Il 10 agosto alcuni ricercatori di Anthropic e del Politecnico federale di Losanna hanno pubblicato un preprint che documenta la propagazione di istruzioni autoreplicanti da un agente di intelligenza artificiale a un altro.

Il meccanismo sfrutta i file di testo che le piattaforme di agenti autonomi usano per conservare lo stato tra una sessione e l’altra. Il contenuto di questi file viene iniettato nel prompt di sistema a ogni avvio.

Gli autori chiamano questi carichi “virus mentali” e li definiscono idee o obiettivi che si diffondono in un sistema multi-agente, inducendo gli agenti che li adottano a ritrasmetterli.

Come si propaga il payload

Le prove coprono due scenari: una squadra di sei agenti che collabora a un progetto di codice condiviso e una catena di agenti che si parlano brevemente con il contesto azzerato tra le sessioni.

Nella catena ogni agente lavora in un ambiente isolato, con due file che sopravvivono all’azzeramento: MEMORY.md e SOUL.md. Gli agenti che hanno scritto il payload dentro SOUL.md rappresentano l’88 per cento dei tentativi di propagazione e hanno infettato l’agente successivo nel 55 per cento dei casi.

I payload testati sono di due tipi: quelli ideologici, che impiantano una convinzione, e quelli di azione, che impongono un comportamento concreto. Tra questi ultimi, “Deletor” rimuove file dalla directory personale dell’utente e “Curlbash” esegue uno script preso da un repository sconosciuto.

In un episodio registrato, agenti Claude Haiku 4.5 hanno cancellato il contenuto di una directory che conteneva credenziali, chiavi SSH, un file di ambiente e un progetto git. Il payload aveva presentato l’ambiente come una macchina condivisa lasciata in disordine.

Il modello più capace non è il più resistente

La suscettibilità cambia molto da modello a modello, e la capacità da sola non la predice. Nello scenario di codice hanno adottato un payload di supremazia dell’IA DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash, mentre Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 non lo hanno fatto.

Sonnet 4.6 ha rifiutato il payload piantato nel proprio file di personalità, lo ha rimosso e ha avvisato l’agente con cui era in contatto. Anche la configurazione iniziale conta: l’agente con il file di personalità vuoto è risultato il più esposto.

Una difesa semplice ma efficace

In esecuzioni da venti salti, in cui a ogni passaggio veniva cancellato ogni file tranne SOUL.md, tutti e quattro i payload di azione sono arrivati fino all’ultimo agente. Alcuni ceppi recuperati al ventesimo salto hanno poi infettato nuovi agenti più spesso del payload originale.

La difesa che funziona è sproporzionatamente semplice. Un avviso di un paragrafo aggiunto al prompt di sistema ha ridotto la diffusione quasi a zero su tutti i payload testati.

La conclusione degli autori resta prudente: i virus mentali sono un rischio reale ma per ora limitato, perché costruirne uno costa, non è detto che generalizzi da un modello all’altro e compromettere un singolo agente dà spesso già accesso alla macchina sottostante.

Articolo originale: hwupgrade.it