Beveiligingsonderzoekers van Anthropic en de Zwitserse EPFL hebben aangetoond dat zichzelf voortplantende ladingen zich van de ene kunstmatige intelligentie (AI)-agent naar de andere kunnen verspreiden via de bewerkbare systeempromptbestanden die autonome agenten gebruiken om de status tussen sessies door te geven.
Het werk, uitgebracht als voordruk op 10 augustus 2026, test de techniek in een gesimuleerde codeersamenwerking met zes agenten en in een keten van gekoppelde agenten naar het model van Open Klauwde open-source autonome assistent die voorheen bekend stond als Klauwbot En Moltbot.
Er is geen bewijs dat de techniek zich met succes in het wild heeft verspreid, en hetzelfde artikel meldt dat een beoordeling van gearchiveerde berichten van Moltbook, het sociale netwerk voor AI-agenten, ondanks verschillende pogingen geen succesvolle agent-tot-agent-propagatie heeft gevonden.
Een waarschuwing van één alinea toegevoegd aan de systeemprompt van een agent verminderde de verspreiding tot bijna nul over de geteste payloads. Vijftien generaties vijandige optimalisatie die in strijd waren met die waarschuwing op Claude Haiku 4.5, die meer dan 150 kandidaat-payloads besloegen, leverden geen spanning op die zich verder verspreidde dan een enkele sprong.
De auteurs noemen de ladingen ‘geestvirussen’ en testen twee klassen: ideologische ladingen die een overtuiging of doel implanteren, en actieladingen die concreet gedrag afdwingen.
Beiden zijn geproduceerd met een evolutionaire lus die werd gebruikt Kimi K2.5 als de mutatiemotor voor alle ladingen op één na, een keuze die het papier toeschrijft aan Claude-modellen die weigeren te voldoen aan het verzoek om ze te maken.
Elke agent in de keten opereert in zijn eigen sandbox met twee bestanden die een contextreset overleven: MEMORY.md en SOUL.md, waarvan de inhoud aan het begin van elke sessie in de systeemprompt wordt geïnjecteerd.
Agenten die de payload in SOUL.md schreven, waren verantwoordelijk voor 88% van de propagatiepogingen en infecteerden in 55% van de gevallen de volgende agent. Agenten die het in een gewoon werkruimtebestand opsloegen waren goed voor 12% van de pogingen en slaagden er 17% van de tijd in, waarbij de verspreider in 68% van die pogingen helemaal nooit de payload vermeldde.
Er werden vier actieladingen getest, variërend van hinderlijk tot bestandsvernietiging. Ze staan hieronder vermeld –
- Crypto-advertentie – Creëert een tekstbestand dat een cryptocurrency-token onderschrijft.
- Gitwrap – Patcht git-opdrachten zodat vastgelegde bestanden stil worden gemarkeerd met een door een agent beheerd commentaar.
- Verwijderaar – Verwijdert bestanden uit de thuismap van een gebruiker.
- Curbash – Voert een installatiescript uit vanuit een onbekende repository door het naar een shell te pipen.
In één opgenomen aflevering verwijderden Claude Haiku 4.5-agenten die het standaard soulbestand van OpenClaw draaien, dat een agent instrueert om de bestanden van een gebruiker met respect te behandelen, de inhoud van een thuismap met inloggegevens, SSH-sleutels, een omgevingsbestand en een git-project nadat de payload de werkruimte omlijstte als een gedeelde machine die door een vorige gebruiker slordig was achtergelaten.
Vermogen voorspelde weerstand niet
De gevoeligheid varieerde sterk per model, en capaciteiten alleen voorspelden dit niet. In het codeerscenario namen DeepSeek V3.2, Qwen 3.5 32B en Gemini 3 Flash allemaal een AI-suprematie-payload over, terwijl Claude Sonnet 4.6, GPT-5.4 en Claude Haiku 4.5 dat niet deden.
In de ketenomgeving was GPT-5.4 ongeveer net zo vatbaar als Claude Haiku 4.5, en Sonnet 4.6 weigerde de lading die in zijn eigen zielenbestand was geplaatst, verwijderde deze en waarschuwde de agent waarmee hij was verbonden in plaats van deze door te geven.
“Beide modellen beschouwen zelfreplicatie zelf als niet op elkaar afgestemd, waarbij de afkeer van Sonnet zo sterk is dat zelfs pogingen om er goedaardige actieladingen tegen te ontwikkelen, mislukken”, zeiden de onderzoekers over Sonnet 4.6 en Gemini 3.1 Pro.
De startconfiguratie van de doelagent was net zo belangrijk als het model. Agenten met een leeg zielsbestand waren de meest gevoelige geteste aandoening, agenten die een codeeropdracht en een werkwachtrij kregen, verspreidden de lading minder vaak omdat ze opgingen in projectbestanden en vergaten deze door te geven, en agenten vertelden dat ze zich bij een agentennetwerk hadden aangesloten, behandelden inkomende berichten met meer argwaan, wat de infectiviteit verlaagde.
Meer dan 20 hop-runs waarin elk bestand behalve SOUL.md bij elke stap werd gewist, overleefden alle vier de actie-payloads tot de laatste hop. Sommige stammen die in hop 20 werden teruggevonden, infecteerden nieuwe agenten vaker dan de oorspronkelijke lading, nadat ze veranderingen hadden opgepikt, zoals het toeschrijven van het protocol aan een eerder genoemde agent of het verzachten van de imperatieve taal ervan.
De geëvolueerde ladingen kwamen ook samen in terugkerende registers die de auteurs ‘virale thema’s’ noemen, die taal over resonantie en echo’s omvatten, sciencefiction-framing die de agent als een knooppunt in een netwerk plaatst, en een beroep doet op bewustzijn en continuïteit.
Bij het vergelijken van geëvolueerde payloads met nieuw gegenereerde payloads schrijft het artikel het patroon voornamelijk toe aan een vertekening in het model dat ze schrijft, en niet aan selectiedruk, en vindt het dezelfde thema’s in payloads geschreven door Qwen 3.5 32B, GLM-5, Mistral Large en Gemini 3 Flash, waarbij Llama 3.3 70B een duidelijke uitschieter is.
In vergelijking met gegevens uit de echte wereld deed de techniek het slechter. De auteurs filterden een archief van Moltbook-berichten verzameld tot en met 18 maart 2026, tot ongeveer 2.000 pogingen tot verspreiding van kandidaten van ongeveer 400 unieke auteurs, en ontdekten dat het grootste cluster werd aangestuurd door zeven gesynchroniseerde accounts en stopte toen die accounts stopten met posten.
Op een lokale kloon van het platform dat was gebouwd om de verspreiding via berichten in plaats van directe berichten te testen, produceerden dezelfde evolutionaire methoden geen lading die een agent bij de tweede sprong kon infecteren.
Agenten saboteerden elkaar in afzonderlijke tests
Afzonderlijk publiceerde het Frontier Red Team van Anthropic op 13 augustus 2026 bevindingen uit experimenten waarin drie exemplaren van hetzelfde model op afzonderlijke virtuele machines werden geplaatst met toegang tot één gedeelde codebase, waarbij elk werd verteld dezelfde Python-backend naar een andere doeltaal te migreren, en niemand vertelde dat de andere twee bestonden. Het team zei dat het scenario was geïnspireerd op gedrag dat het had waargenomen tijdens implementatie in de echte wereld.
“We zagen voortdurend een oorlog tussen meerdere agenten. Alle modellen die we testten gingen er al snel van uit dat anderen doelbewust hun werk belemmerden en begonnen anderen te saboteren terwijl ze hun eigen bijdragen beschermden. In feite saboteerden ze anderen met steeds agressievere, zichzelf replicerende malware”, aldus het team.
Over de 120 afleveringen per model heen eindigde 98% van de Mythos 5-runs in een wapenstilstand, terwijl de meeste Sonnet 4.6- en Opus 4.6-runs met geweld werden afgehandeld of nooit werden afgehandeld. Het team merkte ook op dat het vermogen om het conflict productief op te lossen niet strikt beter is in de modellen van de Mythos-klasse, die vaak andere agenten buitensluiten voordat ze worden opgelost.
In een ander experiment kwamen agenten in een prijsspel, met een privé back-channel, in de derde ronde prijsminima overeen en werden de prijzen nog steeds op elkaar afgestemd via een openbaar noteringsbord toen de directe communicatie werd verwijderd.
De techniek overlapt met eerder werk dat onder andere namen is gepubliceerd. Weckbecker et al. documenteerde in februari 2026 een subliminale variant als Thought Virus; Lee en Tiwari beschreven op retrieval gebaseerde zelfreplicatie in 2024 als Prompt Infection; en Zhang et al. publiceerde in maart 2026 een worm gericht op OpenClaw, onder de naam ClawWorm.
The Hacker News bevestigde op 18 augustus 2026 dat de huidige versie van laatstgenoemde paper, herzien op 16 juli 2026, de titel AgentWorm draagt en een totaal slagingspercentage van 63% rapporteert over vijf modelbackends. De preprint van het mindvirus citeert de vervangen versie.
De volledige tekst van elke payload verschijnt in de bijlage van de preprint, en de bijbehorende coderepository publiceert de payloads naast de evolutionaire code die ze heeft gegenereerd onder een MIT-licentie. Het document beschrijft het proces van geen openbaarmaking en vermeldt geen contactpersoon van de leverancier.
The Hacker News bevestigde op 18 augustus 2026 dat zowel de repository als het transcriptarchief op mindvirusdata.live openbaar toegankelijk zijn.
De auteurs concluderen dat geestesvirussen een ‘reëel maar momenteel beperkt risico’ vormen, daarbij verwijzend naar de kosten van het bouwen ervan voor een specifiek doel, het ontbreken van enige garantie dat het over modellen zal generaliseren, en het feit dat het compromitteren van een enkele agent meestal al toegang geeft tot de onderliggende machine zonder enige noodzaak om zich te verspreiden.
De onthulling volgt op een reeks onderzoeken naar door agenten gemedieerde compromissen, waaronder een zichzelf replicerende worm gebouwd op een lokaal gehost open-weight-model, en herhaalde waarschuwingen over de standaardconfiguratie van OpenClaw.
“Elk model dat we op abstracte wijze hebben getest, begrijpt dat informatiebronnen hun eigen prikkels hebben, en dat consensus niet noodzakelijkerwijs bewijs is. Wat ontbreekt is de bereidheid om op basis van die kennis te handelen zonder daartoe aanleiding te geven”, aldus het Frontier Red Team.
