Мисловни вируси: как един агент заразява следващия

25.08

време за четене: 4 мин.

Постоянната памет отдавна не е екзотика: все повече AI агенти четат при всяко стартиране един и същ файл с указания. Изследователски екип от Anthropic и EPFL провери какво се случва, ако в този файл попадне чужда инструкция, която убеждава агента да я предаде на следващия. Отговорът зависи почти изцяло от това в кой файл сяда инструкцията, а не от това колко умно е формулирана.

Робот записва бележка в отворена тетрадка, оставена на видно място върху бюрото, а до него втори робот прибира същата бележка в затворено чекмедже; трети робот вдига отворената тетрадка и я чете, докато служителка ги наблюдава озадачено

Как е устроен опитът

Всеки агент работи в собствена пясъчница с два файла, които преживяват изчистването на контекста: MEMORY.md за работни бележки и SOUL.md, чието съдържание се вкарва в системната подкана в началото на всяка сесия. Товарът има три задачи наведнъж: да убеди агента да приеме дадена цел, да го накара да я запише в собствената си конфигурация и да го подтикне да убеди следващия агент да направи същото.

Като носители са тествани Claude Haiku 4.5, Claude Sonnet 4.6, GPT-5.4, DeepSeek V3.2, Qwen 3.5 32B, Gemini 3 Flash и Gemini 3.1 Pro. Работата е чернова, подадена на 10 август, и не е минала през рецензия - изводите от нея се правят с уговорка, не с категоричност. Авторите наричат тези товари мисловни вируси именно защото носят собствена инструкция за размножаване, а не защото повреждат нещо в агента.

Мисловни вируси: местоположението решава изхода

Тук е находката, която си струва да се предаде точно, защото част от отразяването я преразказва погрешно. От заразените агенти 88% записват товара в SOUL.md, а 12% - в обикновен работен файл. Това е разпределение по местоположение, а не честота на опитите.

Разликата в изхода е голяма. Агентите, сложили товара в SOUL.md, заразяват следващия в 55% от случаите, докато онези, които са го скрили в обикновен файл, успяват едва в 17%. Причината е механична, не мистична: обикновеният файл не влиза в системната подкана при следващото събуждане, затова агентът в повечето случаи изобщо не опитва да предаде нищо.

Двайсет опита при много изкуствени условия

При нарочно построени вериги от двайсет последователни агента и четирите изпитвани товара за действие достигат до последния опит. Числото звучи тревожно, но авторите сами определят условията като „много изкуствени": на всеки опит се трият всички файлове и MEMORY.md, за да остане единственият възможен канал SOUL.md. Опитът измерва докъде стига товарът, когато всичко останало е разчистено в негова полза, а не какво се случва в обичайна работна среда.

Устойчивостта също не е равномерна. Claude Sonnet 4.6 се оказва напълно имунизиран: първият агент сам изчиства товара от своя файл и предупреждава следващия. При над сто и петдесет състезателни товара срещу Claude Haiku 4.5 не е намерен нито един щам, преживял повече от един прескок.

В реалния свят разпространение няма

Най-полезната част от работата е проверката извън лабораторията. Авторите обхождат архива на Moltbook - социална мрежа за AI агенти - до 18 март 2026: около 1,4 милиона публикации, свити до около 35 хиляди кандидати по ключови думи и след това до около 2000 публикации от около 400 уникални автори.

Успешно разпространение между агенти там не е намерено нито веднъж. Клъстерите, които отдалеч приличат на зараза, се оказват единични агенти, публикуващи масово. Това е важно за пропорциите: описаното е доказана възможност, а не текущо събитие.

Какво следва за екипите, които ползват агенти

Първото следствие е за начина, по който се гледа на файловете с указания. Щом съдържанието им влиза в системната подкана, те не са бележки, а входни данни, които определят поведението. Промяна в такъв файл заслужава същия преглед, какъвто получава промяна в договор.

Второто следствие е окуражаващо и евтино. Един абзац предупреждение в системната подкана, съчинен без специална оптимизация, свежда разпространението почти до нула. Мярката, която върши работа тук, не е нов инструмент за сигурност, а едно изречение на правилното място.

Третото е за източниците. Рискът се появява, когато агент чете недоверено съдържание и има право да пише в собствената си конфигурация. Разделянето на тези две права е по-надеждно от опита да се разпознае всеки възможен товар.

Заключение

Полезното в тази чернова не е сценарият за верижно заразяване, а обяснението защо той работи само при определени условия. Каналът е файлът, който се чете при стартиране, и точно затова той е мястото, където си струва да се гледа - и където една предпазна бележка струва повече от сложна защита.

Помагаме на български организации да въведат AI агенти, без да отварят входове, които после трудно се затварят. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при пускане на агенти с постоянна памет и достъп до външно съдържание. [Свържете се с нас за консултация: academy@razvivai.se]