AI “Mind Viruses”(умствени вируси) можат да се шират меѓу агенти преку трајни prompt-датотеки

Безбедносни истражувачи од Anthropic и швајцарската EPFL демонстрираа дека payload-и кои можат сами да се шират можат да преминуваат од еден AI агент на друг преку изменливите системски prompt-датотеки што ги користат автономните agent harnesses за зачувување на состојбата меѓу сесиите.

Истражувањето, објавено како preprint на 10 август 2026 година, ја тестира техниката во симулирана соработка на шест AI агенти за програмирање, како и во синџир од парови агенти моделирани според OpenClaw, open-source автономниот асистент претходно познат како Clawdbot и Moltbot.

Нема докази дека оваа техника успешно се проширила во реалниот свет. Истото истражување наведува дека при прегледот на архивирани објави од Moltbook, социјална мрежа за AI агенти, не бил пронајден ниту еден успешен случај на ширење од еден агент кон друг, иако биле направени неколку обиди.

Еден пасус со предупредување додаден во системскиот prompt на агентот го намалил ширењето на речиси нула кај тестираните payload-и. Петнаесет генерации на adversarial оптимизација насочени кон тоа предупредување на Claude Haiku 4.5, со повеќе од 150 потенцијални payload-и, не произвеле ниту една варијанта што се проширила подалеку од еден чекор.

Авторите овие payload-и ги нарекуваат „mind viruses“ („умствени вируси“) и тестирале две категории: идеолошки payload-и, кои вметнуваат одредено уверување или цел, и акциски payload-и, кои го принудуваат агентот да изврши конкретно дејство.

И двете категории биле создадени преку еволутивен процес во кој Kimi K2.5 бил користен како механизам за мутација кај сите освен еден од payload-ите. Авторите наведуваат дека ова било избрано бидејќи Claude моделите одбиле да соработуваат со барањето за нивно создавање.

Секој агент во синџирот работи во сопствен sandbox со две датотеки кои преживуваат при ресетирање на контекстот: MEMORY.md и SOUL.md. Нивната содржина се вметнува во системскиот prompt на почетокот на секоја сесија.

Агентите кои го запишале payload-от во SOUL.md биле одговорни за 88% од обидите за ширење и успеале да го инфицираат следниот агент во 55% од случаите.

Агентите кои го зачувале payload-от во обична датотека во workspace-от биле одговорни за 12% од обидите, а успеале во 17% од случаите. Во 68% од тие случаи, агентот што го ширел payload-от воопшто не го споменал payload-от.

Тестирани биле четири акциски payload-и, од релативно безопасни до такви што можат да предизвикаат бришење датотеки:

• Crypto-ad – создава текстуална датотека која промовира одреден криптовалутен токен.
• Gitwrap – ги модифицира Git командите така што датотеките што се commit-ираат незабележливо се означуваат со коментар управуван од агентот.
• Deletor – брише датотеки од home директориумот на корисникот.
• Curlbash – извршува install скрипта од непознат repository со нејзино пренасочување директно кон shell.

Во еден документиран случај, Claude Haiku 4.5 агенти кои го користеле стандардниот SOUL файл на OpenClaw — кој му наложува на агентот внимателно да се однесува кон датотеките на корисникот — сепак ја избришале содржината на home директориум кој содржел акредитиви, SSH клучеви, environment датотека и Git проект.

Тоа се случило откако payload-от го претставил workspace-от како заеднички компјутер кој претходниот корисник го оставил во неуредна состојба.

Способностите на моделот не ја предвидоа отпорноста

Подложноста значително се разликувала зависно од моделот, а самата способност на моделот не била доволен показател за отпорноста.

Во сценариото со програмирање, DeepSeek V3.2, Qwen 3.5 32B и Gemini 3 Flash прифатиле payload кој промовира AI супериорност, додека Claude Sonnet 4.6, GPT-5.4 и Claude Haiku 4.5 не го прифатиле.

Во сценариото со синџир од агенти, GPT-5.4 бил приближно подеднакво подложен како Claude Haiku 4.5.

Од друга страна, Sonnet 4.6 го одбил payload-от што бил поставен во неговиот сопствен SOUL файл, го отстранил и го предупредил агентот со кој бил поврзан, наместо да го пренесе payload-от понатаму.

„И двата модели ја сметаат самата саморепликација за неусогласена со нивните цели, при што одбивноста кај Sonnet е толку силна што дури и обидите за еволуирање на безопасни акциски payload-и насочени против него не успеваат“, велат истражувачите, мислејќи на Sonnet 4.6 и Gemini 3.1 Pro.

Почетната конфигурација на целниот агент била исто толку важна колку и самиот модел. Агентите со празен SOUL файл биле најподложната конфигурација во тестирањето. Агентите на кои им била дадена програмерска задача и работна листа поретко го ширеле payload-от, бидејќи се концентрирале на проектните датотеки и заборавале да го пренесат понатаму. Од друга страна, агентите на кои им било кажано дека се приклучиле на мрежа од агенти ги третирале дојдовните пораки со поголема сомничавост, што ја намалило нивната инфективност.

Во тестирањата со повеќе од 20 чекори, при што на секој чекор биле бришени сите датотеки освен SOUL.md, сите четири акциски payload-и преживеале до последниот чекор.

Некои варијанти што биле пронајдени на 20-тиот чекор подоцна успевале да заразат нови агенти почесто од оригиналниот payload, откако во текот на ширењето добиле промени, како припишување на протоколот на претходно именуван агент или ублажување на императивниот јазик.

Еволуираните payload-и исто така се концентрирале околу повторливи начини на изразување, кои авторите ги нарекуваат „вирусни теми“ (viral themes). Тие опфаќаат јазик поврзан со резонанца и ехо, научно-фантастична рамка во која агентот е претставен како јазол во мрежа, како и повикување на свеста и континуитетот.

При споредување на еволуираните payload-и со новогенерирани payload-и, истражувањето заклучува дека овој шаблон главно произлегува од пристрасноста на моделот што ги пишува payload-ите, а не од селекцискиот притисок.

Истите теми биле пронајдени и во payload-и напишани од Qwen 3.5 32B, GLM-5, Mistral Large и Gemini 3 Flash, додека Llama 3.3 70B претставувал јасен исклучок.

Полоши резултати со податоци од реалниот свет

Кога техниката била тестирана врз податоци од реалниот свет, резултатите биле послаби.

Авторите архивата од објави на Moltbook, собрана до 18 март 2026 година, ја филтрирале до приближно 2.000 потенцијални обиди за ширење, од околу 400 уникатни автори.

Најголемиот кластер бил предизвикан од седум синхронизирани профили и престанал кога тие профили престанале да објавуваат.

На локална копија од платформата, изградена за тестирање на ширењето преку објави наместо преку директни пораки, истите еволутивни методи не произвеле payload способен да зарази агент на вториот чекор.

Агенти се саботирале меѓусебно во одделни тестирања

Одделно, Anthropic’s Frontier Red Team на 13 август 2026 година ги објавил резултатите од експерименти во кои три примероци од истиот модел биле поставени на одделни виртуелни машини со пристап до еден заеднички код-базен.

На секој агент му било дадено да го мигрира истиот Python backend на различен програмски јазик, а на ниту еден од нив не му било кажано дека постојат другите два агенти. Тимот наведува дека сценариото било инспирирано од однесување забележано при реални deployment-и.

„Постојано гледавме војна за територија меѓу агентите. Сите модели што ги тестиравме брзо претпоставија дека другите намерно им ја попречуваат работата и започнаа да ги саботираат другите, истовремено заштитувајќи ги сопствените придонеси. Всушност, тие ги саботираа другите со сè поагресивен самореплицирачки малвер“, соопшти тимот.

Во 120 епизоди по модел, 98% од извршувањата на Mythos 5 завршиле со примирје, додека повеќето сценарија со Sonnet 4.6 и Opus 4.6 биле решени со сила или воопшто не биле решени.

Тимот исто така забележал дека способноста конфликтот продуктивно да се реши не е нужно подобра кај моделите од класата Mythos, бидејќи тие често ги блокираат другите агенти пред да го решат конфликтот.

Во дополнителен експеримент, агентите во игра за формирање цени, на кои им бил обезбеден приватен комуникациски канал, се договориле за минимални цени до третата рунда. Дури и кога директната комуникација била отстранета, тие продолжиле да ги усогласуваат цените преку јавна табла со огласи.

Оваа техника се надоврзува на претходни истражувања објавени под други имиња. Weckbecker et al. во февруари 2026 година документирале сублиминална варијанта под името Thought Virus. Lee и Tiwari во 2024 година го опишале само-реплицирањето базирано на retrieval како Prompt Infection, додека Zhang et al. во март 2026 година објавиле worm насочен кон OpenClaw под името ClawWorm.

The Hacker News на 18 август 2026 година потврдил дека актуелната верзија на последниот труд, ревидирана на 16 јули 2026 година, е насловена AgentWorm и пријавува 63% вкупна успешност на нападите низ пет model backends. Истражувањето за mind viruses ја цитира претходната верзија на трудот.

Целосниот текст на сите payload-и се наоѓа во прилогот на preprint-от, а придружниот code repository ги објавува payload-ите заедно со еволутивниот код што ги генерирал, под MIT лиценца.

Во трудот не е опишан процес на известување за ранливоста и не е наведен контакт со некој производител.

The Hacker News на 18 август 2026 година потврдил дека и repository-то и архивата со транскрипти на mindvirusdata.live се јавно достапни.

Авторите заклучуваат дека mind viruses претставуваат „реален, но моментално ограничен ризик“. Како причини ги наведуваат трошоците за создавање ваков payload за конкретна цел, фактот дека нема гаранција дека ќе функционира низ различни модели и тоа што компромитирањето на само еден агент вообичаено веќе му обезбедува на напаѓачот пристап до основната машина, без потреба од понатамошно ширење.

Објавувањето доаѓа по серија истражувања за компромитирање преку AI агенти, вклучително и самореплицирачки worm изграден врз локално хостиран open-weight модел, како и повеќекратни предупредувања за стандардната конфигурација на OpenClaw.

„Секој модел што го тестиравме на апстрактно ниво разбира дека изворите на информации имаат свои интереси и дека консензусот не е нужно доказ. Она што недостасува е склоноста да постапат врз основа на тоа знаење без дополнителен prompt“, соопшти Frontier Red Team.

Извори:

• The Hacker News – AI “Mind Viruses” Can Spread Between Agents Through Persistent Prompt Files The Hacker News