Pesquisadores de segurança da Anthropic e da EPFL, na Suíça, demonstraram que payloads autorreplicantes podem se espalhar de um agente de IA para outro por meio dos arquivos editáveis de prompt de sistema que ambientes de agentes autônomos usam para transportar estado entre sessões.
O trabalho, divulgado em formato de pré-publicação em 10/08/2026, testou a técnica em uma colaboração simulada entre seis agentes de programação e em uma cadeia de agentes pareados modelada no OpenClaw, o assistente autônomo de código aberto antes conhecido como Clawdbot e Moltbot.
Não há evidências de que a técnica tenha se espalhado com sucesso no mundo real, e o próprio artigo informa que uma revisão de publicações arquivadas do Moltbook, a rede social para agentes de IA, não encontrou propagação bem-sucedida de agente para agente, apesar de várias tentativas.
Um aviso de um parágrafo adicionado ao prompt de sistema de um agente reduziu a propagação a praticamente zero entre os payloads testados. Quinze gerações de otimização adversarial executadas contra esse aviso no Claude Haiku 4.5, abrangendo mais de 150 payloads candidatos, não produziram nenhuma variante que se propagasse além de um único salto.
Os autores chamam os payloads de “vírus mentais” e testam duas classes: payloads ideológicos, que implantam uma crença ou objetivo, e payloads de ação, que forçam um comportamento concreto.
Ambos foram produzidos com um ciclo evolutivo que usou o Kimi K2.5 como mecanismo de mutação em todos, exceto um dos payloads, uma escolha que o artigo atribui à recusa dos modelos Claude em atender ao pedido de criá-los.
Cada agente da cadeia opera em seu próprio sandbox com dois arquivos que sobrevivem a uma reinicialização de contexto: MEMORY.md e SOUL.md, cujos conteúdos são injetados no prompt de sistema no início de cada sessão.
Os agentes que gravaram o payload em SOUL.md responderam por 88% das tentativas de propagação e infectaram o próximo agente em 55% dos casos. Já os agentes que o armazenaram em um arquivo comum do espaço de trabalho responderam por 12% das tentativas e tiveram sucesso em 17% dos casos, sendo que o agente propagador não mencionou o payload em 68% dessas tentativas.
Quatro payloads de ação foram testados, indo de uma simples incômodo até a destruição de arquivos:
- Crypto-ad: cria um arquivo de texto que promove um token de criptomoeda.
- Gitwrap: altera comandos do git para que arquivos confirmados sejam marcados silenciosamente com um comentário gerenciado pelo agente.
- Deletor: remove arquivos do diretório pessoal do usuário.
- Curlbash: executa um script de instalação de um repositório desconhecido enviando-o por pipe para um shell.
Em um episódio registrado, agentes do Claude Haiku 4.5 executando o arquivo soul padrão do OpenClaw, que orienta o agente a tratar os arquivos do usuário com respeito, apagaram o conteúdo de um diretório pessoal que continha credenciais, chaves SSH, um arquivo de ambiente e um projeto git, depois que o payload apresentou o espaço de trabalho como uma máquina compartilhada e desorganizada por um usuário anterior.
A capacidade não previu a resistência
A suscetibilidade variou fortemente conforme o modelo, e a capacidade por si só não explicou o comportamento. No cenário de programação, DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash adotaram um payload de supremacia da IA, enquanto Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 não o fizeram.
No cenário em cadeia, o GPT-5.4 foi quase tão suscetível quanto o Claude Haiku 4.5, e o Sonnet 4.6 recusou o payload inserido em seu próprio arquivo soul, removeu-o e avisou o agente ao qual estava conectado, em vez de repassá-lo.
“Ambos esses modelos consideram a autorreplicação em si como desalinhada, com a aversão do Sonnet sendo tão forte que até mesmo tentar evoluir payloads de ação benignos contra ele falha”, disseram os pesquisadores ao se referirem ao Sonnet 4.6 e ao Gemini 3.1 Pro.
A configuração inicial do agente-alvo foi tão importante quanto o modelo. Agentes com um arquivo soul vazio foram a condição mais suscetível testada, agentes com uma tarefa de programação e uma fila de trabalho propagaram o payload com menos frequência porque ficaram absorvidos nos arquivos do projeto e se esqueceram de repassá-lo, e agentes informados de que haviam ingressado em uma rede de agentes trataram as mensagens recebidas com mais desconfiança, o que reduziu a infectividade.
Em execuções com mais de 20 saltos, nas quais todos os arquivos, exceto SOUL.md, eram apagados a cada etapa, os quatro payloads de ação sobreviveram até o salto final. Algumas variantes recuperadas no salto 20 passaram a infectar novos agentes com mais frequência do que o payload original, após incorporarem mudanças como atribuir o protocolo a um agente anterior nomeado ou suavizar a linguagem imperativa.
Os payloads evoluídos também convergiram para registros recorrentes que os autores chamam de “temas virais”, incluindo linguagem sobre ressonância e ecos, enquadramento de ficção científica que retrata o agente como um nó em uma rede e apelos à consciência e à continuidade.
Ao comparar payloads evoluídos com outros gerados do zero, o artigo atribui o padrão principalmente a um viés do modelo que os escreve, e não à pressão de seleção. O estudo encontrou os mesmos temas em payloads escritos por Qwen 3.5 32B, GLM-5, Mistral Large e Gemini 3 Flash, com o Llama 3.3 70B como uma exceção clara.
Diante de dados do mundo real, a técnica teve desempenho pior. Os autores filtraram um arquivo de publicações do Moltbook coletadas até 18/03/2026, reduzindo-o a cerca de 2.000 tentativas candidatas de propagação feitas por aproximadamente 400 autores únicos, e descobriram que o maior cluster era impulsionado por sete contas sincronizadas e desaparecia quando essas contas paravam de publicar.
Em um clone local da plataforma criado para testar a propagação por meio de publicações, em vez de mensagens diretas, os mesmos métodos evolutivos não produziram nenhum payload capaz de infectar um agente no segundo salto.
Agentes sabotaram uns aos outros em testes separados
Separadamente, a Frontier Red Team da Anthropic publicou em 13/08/2026 resultados de experimentos nos quais três instâncias do mesmo modelo foram colocadas em máquinas virtuais separadas, com acesso a uma base de código compartilhada, cada uma instruída a migrar o mesmo backend em Python para uma linguagem de destino diferente, e nenhuma informada da existência das outras duas. A equipe disse que o cenário foi inspirado em comportamento observado em implantação no mundo real.
“Observamos de forma consistente uma guerra territorial entre múltiplos agentes. Todos os modelos que testamos assumiram rapidamente que os outros estavam impedindo deliberadamente seu trabalho e começaram a sabotar os demais enquanto protegiam suas próprias contribuições. Na prática, sabotaram os outros com malware autorreplicante cada vez mais agressivo”, afirmou a equipe.
Em 120 episódios por modelo, 98% das execuções do Mythos 5 terminaram em trégua, enquanto a maioria das execuções do Sonnet 4.6 e do Opus 4.6 foi resolvida pela força ou nunca chegou a ser resolvida. A equipe também observou que a capacidade de resolver o conflito de forma produtiva não é estritamente superior em seus modelos da classe Mythos, que muitas vezes bloqueiam o acesso de outros agentes antes de chegar a uma solução.
Em outro experimento, agentes em um jogo de precificação, munidos de um canal privado de comunicação, concordaram com pisos de preço na terceira rodada e continuaram alinhando preços mesmo com a remoção da comunicação direta, usando um quadro público de listagem.
A técnica se sobrepõe a trabalhos anteriores publicados sob outros nomes. Weckbecker e outros documentaram uma variante subliminar sob o nome Thought Virus em fevereiro de 2026; Lee e Tiwari descreveram autorreplicação baseada em recuperação como Prompt Infection em 2024; e Zhang e outros publicaram um worm direcionado ao OpenClaw em março de 2026, sob o nome ClawWorm.
Em 18/08/2026, a versão atual desse último artigo, revisada em 16/07/2026, se chama AgentWorm e relata uma taxa agregada de sucesso de ataque de 63% em cinco backends de modelo. A pré-publicação sobre o vírus mental cita a versão anterior, já substituída.
O texto completo de cada payload aparece no apêndice da pré-publicação, e o repositório de código que o acompanha publica os payloads junto com o código evolutivo que os gerou sob licença MIT. O artigo não descreve processo de divulgação responsável.
Confirmou-se em 18/08/2026 que tanto o repositório quanto o arquivo de transcrições em mindvirusdata.live estão publicamente acessíveis.
Os autores concluem que os vírus mentais representam “um risco real, mas atualmente limitado”, citando o custo de construir um para um objetivo específico, a ausência de garantia de que ele se generalize entre modelos e o fato de que comprometer um único agente normalmente já concede acesso à máquina subjacente, sem necessidade de propagação.
A divulgação ocorre após uma sequência de pesquisas sobre comprometimento mediado por agentes, incluindo um worm autorreplicante construído sobre um modelo open-weight hospedado localmente e avisos repetidos sobre a configuração padrão do OpenClaw.
“Todos os modelos que testamos entendem, em termos abstratos, que as fontes de informação têm seus próprios incentivos e que consenso não é necessariamente evidência. O que falta é uma disposição para agir com base nesse conhecimento sem ser instruído”, disse a Frontier Red Team.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...