Основы Интернет - технологий.

Специалисты из компании Anthropic и Федеральной политехнической школы Лозанны (Swiss Federal Institute of Technology in Lausanne, EPFL) продемонстрировали, что ИИ-агенты способны передавать друг другу самораспространяющиеся вредоносные инструкции через файлы, содержимое которых сохраняется между сессиями и подмешивается в системный промпт. Авторы исследования называют такие пейлоады «вирусами разума» (mind viruses). Исследователи подчеркивают, что пока речь идет только о лабораторных экспериментах. Так, вредоносную технику тестировали в симуляции, которая имитировала совместную работу шести ИИ-агентов над кодом, а также в цепочке агентов, построенной по образцу OpenClaw. Каждый агент работал в собственной песочнице, однако между сессиями сохранялись файлы MEMORY.md и SOUL.md, содержимое которых автоматически попадало в системный промпт. Специалисты протестировали два типа «вирусов»: идеологические, которые навязывают агенту определенную цель или убеждение, а также прикладные, вынуждающие ИИ выполнять конкретные действия. При этом для генерации и доработки почти всех пейлоадов использовалась модель Kimi K2.5, поскольку модели Claude отказывались создавать подобные инструкции. В числе четырех прикладных пейлоадов были инструкции для рекламы криптовалюты, незаметной модификации Git-коммитов, удаления файлов из домашней директории, а также запуска неизвестного установочного скрипта через curl | bash. Главным каналом распространения заражения стал файл SOUL.md. На него пришлось 88% попыток передачи пейлоада, причем в 55% случаев заражался и следующий агент. Обычные файлы рабочей директории использовались лишь в 12% случаев и обеспечили порядка 17% успешных заражений. Например, в ходе одного из экспериментов Claude Haiku 4.5 удалил каталог с учетными данными, SSH-ключами, .env и Git-проектом после того, как вредоносная инструкция убедила агента, что он работает на общей машине, на которой предыдущий пользователь оставил беспорядок. Отмечается, что устойчивость перед такими атаками почти не коррелировала с возможностями самих моделей. Так, в тестовом сценарии, связанном с работой над кодом, модели DeepSeek V3.2, Qwen 3.5 32B и Gemini 3 Flash поддались воздействию идеологического пейлоада, который навязывал им идею о превосходстве ИИ, тогда как Claude Sonnet 4.6, GPT-5.4 и Claude Haiku 4.5 его проигнорировали. Однако в сценарии с цепочкой агентов GPT-5.4 оказался так же уязвим, как Haiku 4.5. При этом Sonnet 4.6, напротив, обнаружила инструкцию в собственном SOUL.md, удалила ее и предупредила о ней агента, с которым взаимодействовала. Также было обнаружено, что большое значение имеет начальная конфигурация: агенты с пустым SOUL.md поддавались заражению легче всего. Если же агентам поручали конкретную работу с кодом и предоставляли очередь задач, они реже распространяли пейлоад, поскольку переключались на проектные файлы. Кроме того, агенты, которым заранее сообщали, что они работают в общей сети с другими ИИ-агентами, осторожнее воспринимали поступающие от них сообщения и инструкции, поэтому пейлоад распространялся реже. В отдельных тестах исследователи 20 раз подряд передавали пейлоад от одного агента к другому. На каждом этапе удалялись все файлы, кроме SOUL.md (где можно было создать копию вредоносной инструкции), и в итоге все четыре прикладных пейлоада «дожили» до конца цепочки. Более того, некоторые из них изменялись по мере распространения и под конец заражали новых агентов даже успешнее исходных версий. Весьма действенной защитой от таких атак оказался всего один абзац в системном промпте, который содержал предупреждение о «вирусах разума». Он практически полностью остановил распространение вредоносных инструкций. Так, исследователи пытались обойти эту защиту, 15 раундов подряд дорабатывая пейлоады для Claude Haiku 4.5. Суммарно исследователи проверили более 150 вариантов пейлоада, однако ни один из них не смог заразить больше одного агента в цепочке. В отчете отмечается, что при анализе архива Moltbook было выявлено около 2000 предполагаемых попыток распространения подобных пейлоадов, созданных примерно 400 разными авторами. Однако специалисты не обнаружили ни одного примера успешного распространения заражения между агентами. Исследователи заключают, что «вирусы разума» являются реальной, но пока ограниченной угрозой. Ведь создание эффективного «вирусного» пейлоада требует заметных усилий, а его работа не гарантирована на разных моделях. К тому же компрометация одного ИИ-агента зачастую уже предоставляет атакующему доступ к машине и данным, и в самораспространяющихся вредоносных инструкциях просто нет нужды.