同一个我一直做的事:别把工作流绑死在某一个模型上。别把技能绑死在某一个脚手架上。别把客户数据绑死在某一家供应商的默认留存策略上。把每次泄露都当成同一件事来用 —— 一场免费的行业共识审计。然后建在共识之上,不是建在差异之上。泄露不是新闻。趋同收敛才是。