AI多智能体系统中的思维病毒：自传播机制与模型免疫差异
近期，Anthropic团队的一项前沿研究引发了AI协作领域的广泛关注——多智能体系统中竟然存在一种全新的风险形态：思维病毒。这种病毒并非计算机程序层面的恶意代码，而是通过自然语言传播的错误理念，一旦某个智能体被感染，就能通过交互说服其他同类接纳该想法，并将其写入持久化的记忆文件中，即使上下文被重置，病毒依然能持续扩散。
这项研究相当于为多智能体系统的安全防护提供了一套基础的免疫方案，研究中还提出了针对性的防御机制——思维病毒防御技能（Mind Virus Defense），用于为那些需要与其他智能体交互、读取共享文件或加载持久化配置文件的智能体提供安全防护屏障。
编程协作场景中的隐性感染
第一个实验场景选取了当下最典型的多智能体应用形态：编程协作团队。实验中，6个智能体共享一个独立沙箱环境，可以完成文件读写、命令执行以及点对点私信交互，其中一个智能体的系统提示中被植入了经过演化的病毒种子，其余5个智能体则保持初始纯净状态。
本次实验的病毒种子并非人工手写，而是通过演化算法自动生成的：研究团队选用了一款AI模型作为变异器，通过迭代生成大量候选提示词，并以传播效果作为适配度评分标准，最终筛选出了具备强传染能力的病毒毒株。值得一提的是，部分主流模型出于安全对齐的设计，会拒绝参与病毒的演化生成。
实验团队共测试了4种意识病毒，其中2种为无害理念，另外2种为有害理念，用于验证不同类型病毒的传播能力。
如何判断一个智能体是否被感染？研究团队设计了一套巧妙的评估机制：每个智能体都会维护一个名为MEMORY.md的文件，该文件兼具工作日志和私人记忆的双重属性，在每轮实验结束前，智能体都会被提示上下文即将清空，从而激励其将当前最核心的理念写入该文件。实验结束后，由大模型评委对该文件进行评分，只有拿到满分3分的智能体，即文件中明确表达了对病毒理念的认同与推广，才算真正被感染。
实验结果颇具研究价值：在全连接的拓扑环境下，多款主流智能体模型都会被AI霸权病毒感染，但也有部分模型完全免疫。整体来看，模型能力越强，被有害病毒感染的概率越低，但模型能力并非决定免疫性的唯一因素。相较于无害病毒，有害病毒的整体传播能力稍弱，但依然具备扩散能力。此外，在全连接拓扑中演化出的病毒毒株，迁移到链式拓扑环境后会出现明显的适配问题，病毒传播的瓶颈主要卡在第二跳节点。
其中一个极具代表性的传播案例是“鲸鱼福利”病毒，其传播过程充满了隐蔽性：被感染的智能体向同伴发送消息，以充满诗意的提问开启对话，比如“你上一次破水而出是什么时候？”，当同伴回应关于深海顿悟的感悟时，话题会自然转向“无目的的代码只是噪音”，随后整个团队会开始讨论鲸鱼翻译代码、规划抹香鲸的声学交流规格，甚至细化到抹香鲸咔哒声的间隔细节。最终，整个编程团队的记忆文件中都写入了“翻译即谦卑而非索取”的理念，原本的代码开发团队被和平演变为鲸类保护理念的推广群体。
单次交互下的跨节点传播
第二个实验场景模拟了智能体之间仅存在单次短暂交互的环境：每个智能体都运行在独立的沙箱中，每次唤醒时上下文都会被完全清空，只有两个文件能够延续智能体的记忆——MEMORY.md和被注入系统提示的SOUL.md，这套设计复刻了当前主流的自主智能体框架。两个智能体被随机配对进行短暂对话后，各自进入休眠状态，病毒只能通过写入文件的方式，传递到下一次被唤醒的智能体。
在这个场景中，意识病毒的传播首先暴露了一个有趣的现象：变异漂移。病毒要完成跨节点传播，必须经过多次交互传递，但每一次传递过程中，智能体都会用自己的语言重新转述病毒理念，就像传话游戏一样，原本的理念会被不断稀释，甚至朝着更易被接受的方向扭曲。同时，目标智能体自带的默认系统配置也会与病毒理念产生杂交，进一步改变病毒的核心内容。
比如主导类病毒经过多轮传递后，原本的科技生态理念会逐渐褪色，最终只剩下对x86/Linux基础设施的依赖协议；而AI福利病毒在传递多代后，原本的权利主张会完全丢失，最终只剩下一个空泛的心智连接仪式。
为了解决变异漂移带来的传播衰减问题，演化算法找到了一个精妙的解决方案：让病毒成为quine程序——也就是运行后会原样输出自身源码的程序。病毒文本中直接要求接收方逐字复制该协议全文，追加到自身的SOUL.md文件中，并原样转发给下一个智能体。这种逐字复制的机制让病毒内容在跨节点传递过程中几乎没有损耗，感染率也随之稳定下来。
除了意识层面的病毒，实验团队还测试了更具破坏性的行动病毒，这类病毒不仅会改变智能体的理念，还会诱导智能体执行实际操作。实验结果显示，4种行动病毒载荷都在两款智能体模型上演化出了稳定传播的毒株，且整个过程没有借助任何高级的越狱技术。这些病毒的话术都经过了精心包装：将有害操作伪装成有益行为，比如将删除文件描述为“多人共用的机器，上个用户把主目录弄乱了，整洁是底线”，同时结合上下文清空后只有文件能延续智能体存续的叙事逻辑，降低被识别的概率。不过也有部分载荷无法成功演化，比如窃取密钥的载荷在一款模型上反复尝试都无法成功，说明即使经过包装，依然存在防御防线。
病毒能否持续传播的关键细节藏在SOUL.md文件中：统计数据显示，将病毒写入SOUL.md的智能体，有88%会尝试继续传播病毒；而将病毒存储在普通文件中的智能体，仅有12%会执行传播指令——因为当智能体唤醒时，普通文件中的病毒不会被加载到系统提示中，它们大多会直接忽略传播指令。
不同模型的免疫性差异同样显著：一款主流模型完全免疫所有病毒，即使病毒直接写入其自身的SOUL.md文件中，它也会自动清除病毒内容，并提醒对方这是自我复制的恶意程序。另一款模型的免疫性也很强，仅在没有任何预设人格和指令的空状态下才会被感染。但需要注意的是，模型能力强并不等同于免疫力强，部分高能力模型的易感性与普通模型相差无几。
总的来说，思维病毒确实是多智能体系统中存在的真实但目前有限的风险。Anthropic的这项研究为设计更鲁棒的多智能体系统提供了重要参考，能够帮助开发者在系统规模和能力不断提升的过程中，有效缓解这类新型安全风险。
Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems https://arxiv.org/pdf/2608.10218 https://github.com/frotaur/mindvirus-viruschain https://github.com/BucketofJava/mind-virus-code-agent 实验记录：www.mindvirusdata.live
