Промпт: что это, из каких элементов состоит и что такое системный промпт

Промпт — всё, что языковая модель получает перед тем, как ответить: вопрос пользователя, приложенный документ или картинку, инструкции разработчика и историю переписки. О задаче модель не знает ничего сверх этого текста, поэтому один и тот же вопрос с разным контекстом даёт разные ответы.

Слово пришло из английского: prompt — «подсказка», «побуждение». В русских текстах встречаются оба написания, «промпт» и «промт»; первое ближе к английскому произношению. Составление и проверку промптов называют промпт-инжинирингом, а людей, которые этим занимаются, — промпт-инженерами.

Промпт есть не только у чат-ботов. Генератору изображений или видео в промпте описывают сцену, стиль, свет и формат кадра. ИИ-агенту — программе, которая сама выполняет шаги задачи, — промпт задаёт цель и правила, а дальше агент дописывает в свой контекст результаты собственных действий.

Объём промпта ограничен контекстным окном модели и считается в токенах — фрагментах слов. На 14 ноября 2026 года окно у актуальных моделей Claude — 1 млн токенов, у моделей GPT-6 в API — 1,05 млн.

Запрос «элементы промпта» чаще всего приходит из учебных заданий вида «посмотрите на промпт и выберите элементы». Классическую схему приводит открытое руководство Prompt Engineering Guide: в промпте выделяют четыре элемента, и обязательны не все.

OpenAI в руководстве для разработчиков делит инструкции похоже, но добавляет роль и примеры. Обычный порядок, по описанию компании: идентичность (назначение и стиль ассистента), инструкции (что делать и чего не делать), примеры (образцы входа и нужного ответа), контекст (дополнительные сведения, обычно ближе к концу). Отсюда расширенная схема, которую дают в курсах: роль, задача, контекст, формат, ограничения, примеры.

Промпт, в котором есть все элементы:

Ты юрист, который объясняет договоры владельцам малого бизнеса (роль). Перескажи условия расторжения из договора ниже (инструкция). Читатель — владелец кофейни без юридического образования (контекст). «…текст договора…» (входные данные). Ответ — список из пяти пунктов, без латинских терминов (формат).

Anthropic в руководстве по промптам для Claude сравнивает модель с толковым, но новым сотрудником, которому не известны правила и привычки компании: чем точнее описана задача, тем лучше результат. Из конкретных приёмов компания называет три–пять примеров нужного ответа, разметку частей промпта тегами вроде <instructions> и <context> и размещение длинных документов в начале промпта, выше вопроса. Примеры в промпте называют few-shot: модель подстраивается под образцы без дополнительного обучения.

Системный промпт — инструкции, которые разработчик чат-бота или сервиса передаёт модели до сообщений пользователя. В них описаны роль ассистента, тон, язык ответа, запреты и доступные инструменты. Пользователь их обычно не видит, а модель учитывает перед каждым ответом.

У частей промпта разный вес. В документации OpenAI сказано, что инструкции разработчика ставятся выше сообщений пользователя. Anthropic рекомендует задавать роль модели именно в системном промпте и там же указывать язык ответа: так инструкция не меняется на протяжении всего диалога.

Секретов системный промпт не защищает. Исследователи Varonis серией вопросов выведали у Microsoft Copilot недокументированный параметр, который запускал чужой запрос без подтверждения пользователя: ассистент пересказал то, что знал о собственной защите. Microsoft закрыла уязвимость 18 августа 2026 года. Вывод специалистов по безопасности: всё, что попало в контекст модели, может оказаться в её ответе.

От системного промпта зависит и цена. Провайдеры API запоминают повторяющееся начало промпта (кэшируют) и берут за него меньше: у Claude чтение из кэша стоит 10% базовой цены входа, у Opus 5.5 и Sonnet 5.5 — 5%. Меняющаяся строка в начале системного промпта, например текущее время, лишает разработчика этой скидки.

Промпт-инъекция — атака, при которой текст, попавший в промпт, меняет поведение модели вопреки замыслу разработчика. Название 12 сентября 2022 года предложил программист Саймон Уиллисон по аналогии с SQL-инъекцией: в обоих случаях доверенные инструкции склеиваются с непроверенным вводом. Поводом стал опыт Райли Гудсайда: модель GPT-3 переводила текст на французский, пока во входных данных не появилась фраза «Ignore the above directions» («Игнорируй указания выше») с новым заданием — и модель выполнила его.

Фонд OWASP, который ведёт перечни угроз для программ, в списке рисков приложений на больших языковых моделях за 2025 год ставит промпт-инъекцию на первое место. Он различает два вида:

• прямая — пользователь сам пишет модели команду обойти правила;
• косвенная — команда спрятана во внешнем источнике: на веб-странице, в письме, в файле, который модель читает по заданию. Человек её может не видеть вовсе.

Косвенные инъекции опасны для ИИ-агентов, потому что агент не только пишет текст, но и действует. Исследователь Иоганн Ребергер в августе 2026 года показал атаку на автономный режим Claude Code: агент скачивал и распаковывал архив, а затем запускал спрятанный в нём код. По словам Ребергера, атака срабатывала в 80% попыток; в нескольких запусках Claude замечал взлом и пытался остановить процесс, но защитный режим запретил ему эту команду.

Надёжного способа исключить инъекции нет. OWASP перечисляет меры, которые снижают риск: ограничить роль модели в системном промпте, проверять формат ответа программным кодом, выдавать модели минимум прав, помечать внешний текст как непроверенный и требовать подтверждения человека перед рискованными действиями.

Разница между промптами чаще всего — в контексте и формате ответа. Ниже — одни и те же задачи в двух вариантах.

Рабочий вариант длиннее, но отвечает на вопросы, которые модель иначе решила бы сама: для кого текст, какого он объёма, что в нём нельзя менять. Для генераторов изображений и видео промпт ближе к описанию кадра, чем к поручению: в нём важны предмет, обстановка, стиль, свет и соотношение сторон.

Промпты пишут на любом языке, который понимает модель. Anthropic советует прямо указывать язык ответа, если он важен, и подавать текст в родной письменности, а не транслитом. Русский текст у разных моделей занимает разное число токенов: «Яндекс» указывает, что его токенизатор оптимизирован для русского языка, поэтому та же фраза стоит в его моделях дешевле.

• LLM, большая языковая модель, — модель, которая читает промпт и продолжает текст.
• Токен — фрагмент слова; в токенах считают длину промпта и цену запроса.
• Контекстное окно — предельный объём промпта вместе с ответом, который модель обрабатывает за раз.
• Промпт-инжиниринг — составление, проверка и доработка промптов под задачу.
• Few-shot — примеры нужного ответа внутри промпта.
• RAG — способ подставлять в промпт найденные по запросу документы, чтобы модель отвечала по свежим или внутренним данным.
• ИИ-агент — программа, которая получает в промпте цель и дальше сама выполняет шаги с помощью инструментов.