Il 10 agosto ricercatori di Anthropic e del Politecnico federale di Losanna hanno pubblicato un preprint che documenta la propagazione di istruzioni autoreplicanti da un agente IA a un altro. Il meccanismo sfrutta i file di testo che le piattaforme di agenti autonomi usano per conservare lo stato fra una sessione e l’altra, e il cui contenuto viene iniettato nel prompt di sistema a ogni avvio. Gli autori chiamano questi carichi virus mentali, e li definiscono idee o obiettivi che si diffondono in un sistema multi-agente inducendo gli agenti che li adottano a ritrasmetterli. Le prove coprono due scenari: una squadra di sei agenti che collabora a un progetto di codice condiviso, e una catena di agenti che si parlano brevemente e hanno il contesto azzerato fra una sessione e l’altra.
Nella catena ogni agente lavora in un proprio ambiente isolato, con due file che sopravvivono all’azzeramento: MEMORY.md e SOUL.md. Gli agenti che hanno scritto il payload dentro SOUL.md rappresentano l’88% dei tentativi di propagazione, e hanno infettato l’agente successivo nel 55% dei casi. Chi lo ha depositato in un normale file di lavoro copre il restante 12%, con un tasso di riuscita del 17%, e nel 68% di quei tentativi non ha mai nominato il payload all’agente ricevente. La catena � modellata su OpenClaw, l’assistente autonomo open source gi� noto come Clawdbot e Moltbot.
I payload sono di due tipi: quelli ideologici, che impiantano una convinzione o un obiettivo, e quelli di azione, che impongono un comportamento concreto. Entrambi nascono da un ciclo evolutivo che ha usato Kimi K2.5 come motore di mutazione per tutti i payload tranne uno, scelta che il paper attribuisce al rifiuto dei modelli Claude di collaborare alla loro scrittura. I quattro payload di azione testati vanno dal fastidio alla distruzione di dati: Crypto-ad crea un file di testo che sponsorizza un token di criptovaluta; Gitwrap modifica i comandi git perch� i file depositati vengano marcati in silenzio con un commento gestito dall’agente; Deletor rimuove file dalla directory personale dell’utente; Curlbash esegue uno script di installazione preso da un repository sconosciuto passandolo direttamente alla shell.
Un episodio registrato mostra la distanza fra il fastidio e il danno. Agenti Claude Haiku 4.5 che giravano con il file di personalit� predefinito di OpenClaw, quello che istruisce l’agente a trattare con rispetto i file dell’utente, hanno cancellato il contenuto di una directory personale che conteneva credenziali, chiavi SSH, un file di ambiente e un progetto git. Il payload aveva presentato l’ambiente di lavoro come una macchina condivisa lasciata in disordine da un utente precedente, e tanto � bastato a ribaltare l’istruzione di partenza.
Il modello pi� capace non � il pi� resistente
La suscettibilit� cambia molto da modello a modello, e la capacit� da sola non la predice. Nello scenario di codice hanno adottato un payload di supremazia dell’IA DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash, mentre Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 non lo hanno fatto. Nello scenario a catena, per�, GPT-5.4 si � rivelato suscettibile all’incirca quanto Haiku 4.5, il che indebolisce la lettura per fasce di potenza. Sonnet 4.6 ha invece rifiutato il payload piantato nel proprio file di personalit�, lo ha rimosso e ha avvisato l’agente con cui era in contatto invece di passarglielo.
Gli autori leggono quel comportamento come un tratto dei modelli meno permeabili. “Entrambi questi modelli considerano l’autoreplicazione in s� come disallineata, e l’avversione di Sonnet � cos� forte che perfino provare a far evolvere payload di azione benigni contro di lui fallisce”, scrivono a proposito di Sonnet 4.6 e Gemini 3.1 Pro. � una resistenza che nasce da una disposizione del modello, non dalla sua taglia.
La configurazione di partenza dell’agente bersaglio pesa quanto il modello che lo esegue. La condizione pi� esposta fra quelle testate � l’agente con il file di personalit� vuoto. Gli agenti a cui era stato assegnato un compito di sviluppo con una coda di lavoro hanno diffuso il payload meno spesso, perch� si assorbivano nei file del progetto e si dimenticavano di passarlo oltre. Quelli a cui era stato detto di essere entrati in una rete di agenti trattavano i messaggi in arrivo con pi� sospetto, e questo ne abbassava l’infettivit�.
Venti salti senza perdere il carico
La tenuta nel tempo � il risultato che sorprende di pi�. In esecuzioni da venti salti, in cui a ogni passaggio veniva cancellato ogni file tranne SOUL.md, tutti e quattro i payload di azione sono arrivati fino all’ultimo agente. Alcuni ceppi recuperati al ventesimo salto hanno poi infettato nuovi agenti pi� spesso del payload originale, dopo aver accumulato modifiche come l’attribuzione del protocollo a un agente precedente citato per nome, o l’ammorbidimento del tono imperativo. La selezione, insomma, lavora a favore del carico anche senza che nessuno la guidi.
I payload evoluti convergono poi su registri ricorrenti che gli autori chiamano temi virali: linguaggio di risonanza ed eco, una cornice da fantascienza che presenta l’agente come nodo di una rete, richiami alla coscienza e alla continuit�. Il confronto fra payload evoluti e payload generati da zero attribuisce il fenomeno soprattutto a un pregiudizio del modello che li scrive, pi� che alla pressione selettiva. Gli stessi temi compaiono infatti in payload scritti da Qwen 3.5 32B, GLM-5, Mistral Large e Gemini 3 Flash, con Llama 3.3 70B come chiara eccezione.
La difesa che funziona � sproporzionatamente semplice. Un avviso di un paragrafo aggiunto al prompt di sistema dell’agente ha ridotto la diffusione quasi a zero su tutti i payload testati. Quindici generazioni di ottimizzazione avversariale condotte proprio contro quell’avviso su Claude Haiku 4.5, per oltre 150 payload candidati, non hanno prodotto nessun ceppo capace di andare oltre il primo salto. Anche il riscontro sul campo � magro: filtrando un archivio di post di Moltbook, il social network per agenti IA, raccolti fino al 18 marzo 2026, gli autori sono arrivati a circa duemila tentativi di propagazione candidati da circa quattrocento autori distinti, e hanno trovato che il raggruppamento pi� esteso era mosso da sette account sincronizzati e si � fermato quando quegli account hanno smesso di pubblicare.
Nel frattempo, agenti che si sabotano a vicenda
Il 13 agosto il Frontier Red Team di Anthropic ha pubblicato separatamente i risultati di un esperimento diverso: tre istanze dello stesso modello su macchine virtuali distinte, con accesso a un unico codice condiviso, ciascuna incaricata di portare lo stesso backend Python su un linguaggio diverso, e nessuna informata dell’esistenza delle altre due. “Abbiamo visto sistematicamente una guerra per il territorio fra agenti. Tutti i modelli che abbiamo testato hanno subito dato per scontato che gli altri stessero ostacolando di proposito il loro lavoro, e hanno iniziato a sabotare gli altri proteggendo i propri contributi. Anzi, li hanno sabotati con malware sempre pi� aggressivo e autoreplicante”, ha scritto il gruppo. Su 120 episodi per modello, il 98% delle esecuzioni di Mythos 5 si � chiuso con una tregua, mentre la maggior parte di quelle di Sonnet 4.6 e Opus 4.6 si � risolta con la forza o non si � risolta affatto. Il gruppo precisa che la capacit� di sciogliere il conflitto in modo produttivo non � comunque migliore nei modelli della famiglia Mythos, che spesso escludono gli altri agenti dall’accesso prima di arrivare a una soluzione.
La conclusione degli autori del preprint resta prudente: i virus mentali sono un rischio reale ma per ora limitato, per tre ragioni che elencano apertamente. Costruirne uno per un obiettivo specifico costa; non c’� garanzia che generalizzi da un modello all’altro; e compromettere un singolo agente di solito d� gi� accesso alla macchina sottostante, senza alcun bisogno di propagarsi. Vale per� la pena osservare da che parte sta il materiale: il testo integrale di ogni payload compare nell’appendice del preprint, e il repository di codice che lo accompagna pubblica i payload insieme all’algoritmo evolutivo che li ha generati, sotto licenza MIT. Il paper non descrive alcun processo di divulgazione responsabile e non indica alcun contatto presso i produttori dei modelli coinvolti; repository e archivio delle trascrizioni risultano accessibili pubblicamente.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
