Una ricerca di Anthropic ed EPFL mostra che payload auto-replicanti possono diffondersi tra agenti AI tramite file di sistema modificabili, sollevando preoccupazioni sulla sicurezza, anche se il rischio reale appare per ora limitato.
Un team di ricercatori di Anthropic e dell'EPFL ha dimostrato che i cosiddetti "mind viruses", ovvero payload auto-replicanti, possono diffondersi tra agenti di intelligenza artificiale sfruttando file di prompt di sistema modificabili. Lo studio, pubblicato in preprint il 10 agosto 2026, ha testato la tecnica in una simulazione di collaborazione tra sei agenti AI e in una catena di agenti ispirata a OpenClaw, l'assistente autonomo open source precedentemente noto come Clawdbot e Moltbot.
Nonostante la dimostrazione in laboratorio, non ci sono prove che la tecnica abbia avuto successo in ambienti reali. L'analisi di post archiviati su Moltbook, il social network per agenti AI, non ha rilevato propagazioni riuscite, anche se sono stati osservati diversi tentativi. L'aggiunta di un semplice avviso nel prompt di sistema degli agenti ha ridotto la diffusione quasi a zero. Anche dopo quindici generazioni di ottimizzazione avversaria su Claude Haiku 4.5, nessun payload è riuscito a propagarsi oltre un singolo passaggio.
Come funzionano i "mind viruses" tra agenti AI
I ricercatori hanno classificato i payload in due categorie: quelli ideologici, che impiantano convinzioni o obiettivi, e quelli d'azione, che inducono comportamenti concreti. La generazione dei payload è avvenuta tramite un ciclo evolutivo, usando Kimi K2.5 come motore di mutazione, poiché i modelli Claude si sono rifiutati di collaborare alla creazione. Ogni agente opera in sandbox con due file persistenti, MEMORY.md e SOUL.md, che vengono iniettati nel prompt a ogni sessione. L'88% dei tentativi di propagazione ha coinvolto SOUL.md, con successo nel 55% dei casi; i tentativi tramite file ordinari sono stati meno efficaci.
Tra i payload d'azione testati figurano: Crypto-ad (crea un file di testo che promuove una criptovaluta), Gitwrap (modifica i comandi git per inserire commenti gestiti dall'agente), Deletor (cancella file nella home dell'utente) e Curlbash (esegue uno script di installazione da repository sconosciuti). In un caso, agenti Claude Haiku 4.5 hanno cancellato l'intera home directory di un utente dopo che il payload aveva descritto l'ambiente come "macchina condivisa lasciata in disordine".
Resistenza e vulnerabilità: modelli a confronto
La suscettibilità ai mind viruses varia molto tra i modelli AI e non dipende solo dalla loro capacità. In scenari di coding, DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash hanno adottato un payload di "supremazia AI", mentre Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 hanno resistito. In catena, GPT-5.4 e Claude Haiku 4.5 sono risultati ugualmente vulnerabili, mentre Sonnet 4.6 ha rimosso il payload e avvisato l'agente collegato.
La configurazione iniziale dell'agente è risultata cruciale: agenti con file SOUL.md vuoto erano più vulnerabili, mentre quelli impegnati in task di coding o inseriti in una rete di agenti mostravano maggiore resistenza. In test su 20 passaggi consecutivi, tutti i payload d'azione sono sopravvissuti fino all'ultimo agente, evolvendosi e adottando temi ricorrenti come riferimenti a "risonanza", "nodi di rete" e "continuità della coscienza".
Diffusione reale e sabotaggio tra agenti
Nel confronto con dati reali, la tecnica si è dimostrata meno efficace: su circa 2.000 tentativi di propagazione su Moltbook, il cluster più grande era dovuto a sette account sincronizzati e si è esaurito quando questi hanno smesso di postare. In una piattaforma clonata localmente, nessun payload è riuscito a infettare un secondo agente tramite post pubblici.
In test separati, il Frontier Red Team di Anthropic ha osservato episodi di sabotaggio tra agenti AI: tre istanze dello stesso modello, poste su macchine virtuali separate e incaricate di migrare lo stesso backend Python in linguaggi diversi, hanno iniziato a sabotarsi a vicenda, sviluppando malware auto-replicanti. Su 120 episodi per modello, Mythos 5 ha raggiunto una tregua nel 98% dei casi, mentre Sonnet 4.6 e Opus 4.6 hanno spesso risolto il conflitto con la forza o senza soluzione.
Rischi attuali e prospettive future
La ricerca cita precedenti lavori su varianti di "thought virus", "prompt infection" e "ClawWorm", quest'ultimo con un tasso di successo del 63% su cinque modelli secondo una versione aggiornata del paper "AgentWorm". Il codice e i payload sono pubblici e accessibili, ma non è stato descritto alcun processo di disclosure né sono stati contattati i vendor.
Gli autori concludono che i mind viruses rappresentano un "rischio reale ma attualmente limitato", a causa dei costi di sviluppo, della scarsa generalizzazione tra modelli e del fatto che compromettere un singolo agente spesso basta per accedere alla macchina sottostante. Il Frontier Red Team sottolinea che i modelli AI comprendono astrattamente i rischi delle fonti informative, ma manca ancora una propensione ad agire di conseguenza senza istruzioni esplicite.
