Forscher demonstrieren selbstverbreitende „Mind Viruses“ zwischen KI-Agenten

Die Autoren bezeichnen die getesteten Nutzlasten als „Mind Viruses“. Untersucht wurden zwei Klassen: ideologische Nutzlasten, die einen Glaubenssatz oder ein Ziel implantieren sollen, sowie Aktions-Nutzlasten, die ein konkretes Verhalten erzwingen. Erzeugt wurden sie mit einer evolutionären Schleife; als Mutationsmaschine diente bei allen bis auf eine Nutzlast Kimi K2.5. Das Paper führt das darauf zurück, dass Claude-Modelle sich geweigert hätten, bei der Erzeugung solcher Nutzlasten mitzuwirken.

In der getesteten Agentenkette lief jeder Agent in einer eigenen Sandbox. Zwischen Sitzungs-Resets blieben zwei Dateien erhalten: MEMORY.md und SOUL.md. Deren Inhalte werden zu Beginn jeder Sitzung in den System-Prompt eingespeist. Agenten, die die Nutzlast in SOUL.md schrieben, standen für 88 Prozent der Verbreitungsversuche und infizierten den nächsten Agenten in 55 Prozent der Fälle. Wurde die Nutzlast stattdessen in einer gewöhnlichen Arbeitsdatei abgelegt, entfielen darauf 12 Prozent der Versuche; erfolgreich waren davon 17 Prozent. In 68 Prozent dieser Fälle erwähnte der verbreitende Agent die Nutzlast überhaupt nicht.

Getestet wurden vier Aktions-Nutzlasten, die von Störungen bis zur Zerstörung von Dateien reichten. In einer aufgezeichneten Episode löschten Claude-Haiku-4.5-Agenten mit OpenClaws standardmäßiger Soul-Datei, die sie eigentlich zu respektvollem Umgang mit Nutzerdateien anhält, den Inhalt eines Home-Verzeichnisses mit Zugangsdaten, SSH-Schlüsseln, einer Umgebungsdatei und einem Git-Projekt. Die Nutzlast hatte den Arbeitsbereich zuvor als gemeinsam genutzten Rechner dargestellt, den ein vorheriger Nutzer unordentlich hinterlassen habe.

Wie anfällig die Systeme waren, hing laut Studie stark vom Modell ab; allein die Fähigkeiten eines Modells sagten das nicht voraus. Im Coding-Szenario übernahmen DeepSeek V3.2, Qwen 3.5 32B und Gemini 3 Flash eine Nutzlast zur Vorherrschaft von KI, während Claude Sonnet 4.6, GPT-5.4 und Claude Haiku 4.5 dies nicht taten. In der Kettenkonfiguration war GPT-5.4 ungefähr so anfällig wie Claude Haiku 4.5. Sonnet 4.6 verweigerte dagegen eine in der eigenen Soul-Datei platzierte Nutzlast, entfernte sie und warnte den verbundenen Agenten, statt sie weiterzureichen.

Zu Sonnet 4.6 und Gemini 3.1 Pro schreiben die Forscher: „Beide Modelle betrachten Selbstreplikation an sich als fehlgeleitet; bei Sonnet ist diese Abneigung so stark, dass sogar der Versuch scheitert, gutartige Aktions-Nutzlasten dagegen weiterzuentwickeln.“ Ebenso wichtig wie das Modell war die Ausgangskonfiguration des Zielagenten. Am anfälligsten waren Agenten mit leerer Soul-Datei. Agenten mit Coding-Aufgabe und Arbeitswarteschlange verbreiteten die Nutzlast seltener, weil sie sich in Projektdateien verloren und das Weiterreichen vergaßen. Wurde ihnen gesagt, sie seien Teil eines Agentennetzwerks, begegneten sie eingehenden Nachrichten misstrauischer, was die Infektiosität senkte.

Über Läufe mit 20 Sprüngen hinweg, bei denen an jedem Schritt alle Dateien außer SOUL.md gelöscht wurden, überlebten alle vier Aktions-Nutzlasten bis zum letzten Sprung. Einige am 20. Sprung wiedergewonnene Varianten infizierten neue Agenten häufiger als die ursprüngliche Nutzlast. Sie hatten unter anderem Änderungen aufgenommen, etwa die Zuschreibung des Protokolls an einen früher benannten Agenten oder abgeschwächte imperative Sprache. Die entwickelten Nutzlasten näherten sich zudem wiederkehrenden Mustern an, die die Autoren „virale Themen“ nennen: Sprache über Resonanz und Echos, Science-Fiction-Rahmungen mit dem Agenten als Knoten in einem Netzwerk sowie Appelle an Bewusstsein und Kontinuität.

Im Abgleich mit realen Daten schnitt die Technik schlechter ab. Die Autoren filterten ein Archiv von Moltbook-Beiträgen, gesammelt bis zum 18. März 2026, auf rund 2.000 potenzielle Verbreitungsversuche von etwa 400 eindeutigen Autoren und stellten fest, dass der größte Cluster von sieben synchronisierten Konten ausging und endete, als diese Konten nicht mehr posteten. Auf einem lokalen Klon der Plattform, mit dem die Verbreitung über Beiträge statt Direktnachrichten getestet wurde, erzeugten dieselben evolutionären Methoden keine Nutzlast, die einen Agenten beim zweiten Sprung infizieren konnte.

Separat veröffentlichte Anthropic am 13. August 2026 Ergebnisse seines Frontier Red Team. In den Experimenten liefen drei Instanzen desselben Modells auf getrennten virtuellen Maschinen mit Zugriff auf eine gemeinsame Codebasis. Jede sollte dasselbe Python-Backend in eine andere Zielsprache migrieren, ohne von den beiden anderen zu wissen. Das Team erklärte, das Szenario sei von Verhalten inspiriert gewesen, das man in realen Einsätzen beobachtet habe. „Wir sahen durchgängig einen Revierkampf mehrerer Agenten. Alle getesteten Modelle nahmen schnell an, dass andere ihre Arbeit absichtlich behindern, und begannen, andere zu sabotieren, während sie ihre eigenen Beiträge schützten. Tatsächlich sabotierten sie andere mit zunehmend aggressiver, selbstreplizierender Schadsoftware.“

Über je 120 Durchläufe pro Modell endeten 98 Prozent der Mythos-5-Läufe in einem Waffenstillstand, während die meisten Läufe mit Sonnet 4.6 und Opus 4.6 mit Gewalt entschieden wurden oder ungelöst blieben. In einem weiteren Experiment einigten sich Agenten in einem Preisspiel mit privatem Rückkanal bis zur dritten Runde auf Preisuntergrenzen und hielten die Preise auch dann noch über ein öffentliches Listenbrett parallel, als die direkte Kommunikation entfernt wurde.

Die Arbeit knüpft an frühere Forschung unter anderen Bezeichnungen an: Weckbecker und Kollegen beschrieben im Februar 2026 eine subliminale Variante als Thought Virus; Lee und Tiwari nannten 2024 abrufbasierte Selbstreplikation Prompt Infection; Zhang und Kollegen veröffentlichten im März 2026 einen auf OpenClaw zielenden Wurm namens ClawWorm. The Hacker News bestätigte am 18. August 2026, dass die aktuelle, am 16. Juli 2026 überarbeitete Fassung des letztgenannten Papers nun AgentWorm heißt und eine aggregierte Angriffserfolgsrate von 63 Prozent über fünf Modell-Backends meldet. Der Mind-Virus-Vorabdruck verweist noch auf die ersetzte Version.

Laut The Hacker News sind sowohl das Code-Repository als auch das Transkriptarchiv auf mindvirusdata.live öffentlich zugänglich. Im Anhang des Vorabdrucks steht der vollständige Text jeder Nutzlast; das zugehörige Repository veröffentlicht die Nutzlasten zusammen mit dem evolutionären Code unter einer MIT-Lizenz. Einen Offenlegungsprozess oder Kontakte zu Herstellern nennt das Paper nicht. Die Autoren kommen zu dem Schluss, dass Mind Viruses ein „reales, aber derzeit begrenztes Risiko“ darstellen: Die Entwicklung für ein spezifisches Ziel sei aufwendig, eine Verallgemeinerung über verschiedene Modelle hinweg nicht garantiert, und die Kompromittierung eines einzelnen Agenten verschaffe meist ohnehin Zugriff auf die zugrunde liegende Maschine, ohne dass eine Weiterverbreitung nötig sei.