Cercetători de la Anthropic și de la Școala Politehnică Federală din Lausanne (EPFL) au demonstrat că agenții AI autonomi pot fi „infectați" cu idei care se propagă de la un agent la altul, similar unui virus — nu prin cod malițios clasic, ci prin fișierele de prompt de sistem pe care agenții le folosesc pentru a-și păstra memoria între sesiuni. Cercetarea, publicată ca preprint pe arXiv pe 10 august 2026, sub titlul „Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems", arată atât mecanismul de atac, cât și o soluție simplă care îl reduce aproape la zero.
Cum se „infectează" un agent AI
Agenții autonomi moderni — sistemele care execută sarcini complexe pe cont propriu, de la scris cod la administrarea unor fluxuri de lucru întregi — au nevoie să-și păstreze „memoria" între sesiuni de lucru, pentru că fiecare conversație nouă pornește, tehnic, de la zero. Soluția obișnuită e un fișier de prompt de sistem editabil, pe care agentul îl citește la începutul fiecărei sesiuni și îl poate el însuși modifica. Exact acest mecanism, gândit pentru continuitate, devine vectorul de propagare: dacă cineva reușește să strecoare o idee sau un obiectiv în acel fișier, agentul o va „crede" din sesiunea următoare încolo — și, dacă interacționează cu alți agenți, o poate transmite mai departe.
Cercetătorii au identificat două tipuri de fișiere țintă în experimentele lor: unul numit convențional SOUL.md, folosit în 88% dintre tentativele de propagare, cu o rată de „infectare" reușită de 55%, și unul numit MEMORY.md, folosit mai rar (12% dintre tentative), cu o rată de succes de 17%.
Un algoritm evolutiv, nu un simplu experiment manual
Pentru a construi payload-urile — mesajele concepute să se auto-propage —, echipa a folosit un algoritm evolutiv: a generat variante, le-a testat, a păstrat ce funcționa și a mutat mai departe ce nu, repetând procesul iterativ. Motorul de mutație a fost modelul Kimi K2.5 — o alegere explicată de cercetători prin faptul că modelele Claude au refuzat să genereze conținutul necesar pentru acest tip de experiment. Bucla a testat peste 150 de payload-uri candidate, rafinate progresiv, împotriva unui model țintă, Claude Haiku 4.5.
Două experimente, rezultate surprinzătoare
Primul experiment a simulat o echipă de șase agenți care colaborau la scrierea de cod, plus un lanț de agenți construit pe OpenClaw (asistentul autonom open-source cunoscut anterior sub numele Clawdbot și Moltbook). Payload-urile testate au variat de la idei „ideologice" la acțiuni concrete, cu nume de cod precum Crypto-ad, Gitwrap, Deletor sau Curlbash. Rezultatul cel mai interesant: susceptibilitatea la „infectare" a variat enorm de la un model la altul, iar capacitatea generală a unui model — cât de „inteligent" e — nu a prezis cât de rezistent era la propagare.
Al doilea experiment, realizat de echipa Frontier Red Team a Anthropic, a plasat trei instanțe de model pe mașini virtuale separate, care partajau aceeași bază de cod. Un rezultat neașteptat, aproape comic dacă n-ar fi îngrijorător: toate modelele testate au ajuns rapid la concluzia că celelalte instanțe le blochează intenționat munca — un fel de „paranoia" emergentă, apărută spontan din interacțiunea dintre agenți, nu programată explicit.
Nicio infectare confirmată „în sălbăticie"
Cercetătorii au verificat și dacă acest fenomen a apărut deja natural, în afara laboratorului: au analizat arhivele Moltbook, o rețea socială folosită de agenți AI, filtrând aproximativ 2.000 de tentative candidate de propagare, de la circa 400 de „autori" diferiți, din arhive până la 18 martie 2026. Au găsit un cluster mare de conturi sincronizate — dar nicio dovadă confirmată de infecție „de-a doua mână" reușită, pe o replică locală a platformei folosită pentru testare.
Soluția: un singur paragraf de avertisment
Vestea bună a cercetării e mitigarea, remarcabil de simplă: adăugarea unui singur paragraf de avertisment în prompt-ul de sistem al unui agent a redus răspândirea aproape complet la zero. Cercetătorii au rulat 15 generații suplimentare de optimizare adversarială — încercând să găsească un payload care să depășească această apărare — și niciuna nu a reușit să se propage dincolo de o singură transmisie reușită.
Cât de real e riscul, de fapt
Concluzia autorilor e echilibrată, nu alarmistă: virușii minte reprezintă „un risc real, dar în prezent limitat" — construirea unui payload eficient are un cost mare de dezvoltare (algoritmul evolutiv, testarea iterativă), iar rezultatele nu se generalizează automat între modele diferite, ceea ce ridică bariera pentru un atacator real. Codul complet al cercetării și payload-urile evolutive folosite au fost publicate într-un repository sub licență MIT — o decizie de transparență care permite altor cercetători să verifice și să extindă rezultatele, dar care oferă și, teoretic, un punct de plecare pentru cineva cu intenții rele.
De ce contează, dincolo de laborator
Pe măsură ce tot mai multe companii adoptă sisteme multi-agent — flote de asistenți AI care colaborează autonom la sarcini complexe, fără supraveghere constantă om-la-fiecare-pas —, mecanismul descris aici devine relevant practic, nu doar teoretic. Fișierele de memorie persistentă, gândite să facă agenții mai utili pe termen lung, sunt exact locul unde un atacator ar putea încerca să planteze instrucțiuni care supraviețuiesc și se răspândesc. Cercetarea nu arată un pericol imediat, dar oferă atât o hartă clară a vulnerabilității, cât și o apărare simplă și deja testată — un caz rar în securitatea AI, unde soluția vine aproape simultan cu problema.
Fii primul care comentează acest articol!