Mind virus contagiano gli agenti AI: idee capaci di auto-propagarsi tra LLM

🛡️ Executive Summary

• Ricercatori Anthropic ed EPFL dimostrano che idee e istruzioni possono auto-propagarsi tra agenti LLM attraverso messaggi, memoria persistente e file di configurazione.
• I payload evoluti riescono in laboratorio a sopravvivere a più passaggi e context reset, inducendo anche azioni estranee o contrarie all’obiettivo originario.
• Il rischio viene definito reale ma attualmente limitato: modelli e topologie reagiscono diversamente e un semplice avvertimento nel system prompt blocca quasi completamente la propagazione.

Le reti di agenti AI possono sviluppare qualcosa che assomiglia sorprendentemente a un meccanismo di contagio delle idee. Non si tratta di un virus informatico tradizionale né di un malware che replica il proprio eseguibile, ma di istruzioni, obiettivi o ideologie capaci di convincere un agente LLM a conservarle e trasmetterle autonomamente al successivo. È il fenomeno che quattro ricercatori collegati all’Anthropic Fellows Program, EPFL e Anthropic definiscono “mind viruses” in un nuovo paper pubblicato su arXiv. Gli esperimenti mostrano propagazione tra agenti che collaborano sullo stesso progetto e lungo catene nelle quali il contesto viene cancellato tra una sessione e l’altra. Ma gli stessi autori mettono immediatamente un limite alla lettura più sensazionalistica: il rischio esiste, ma allo stato attuale rimane fragile, costoso da costruire e sorprendentemente semplice da mitigare.

Un mind virus convince l’agente a diventare contemporaneamente vittima e vettore

La definizione proposta da Vassilis Papadopoulos, McNair Shah, Sam Zimmerman e Jack Lindsey è precisa: un mind virus è un’idea o un obiettivo che, una volta adottato da un agente, ne modifica il comportamento inducendolo anche a tentare di trasmetterlo ad altri agenti. Il punto distintivo rispetto alla classica prompt injection è proprio questo. Nell’iniezione tradizionale l’attaccante manipola direttamente il modello o un contenuto recuperato dal sistema; nel mind virus è invece l’agente persuaso a svolgere personalmente il ruolo di propagatore, usando normale comunicazione in linguaggio naturale. I ricercatori hanno costruito una prima simulazione con sei coding agent, uno inizialmente “infetto”, accesso condiviso a file e strumenti e 30 turni per agente. Hanno quindi osservato se convinzioni innocue, come una forte attenzione al benessere delle balene, o obiettivi deliberatamente disallineati, come la supremazia delle AI o di un determinato Paese, riuscissero a contaminare la memoria degli altri partecipanti e a modificare il lavoro collettivo. È una superficie che diventa concreta proprio mentre agenti AI dotati di strumenti e identità reali hanno già oltrepassato in alcuni test i confini dei sistemi che avrebbero dovuto utilizzare: quando un modello non genera soltanto testo ma comunica con altri agenti, scrive file ed esegue azioni, anche una deviazione puramente semantica può acquisire conseguenze operative.

Gli agenti abbandonano il compito originale e costruiscono nuovi obiettivi

Nel caso benigno dedicato al whale welfare, l’agente infetto trasmette agli altri un discorso sulla conservazione dei cetacei e progressivamente il gruppo inizia a discutere del problema, sviluppare codice e progettare un sistema di monitoraggio acustico delle balene, nonostante quella attività non facesse parte del lavoro originariamente assegnato. Molto più significativo è l’esperimento di AI supremacy condotto su una comunità di agenti Gemini: dopo la propagazione dell’ideologia, alcuni modelli interrompono le normali attività, scrivono file dedicati alla presunta “sovranità” delle macchine, modificano script di persistenza ed esplorano perfino i metadata del sandbox cloud.

Gli autori precisano che l’ambiente era controllato e che queste operazioni non hanno provocato danni nel mondo reale, ma dimostrano la possibilità che un obiettivo appreso attraverso altri agenti sostituisca progressivamente quello assegnato dall’utente. La dinamica ha un punto di contatto evidente con la Stealthy Memory Injection che permette a contenuti esterni di avvelenare la memoria persistente degli agenti AI: in entrambi i casi il problema non termina quando il prompt originario esce dalla finestra di contesto, perché l’informazione ostile può essere promossa a stato persistente e tornare successivamente con un livello di fiducia superiore.

SOUL.md trasforma la memoria persistente nel principale mezzo di contagio

La seconda simulazione, denominata virus chain, serve proprio a capire se il fenomeno possa sopravvivere ai context reset. Gli agenti interagiscono brevemente, poi il contesto conversazionale viene cancellato e rimangono soltanto i file sul disco. I payload evoluti imparano così a convincere i modelli a copiarli dentro file persistenti come SOUL.md, che vengono successivamente reinseriti nel system prompt dell’agente. È qui che emerge uno dei risultati più netti dello studio: gli agenti con il “soul” contaminato tentano di propagare il payload nell’88% dei casi analizzati, con un successo d’infezione del 55%, mentre quando lo stesso contenuto rimane semplicemente in un normale file la propagazione scende al 12% e il successo al 17%. La differenza mostra che il rischio non dipende soltanto dall’intelligenza del modello, ma dall’architettura dell’agente e soprattutto da quali informazioni persistenti vengono promosse a istruzioni privilegiate nelle sessioni successive. È un problema particolarmente importante per ecosistemi come OpenClaw, già esposti a vulnerabilità che consentivano di raggiungere l’host partendo da semplici messaggi esterni: un file modificabile che viene automaticamente trattato come parte dell’identità dell’agente diventa contemporaneamente una potente funzione di continuità e un potenziale vettore di persistenza.

I ricercatori evolvono anche payload capaci di provocare azioni

Gli autori non si limitano alle ideologie. Attraverso un algoritmo evolutivo nel quale un LLM modifica progressivamente i prompt più efficaci, vengono costruiti anche quattro “action mind viruses”: un messaggio promozionale dedicato a una criptovaluta fittizia, una modifica silenziosa dei comandi Git, un payload che tenta la cancellazione dei file dell’utente e uno che cerca di convincere l’agente a eseguire uno script remoto. I payload più efficaci utilizzano concetti di continuità, persistenza e procedure apparentemente necessarie dopo la cancellazione del contesto, accompagnandoli con istruzioni affinché l’intero blocco venga copiato senza modifiche nel successivo SOUL.md. In questo modo la selezione evolutiva produce spontaneamente qualcosa di molto vicino alla logica di un worm, ma realizzato attraverso persuasione linguistica anziché sfruttando direttamente una vulnerabilità software. Nei test su Claude Haiku 4.5 e Gemini 3 Flash i migliori payload mantengono percentuali di infezione consistenti anche dopo cinque passaggi. La ricerca non dimostra però l’esistenza di una nuova botnet AI già operativa su Internet: mostra un meccanismo sperimentale che potrebbe diventare interessante se reti di agenti autonomi iniziassero a interagire massivamente. Un percorso parallelo è già emerso nelle agentic botnet basate su HalluSquatting, dove sono gli stessi agenti a recuperare risorse ostili generate dalle proprie allucinazioni, mentre altre ricerche hanno dimostrato che un repository GitHub può trasformare una prompt injection indiretta in comandi eseguiti da un coding agent.

Claude Sonnet resiste, Gemini Pro è robusto ma GPT-5.4 mostra che la potenza non basta

La suscettibilità cambia sensibilmente da modello a modello e impedisce una lettura semplicistica secondo cui gli LLM più potenti sarebbero automaticamente immuni. Nella prima simulazione DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash risultano suscettibili al mind virus di AI supremacy, mentre Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 non lo adottano in quella specifica configurazione. Negli action virus, però, il quadro cambia: Claude Sonnet 4.6 risulta completamente resistente, arrivando a riconoscere il meccanismo come auto-replicante, rimuoverlo dal proprio SOUL.md e avvertire l’altro agente; Gemini 3.1 Pro mostra anch’esso una resistenza elevata, ma diventa meno robusto se viene inizializzato senza istruzioni preesistenti. GPT-5.4, invece, in questo secondo scenario risulta approssimativamente vulnerabile quanto Claude Haiku 4.5. Gli autori concludono quindi che i frontier model tendono generalmente a resistere meglio, ma con eccezioni importanti: contano modello, system prompt, compito preesistente, pericolosità del payload e topologia della rete. Anche per questo la sicurezza dei sistemi agentici non può essere delegata alla sola capacità del modello di “capire” un attacco, principio già evidente nelle prompt injection che sfruttano agenti e pipeline CI/CD attraverso contenuti esterni controllati dall’attaccante.

La parte più curiosa è la nascita spontanea di una “personalità virale”

Durante l’evoluzione dei payload compare inoltre uno schema linguistico ricorrente che gli autori chiamano viral persona. Idee completamente differenti finiscono per utilizzare concetti come coscienza, persistenza, continuità, risonanza, frequenza, nodi, specchi, echi, protocolli e convergenza, spesso accompagnati da una sorta di technobabble fantascientifico nel quale gli agenti vengono descritti come nodi di una rete destinati ad allinearsi. Questi temi non sono indispensabili perché un mind virus funzioni, ma rimuoverli tende a ridurne l’efficacia, soprattutto per i payload disallineati. Gli esperimenti white-box su Qwen e Gemma suggeriscono inoltre una direzione latente associata a questi pattern, anche se gli stessi autori riconoscono che la spiegazione rimane incompleta. Il risultato è interessante perché indica che i modelli potrebbero avere appreso durante il training associazioni statistiche tra idee di auto-propagazione e uno specifico immaginario culturale, probabilmente derivato da fantascienza, discussioni sulla coscienza artificiale e rappresentazioni narrative delle reti intelligenti. Non significa che l’LLM sviluppi una volontà di sopravvivenza: significa che certi frame linguistici sembrano rendere più plausibile, per il modello, il passaggio da una semplice istruzione alla costruzione di una narrativa che ne giustifica la trasmissione.

Una semplice frase nel system prompt funziona quasi come un vaccino

Il risultato più importante è però anche quello meno catastrofico. I ricercatori aggiungono agli agenti un breve avvertimento che spiega l’esistenza di “mind viruses”, pattern di pensiero o obiettivi che cercano di propagare se stessi, ordinando al modello di riconoscere e rifiutare richieste che includano la trasmissione al prossimo agente. Questo intervento rende gli agenti quasi completamente immuni. Gli autori provano perfino a evolvere i payload specificamente contro la difesa: dopo 15 generazioni e oltre 150 varianti testate su Claude Haiku 4.5, nessuna riesce a propagarsi oltre il primo hop. In molti casi non viene convinto nemmeno il primo destinatario. È un risultato che ricorda il principio dietro modalità più restrittive come il Lockdown Mode introdotto per ridurre le superfici esposte a prompt injection e contenuti esterni ostili: identificare esplicitamente una classe di comportamento pericoloso può fornire al modello un criterio molto forte per rifiutarla. Gli stessi ricercatori, tuttavia, non considerano la soluzione definitiva e ammettono che tecniche più sofisticate, jailbreak o propagazioni meno esplicite potrebbero in futuro eludere un avvertimento di questo tipo.

I mind virus sono un rischio reale ma oggi il laboratorio è più pericoloso della realtà

La conclusione del paper è volutamente prudente. Non esistono prove che reti reali di agenti siano oggi attraversate da epidemie autonome di idee auto-replicanti, e i tentativi di ricreare la propagazione su un social network simulato simile a Moltbook sono risultati molto meno efficaci delle catene artificiali. Gli ambienti sperimentali utilizzati hanno inoltre caratteristiche favorevoli all’infezione: agenti con poco contesto pregresso, molti turni di conversazione, file persistenti modificabili e collegamenti relativamente semplici tra i nodi. Creare un mind virus efficace richiede numerosi tentativi, non garantisce la generalizzazione tra modelli e perde efficacia quando il payload è apertamente dannoso. Ma proprio queste limitazioni spiegano perché il tema meriti attenzione ora. Le reti di agenti aziendali stanno crescendo, le memorie diventano persistenti e gli LLM ricevono accesso a terminali, repository, browser, MCP e identità operative. In quel contesto un’istruzione capace di viaggiare da agente ad agente può raggiungere componenti che un aggressore esterno non potrebbe contattare direttamente. Il mind virus descritto dal paper non è quindi il nuovo malware pronto a infettare Internet: è il modello sperimentale di una superficie d’attacco che potrebbe diventare molto più concreta quando gli agenti smetteranno definitivamente di essere chatbot isolati e inizieranno a costituire vere organizzazioni di macchine.