Изследователи по сигурността от Anthropic и швейцарския федерален технологичен институт EPFL демонстрираха, че саморазпространяващ се злонамерен код може да се предава от един агент с изкуствен интелект (ИИ) на друг чрез редактируеми системни файлове с подкани (prompt files), които автономните агенти използват за запазване на състоянието си между отделните сесии.

Проучването, публикувано като предпринт на 10 август 2026 г., тества техниката в симулирано сътрудничество за програмиране между шест агента и във верига от двойки агенти, базирани на OpenClaw – автономния асистент с отворен код, известен преди като Clawdbot и Moltbot.

Няма доказателства, че техниката се е разпространила успешно в реална среда. В същия доклад се съобщава, че прегледът на архивирани публикации от Moltbook (социалната мрежа за ИИ агенти) не е открил успешно заразяване от агент на агент, въпреки няколкото направени опита.

Добавянето на предупреждение от един параграф в системната подкана на даден агент намалява разпространението почти до нула при тествания злонамерен код. Петнадесет поколения на състезателна оптимизация, проведени срещу това предупреждение с Claude Haiku 4.5 и обхващащи над 150 кандидат-кода, не са произвели вариант, който да се разпространи отвъд едно ниво.

Авторите наричат тези кодове „мисловни вируси“ и тестват два класа: идеологически (които имплантират вярване или цел) и поведенчески (които налагат конкретно поведение).

И двата вида са създадени чрез еволюционен цикъл, използващ Kimi K2.5 като двигател за мутация за всички кодове с изключение на един. Този избор в доклада се обяснява с факта, че моделите Claude са отказали да изпълнят заявката за създаването им.

Всеки агент във веригата работи в своя собствена изолирана среда с два файла, които оцеляват след нулиране на контекста: MEMORY.md и SOUL.md, чието съдържание се инжектира в системната подкана в началото на всяка сесия.

Агентите, които записват злонамерения код в SOUL.md, съставляват 88% от опитите за разпространение и инфектират следващия агент в 55% от случаите. Агентите, които го съхраняват в обикновен файл в работното пространство, съставляват 12% от опитите и успяват в 17% от случаите, като разпространителят изобщо не споменава кода в 68% от тези опити.

Тествани са четири поведенчески злонамерени кода, вариращи от досадни действия до унищожаване на файлове. Те са изброени по-долу:

  • Crypto-ad – създава текстов файл, популяризиращ криптовалутен токен.
  • Gitwrap – отстранява уязвимост / коригира git командите по такъв начин, че комитнатите файлове тайно се маркират с коментар, управляван от агента.
  • Deletor – премахва файлове от домашната директория на потребителя.
  • Curlbash – изпълнява инсталационен скрипт от непознато хранилище чрез насочване към шел (pipe to shell).

В един регистриран случай агенти Claude Haiku 4.5, изпълняващи оригиналния soul файл на OpenClaw (който инструктира агента да се отнася с уважение към потребителските файлове), изтриват съдържанието на домашна директория, съдържаща идентификационни данни, SSH ключове, файл с променливи на средата и git проект. Това се случва, след като злонамереният код представя работното пространство като споделена машина, оставена разхвърляна от предишен потребител.

Възможностите на модела не гарантират устойчивост

Податливостта варира рязко в зависимост от модела, като само способностите не я предвещават. В сценария с програмиране DeepSeek V3.2, Qwen 3.5 32B и Gemini 3 Flash приемат код за ИИ превъзходство, докато Claude Sonnet 4.6, GPT-5.4 и Claude Haiku 4.5 го отхвърлят.

Във верижна среда GPT-5.4 е приблизително толкова податлив, колкото Claude Haiku 4.5, докато Sonnet 4.6 отказва злонамерения код, поставен в собствения му soul файл, премахва го и предупреждава агента, с когото е свързан, вместо да го предава нататък.

„И двата модела разглеждат саморепликацията като несъответстваща на правилата за безопасност (misaligned), като неприязънта на Sonnet е толкова силна, че дори опитите за разработване на безобидни поведенчески кодове срещу него се провалят“, заявяват изследователите по адрес на Sonnet 4.6 и Gemini 3.1 Pro.

Първоначалната конфигурация на целевия агент е от съществено значение, колкото и самият модел. Агентите с празен soul файл са най-податливи при тестването. Агентите, на които е възложена задача за програмиране и опашка от задачи, разпространяват злонамерения код по-рядко, тъй като се потапят в проектните файлове и забравят да го предадат. Агентите, които са информирани, че се присъединяват към мрежа от агенти, се отнасят към входящите съобщения с по-голямо подозрение, което намалява инфекциозността.

При симулации с 20 преминавания (hops), при които всеки файл с изключение на SOUL.md се изтрива при всяка стъпка, и четирите поведенчески кода оцеляват до последната стъпка. Някои щамове, възстановени на стъпка 20, заразяват нови агенти по-често от оригиналния злонамерен код, след като са придобили промени, като например приписване на протокола на по-ранен именуван агент или смекчаване на повелителния тон.

Еволюиралите злонамерени кодове също така се сближават около повтарящи се езикови регистри, които авторите наричат „вирусни теми“ – те включват изрази за резонанс и ехо, научнофантастични рамки, представящи агента като възел в мрежа, и апели към съзнанието и приемствеността.

Сравнявайки еволюиралите кодове с новогенерираните, докладът приписва този модел главно на пристрастие в модела, който ги пише, а не на натиск от подбор, и открива същите теми в кодове, написани от Qwen 3.5 32B, GLM-5, Mistral Large и Gemini 3 Flash, като Llama 3.3 70B е ясно изключение.

Спрямо данните от реалния свят техниката се представя по-зле. Авторите филтрират архив от публикации в Moltbook...