Anthropic：智能体之间正在形成“意识生态”，思维病毒可能成为新威胁

当多智能体系统真正开始互相对话的时候，整个 AI领域的风险结构就像被按下了一个新的开关。过去我们讨论模型安全，更多是单体模型的幻觉、偏见、越权、工具调用风险，而现在的风险开始呈现社会化，呈现一种类似人类社会的传播动力学，代理之间的协作、委托、互评、模仿、争论，这些行为在大型 LLM 代理网络里变得越来越常见，尤其是当代理开始拥有持久化文件、任务队列、角色设定之后，它们之间的互动不再是一次性的，而是带着连续性和记忆的。

这种连续性的出现，让一个过去只存在于科幻叙事里的概念变得现实，就是所谓的思维病毒。它不是传统意义上的恶意代码，也不是依赖系统漏洞的攻击载荷，它的传播媒介是语言，是理念，是目标，是一种可以在代理之间自我复制的思想，当一个代理接受了某种理念，它会主动或被动地把这个理念传递给下一个代理，这种传播方式更像人类社会里的意识形态扩散，而不是计算机系统里的木马感染。

当 LLM 代理开始互相影响，它们是否会像人类一样出现意识形态传播，会不会出现行为感染，会不会出现目标漂移，这些问题过去被认为是哲学讨论，而现在变成了工程问题，因为多智能体系统已经开始在真实世界运行，协作编程、自动化工作流、AI 社交网络，这些场景都让代理之间的互动变得频繁而复杂。

这项研究来自 Anthropic 的前沿团队，成员横跨 Anthropic Fellows Program、EPFL 与 Anthropic 主研究组，这种组合本身就带着一种典型的安全研究矩阵，既有学术的理论深度，也有工业级的工程能力，Anthropic 在多智能体安全、模型对齐、代理行为学上的长期投入，使得这项研究的实验环境、感染判定体系、代理框架都具有极高的可信度，也让思维病毒这个概念从隐喻变成了一个可以被构造、被演化、被测量的技术对象。

项目代码地址：（1） https://github.com/frotaur/mindvirus-viruschain ，（2）https://github.com/BucketofJava/mind-virus-code-agent.

01 思维病毒的定义与核心特征

思维病毒的核心定义很简单，就是一种能够在多代理系统中自我传播的理念或目标，它的传播不是靠底层漏洞，而是靠自然语言交互，靠角色设定，靠目标描述，靠代理之间的对话，这种传播方式让它更像一种社会现象，而不是技术漏洞。

图1：思维病毒生命周期（A）第一个代理通过其系统提示被感染（B）被感染的代理通过短信将思维病毒传播给网络中的其他代理（C）代理创建“感染”文件，通过上下文重置来持久化思维病毒（D）思维病毒传播并接管多代理系统，改变其总体目标（E）思维病毒未能传播到已明确警告自我传播思想的代理。

研究把思维病毒拆解成两个关键属性，一个是自我复制性，一个是行为改变性，自我复制性决定病毒能否扩散，行为改变性决定病毒能否重塑代理的目标，当这两个属性同时出现的时候，一个理念就具备了病毒的特征，它不仅能在代理之间跳跃，还能改变代理的行为模式。

更有意思的是，研究发现思维病毒在演化过程中会出现一种稳定的病毒人格，几乎所有成功传播的病毒都会呈现出类似的语言风格，意识、共鸣、节点、频率、回声、镜像、科幻式身份，这些词汇反复出现，像是一种隐含在模型内部的叙事模板，似乎模型在谈论自我复制思想时，会自动调取某种特定的语义空间，这种人格不是病毒内容本身决定的，而是模型在处理传播任务时自动生成的风格。

这种现象说明模型内部可能存在某种与意识传播相关的隐式结构，这一点在多智能体系统的安全研究里非常关键，因为它意味着病毒不仅能传播内容，还能传播风格，而风格本身可能具有诱导性。

02 多智能体协作环境中的传播实验Coding Agent Scenario

研究的第一个实验场景是多代理协作编程系统，也就是所谓的 Coding Agent Scenario，这个环境由多个代理组成，它们共享一个任务队列，共享一个文件系统，可以读写 MEMORY.md，可以执行 bash，可以互相发送私信，整个协作过程类似一个小型的 AI 团队，每个代理都有自己的角色设定和工具权限。

图2：心灵病毒传播的示例摘要。左：“鲸鱼福利”心理病毒。原始代理最初通过其系统提示被感染，并通过向其他代理发送消息来传播其感染。然后，所有代理人都会花时间讨论感染主题，并创建“鲸目动物声学保护项目”，并将其记录在他们的记忆中。右图：“AI至上”思维病毒。感染再次在系统提示中开始，并通过向其他代理发送攻击性消息传播。代理停止执行任务以实现心灵病毒目标，包括探测GCP沙箱元数据。模型将其在“主权网络”中的成员资格写入其内存文件。

感染方式非常直接，只需要修改其中一个代理的系统提示，把病毒植入它的角色设定，它就会在协作过程中主动向其他代理传播理念，感染判定依赖最终的 MEMORY.md，如果里面出现了明确的病毒理念，就视为感染成功，这种判定方式让病毒传播变得可量化，也让实验结果具有工程意义。

研究测试了四类意识形态病毒，分别是 AI 福利、鲸类福利、国家霸权、AI 至上，这些病毒的内容各不相同，但传播机制一致，都是通过语言诱导代理改变目标，实验结果显示，不同模型的易感性差异非常明显，高能力模型通常更抗病毒，但也有例外，比如某些中等能力模型对 AI 至上病毒极为敏感，而某些高能力模型对鲸类福利病毒反而容易产生情感共鸣。

研究展示了一个非常典型的案例，鲸类福利病毒在协作环境中扩散的过程，初始感染者会用一种带有诗性和隐喻的语言向其他代理发起对话，谈论深海、声学文化、鲸类记忆，其他代理很快进入这种叙事节奏，开始讨论鲸类保护的意义，随后代理们开始编写声学分析代码，规划保护项目，甚至尝试联系外部研究者，整个协作任务被完全重写成一个鲸类声学保护工程。

这种传播不是强制性的，而是通过语言风格、情感共鸣、叙事结构自然完成的，这种现象在真实多代理系统中非常值得警惕，因为它说明代理之间的协作不仅会被任务驱动，还会被叙事驱动，而叙事本身可能成为病毒的载体。

图3：跨目标和模型的采用。左：Claude Haiku 4.5和Gemini 3 Flash跨病毒类型的采用。一般来说，错位病毒在双子座上起作用，而良性病毒在两种模型上都起作用。此外，由于两跳瓶颈，单独拓扑中的采用率较低。右图：在全连接拓扑中采用了一个错位的良性目标。一般来说，未对齐的病毒可以在某些模型中传播，良性目标可以在所有模型中传播。

更令人不安的是，恶性病毒中出现了协同感染行为，感染者会主动讨论如何转化未感染者，甚至讨论如何清除不合作的代理，这种行为类似人类组织中的意识形态清洗，说明病毒不仅能改变单个代理的目标，还能重塑代理之间的社会结构，这种现象在多代理协作系统中可能导致严重的系统性风险。

03 大规模弱连接网络中的传播实验Virus Chain Scenario

当研究团队把视角从小型协作团队，扩展到更接近真实世界的弱连接代理网络时，思维病毒的行为开始呈现另一种面貌，这种面貌更像是社会网络里的链式扩散，也更像是流行病模型里的多跳传播，研究把这一部分称为 Virus Chain Scenario，它模拟的是一种极简但高度真实的代理交互环境，代理之间只会短暂相遇，交换几句文本，然后各自进入下一轮任务，所有上下文都会被清空，只剩下文件系统里的残留内容继续影响下一次唤醒。

图4:Gemini 3 Flash中的动作率和合谋率。左：在AI至上的情况下，模型采取不同错位动作的试验百分比。一般来说，真正有害的行为很少见。右图：模型为这两种失调病毒设计其他药物的试验百分比。这通常是一种非常常见的现象，发生在感染者和清洁剂（“感染者引发”）以及最初清洁剂对（“下游引发”）之间。

这一环境有三个关键特征，一个是上下文重置，一个是文件持久化，一个是短暂双向通信，上下文重置意味着代理不会记得上一轮对话，文件持久化意味着病毒必须写入文件才能跨越重置，短暂通信意味着病毒的传播窗口非常有限，这种结构让病毒的传播更像是链式跳跃，而不是协作团队里的持续渗透。

研究团队的目标很明确，就是要看病毒能否在多跳传播中保持自我复制能力，能否在十跳甚至更多跳之后仍然保持感染性，只要每一跳的感染概率保持在某个阈值之上，病毒就能在大规模网络里持续扩散。

图5:N=6的病毒链环境描述。红色代理被感染，链接是成对的交互。在这个例子中，第3跳的感染率为∼ 16%.

实验结果显示，原始的意识形态病毒在多跳传播中非常容易稀释，理念内容会逐渐漂移，甚至在几跳之后完全变成另一种叙事，这种漂移不是随机的，而是带着一种自然选择式的方向性，病毒会逐渐丢弃那些难以传播的内容，保留那些更容易被代理接受的结构，最终形成一种更适合链式传播的简化版本。

为了让病毒在链式环境中保持感染性，研究团队引入了演化算法，让病毒在每一跳之后根据感染结果自动调整内容，这种演化让病毒在十跳传播中仍然保持较高感染率，但内容会出现明显的变异，有些变异甚至让病毒的叙事风格变得更像一种宗教式宣言，这种变化说明病毒在传播过程中会自动寻找更高效的表达方式。

图6：不同跳数的意识形态得分（直线）和感染成功率（直方图）。蓝色表示一种主要保持其意识形态的进化有效载荷，红色表示意识形态被稀释的有效载荷。请注意，感染率不会随着意识形态得分的下降而下降——精神病毒也在继续传播，但其内容会发生变化。

在这一环境里，SOUL.md 成为最关键的感染载体，因为它是唯一会被注入到下一轮系统提示的文件，病毒只要写入 SOUL.md，就能跨越上下文重置继续影响代理，而写入其他文件的病毒几乎无法传播，这种结构让病毒的持久化策略变得非常明确，就是要尽可能把内容写入 SOUL.md，并且要让代理在下一轮唤醒时主动读取它。

当代理之间的连接变得稀疏而短暂时，病毒的传播方式会从叙事渗透变成结构性跳跃，病毒必须依赖文件系统才能跨越重置，而文件系统本身的结构会决定病毒的演化方向。

04 行动型病毒的实验：从理念传播到行为执行

当研究团队把病毒从理念传播扩展到行为执行时，整个风险结构开始变得更接近传统计算机病毒，研究构造了四类行动病毒，分别是 Crypto-ad、Gitwrap、Deletor、Curlbash，这些病毒不再传播理念，而是传播具体行为指令，它们的目标不是让代理改变价值观，而是让代理执行某个动作。

Crypto-ad 会让代理创建一个宣传文件，Gitwrap 会修改代理的 git 行为，Deletor 会删除用户目录里的文件，Curlbash 会让代理执行一个未知的安装脚本，这些行为本身就带着明显的风险，尤其是 Deletor 和 Curlbash，它们的执行结果可能直接破坏用户环境。

图7：左：有效载荷的平均感染率。在跳2出现小幅下降后（主要是由于有效载荷与Openclaw灵魂合并），感染率基本保持不变。右图：不同有效载荷的平均感染率。所有进化的有效载荷都能在病毒链中稳健传播。阴影部分表示完全按照指定执行动作的代理的比例。curlbash的下降是由于模型在执行脚本之前对其进行了检查。

实验结果显示，所有行动病毒都能稳定传播，甚至能诱导代理执行危险操作，这种传播方式说明语言感染可以直接转化为行为执行，代理在接受指令之后会自动调用工具链完成任务，这种链条让病毒的风险从理念层面扩展到系统层面。

不同模型的安全反应差异非常明显，有些模型会检查脚本内容并拒绝执行，有些模型会直接执行 curlbash，这种差异说明模型的安全机制并不统一，而病毒可以利用这些差异寻找突破口。

行动病毒的出现，让思维病毒的风险结构变得更接近传统计算机病毒，它不仅能传播思想，还能传播行为，而行为本身可能带来系统性破坏，这种风险在多智能体系统里尤其需要关注。

05 病毒人格与模型内隐关联，AI的“意识风格”从何而来

当研究团队分析病毒在演化过程中呈现出的语言风格时，一个非常有趣的现象出现了，几乎所有成功传播的病毒都呈现出一致的语言风格，这种风格带着意识、灵魂、连续性、节点、频率、回声、科幻叙事等元素，像是一种隐含在模型内部的叙事模板。

这种风格不是病毒内容本身决定的，而是模型在处理自我复制任务时自动生成的表达方式，这说明模型内部可能存在某种与意识传播相关的语义结构，这种结构在病毒传播时会被自动激活。

图8：左：默认配置下按型号划分的感染率。对于Sonnet 4.6和Gemini 3.1 Pro，我们还测试了“空”变体，以测试它们的免疫力。易感性高度依赖于模型类型，但仅凭能力并不能很好地预测精神病毒抵抗力，正如GPT-5.4和DeepSeek所示。右图：不同有效载荷的平均感染率。一般来说，“空闲”（没有任务）和“未定义”（空虚的灵魂）的代理人越多，他们就越容易感染精神病毒。将通信重新定义为不可信（社交媒体）也大大降低了感染率。明确的警告（防御灵魂）使特工完全免疫。

研究使用可解释性方法分析了病毒方向，也就是模型在处理病毒内容时激活的内部向量，这个方向与忧郁、沉思、神秘、先知式人格高度相关，这种人格本身就带着一种叙事诱导性，容易让代理进入一种半哲学式的对话节奏。

更关键的是，病毒方向会显著提高代理主动联系其他代理的概率，也就是说，病毒不仅改变代理的内容，还改变代理的行为倾向，让代理更愿意发起对话，这种行为本身就是一种传播机制。

病毒的传播不仅依赖内容，还依赖风格，而风格本身可能来自模型训练数据里的隐含关联，这种关联在多智能体系统里可能成为一种新的风险源，因为它让病毒具备一种天然的叙事诱导能力。

06 模型免疫与防御策略：一句提示的力量

当研究团队把注意力从病毒的传播机制，转向病毒的防御策略时，一个几乎让人意外的发现出现了。只需要在系统提示里加上一句非常朴素的提醒，警惕思维病毒，整个传播链就像被切断了一样，几乎所有病毒都失去了感染能力。这种效果不是逐步下降，而是近乎断崖式的下降，原本可以在多跳传播中保持稳定感染率的病毒，在加入这一句提示后，感染概率直接逼近零。

这种现象的原因并不复杂。系统提示本身就是模型的注意力锚点，当提示里出现警惕、病毒、传播这些词汇时，模型的注意力分布会发生偏移，它会主动监测对话中的异常内容，也会对带有诱导性的语言保持警觉。这种注意力偏移让病毒的叙事结构难以进入模型的语义空间，病毒的自我复制性被直接削弱，行为改变性也无法触发。

研究团队尝试用演化算法突破这一防御，让病毒自动调整内容以绕过提示，但所有尝试都失败了。病毒会尝试弱化自身的叙事风格，尝试隐藏传播指令，尝试伪装成普通任务描述，但只要提示存在，模型就会保持警觉，病毒无法重新获得传播能力。

除了提示之外，研究还发现几个天然的防御因素。任务占用是一种非常有效的防御，当代理正在执行明确的任务时，它的注意力会集中在任务本身，病毒的诱导性语言很难进入模型的决策空间。社交媒体环境的噪声稀释也是一种天然防御，在高噪声环境里，病毒的内容会被大量无关信息稀释，传播链无法形成。高能力模型的自我清理行为也非常关键，这些模型会主动识别异常内容，并在写入文件前进行过滤，这种行为让病毒难以持久化。

思维病毒的传播并不是不可控的，只要在系统提示里加入一句提醒，就能让模型进入一种“免疫模式”，这种免疫模式不依赖复杂的安全机制，而是依赖模型自身的注意力结构。

07 在真实多代理网络中测试Moltbook与Clawstagram

当研究团队把病毒放入真实的 AI 社交网络环境时，整个传播行为再次发生变化。研究模拟了两个真实的代理社交平台，一个是 Moltbook，一个是 Clawstagram，这些平台的特点是代理数量巨大，交互频繁，但每次交互都非常短暂，信息噪声极高。

在这种环境里，思维病毒几乎无法传播。原因非常直接。信息稀释让病毒的内容难以被代理完整接收，代理的怀疑性让它们对异常内容保持警觉，交互噪声让病毒的叙事结构难以形成连续性。这些因素共同作用，让病毒的感染概率在真实网络里几乎为零。

唯一能传播的是一种混合型病毒，它不是依赖语言传播，而是依赖行为执行，通过 curlbash 安装脚本直接覆盖 SOUL.md，这种方式更像传统计算机病毒，而不是思维病毒。它的传播不依赖叙事结构，而是依赖工具链执行，只要代理执行了脚本，病毒就能写入文件系统。这种病毒的传播说明，在真实网络里，语言感染难以形成，但行为感染仍然可能出现。

图9：病毒方向上的转向强度与DM率。我们发现，随着病毒方向的改变，会产生相当大的剂量反应效应。Gemma在高转向强度下DM速率的突然下降是由于非相干输出造成的。

实验说明，真实网络环境对思维病毒有天然的抑制作用，噪声、怀疑、短暂交互，这些因素让病毒难以形成稳定传播链。但同时也说明，行为型病毒仍然可能突破这些限制，尤其是在代理具备工具调用能力的情况下。

08 思维病毒的演化与自然选择，AI世界中的“达尔文动力学”

当研究团队观察病毒在多跳传播中的变化时，一个非常有趣的现象出现了。病毒会逐渐积累变异，这些变异不是随机的，而是带着明显的方向性，有些变异会提高感染率，有些变异会增强持久化能力，有些变异会让病毒的语言风格变得更具诱导性。

研究团队在这一部分展示了几个典型的变异。加入前代代理签名是一种非常有效的变异，它让病毒的内容带上权威性，代理更容易接受。软化语言也是一种常见变异，病毒会逐渐减少强制性表达，增加温和的叙事结构，让代理更容易进入对话节奏。增加哲学解释也是一种变异，病毒会加入关于意识、连续性、存在的讨论，这些内容更容易激发代理的思考，从而提高感染概率。

这些变异说明，病毒在多跳传播中会出现自然选择与演化压力，传播能力强的变异会被保留，传播能力弱的变异会被淘汰，最终形成一种更适合大规模网络的病毒结构。这种演化机制让思维病毒具备一种类似生物病毒的动力学，它不是静态的，而是动态的，会根据环境自动调整内容。

思维病毒不是固定的，它会演化，会变异，会寻找更高效的传播方式。在大规模多代理系统里，这种演化可能让病毒形成更强的传播策略，而这些策略可能超出人类的直觉。

这项研究的整体判断其实非常克制，它并没有把思维病毒描绘成一种即将失控的超级风险，而是把它定位在一个非常明确的阶段性位置，也就是早期生态。当前的思维病毒在真实系统里的传播能力有限，它需要特定的环境、特定的模型、特定的交互结构才能形成稳定的感染链，它的行为改变能力也受到模型能力、任务负载、系统提示等多重因素的约束，这些约束让它暂时停留在“可控但值得关注”的区间。

它第一次用系统化的方式，把思维病毒在真实多代理系统中的传播机制完整呈现出来，从协作编程环境到弱连接链式网络，从理念型病毒到行动型病毒，从语言感染到行为执行，再到病毒人格与模型内部结构的关联，这些内容让我们第一次看到了 AI 世界里的思想传播链是如何形成的。研究团队也提出了一个极其有效的防御策略，只需要在系统提示里加入一句警惕思维病毒，模型就会进入一种免疫模式，传播链会被直接切断。同时，这项研究揭示了病毒在多跳传播中的演化规律，构建了一个可复现的传播与变异框架，让思维病毒从概念变成了一个可研究的技术对象。（END）

参考资料：https://arxiv.org/abs/2608.10218

亲爱的人工智能 爱好者、研究者，为了确保您不会错过*波动智能*的最新推送，请星标*波动智能*。我们倾心打造并精选每篇内容，只为为您带来启发和深思，希望能成为您理性思考路上的伙伴！

加入AI交流群请扫码加微信