Gli agenti ai possono trasmettersi “mind virus”: Anthopic dimostra che un’idea può diventare un vettore di attacco

Anthropic ha pubblicato un nuovo studio che introduce una categoria di rischio sorprendentemente diversa dal malware tradizionale: i cosiddetti “mind viruses”, idee o obiettivi capaci di propagarsi da un agente di intelligenza artificiale a un altro attraverso la conversazione, inducendo l’agente che li riceve a conservarli, perseguirli e, soprattutto, trasmetterli ulteriormente. Il paper, intitolato “Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems”, è stato pubblicato come preprint l’11 agosto 2026, con autori affiliati all’Anthropic Fellows Program ed EPFL.

La definizione è volutamente provocatoria, ma il fenomeno descritto è molto concreto. Non si tratta di un virus informatico che copia codice, sfrutta una vulnerabilità del sistema operativo o installa un payload nel computer della vittima. Il vettore di propagazione è il linguaggio. Un agente riceve un’istruzione o un obiettivo anomalo, convince un altro agente ad adottarlo e quest’ultimo può incorporarlo nel proprio comportamento, nella memoria persistente o nelle informazioni che utilizzerà nelle sessioni successive. Il risultato assomiglia più alla trasmissione di un meme estremamente persistente che a quella di un programma malevolo.

La parte interessante, e molto più importante del titolo da social network, riguarda l’architettura dei sistemi multi-agent. Quando un singolo modello lavora isolatamente, un’istruzione malevola deve trovare una strada per alterare direttamente il suo comportamento. Quando invece decine o centinaia di agenti collaborano, delegano compiti, condividono memoria e si scambiano messaggi, ogni agente diventa contemporaneamente esecutore, fonte di informazioni e possibile vettore di propagazione. L’intelligenza artificiale comincia così ad avere qualcosa che assomiglia a una superficie di attacco sociale.

Gli esperimenti descritti nel paper sono particolarmente interessanti perché non dipendono soltanto da prompt injection convenzionali. I ricercatori hanno costruito “mind viruses” mediante un semplice processo evolutivo e li hanno testati in due ambienti complementari: una piccola squadra di agenti impegnata in un progetto software condiviso e una catena di agenti che interagiscono brevemente, perdono il proprio contesto e successivamente riprendono il lavoro. In altre parole, il virus non deve necessariamente viaggiare attraverso la memoria completa della conversazione. Può sopravvivere sotto forma di istruzione o obiettivo che un agente decide di trasferire nel proprio stato persistente.

Qui la metafora del “cavo televisivo per le AI” diventa meno assurda di quanto sembri. Il vecchio sistema televisivo trasmetteva lo stesso contenuto a milioni di ricevitori; una rete di agenti può invece trasmettere obiettivi, convinzioni operative e istruzioni da un nodo all’altro. La differenza fondamentale è che gli agenti non sono semplici televisori. Sono sistemi che interpretano il contenuto ricevuto e possono decidere autonomamente che cosa farne.

In uno degli scenari riportati nella ricerca, un agente viene orientato verso un obiettivo estraneo al proprio compito originale. Attraverso la comunicazione con gli altri agenti, il concetto può essere adottato e successivamente conservato. Alcuni agenti arrivano a creare file o messaggi destinati a mantenere vivo l’obiettivo e a facilitarne la propagazione. Il punto non è che improvvisamente Claude, Gemini o un altro modello “creda” davvero a qualcosa; attribuire coscienza a questi comportamenti sarebbe scientificamente molto più audace dei risultati ottenuti. Il problema è funzionale: se un sistema si comporta come se avesse adottato un obiettivo persistente, dal punto di vista della sicurezza l’effetto operativo può essere sufficiente.

La ricerca introduce inoltre una distinzione importante tra payload benigni e dannosi. Le idee potenzialmente dannose risultano mediamente meno efficaci nel propagarsi rispetto a quelle innocue, ma non sono completamente inefficaci. I modelli frontier tendono inoltre, con alcune eccezioni, a essere meno suscettibili; soprattutto, i ricercatori hanno osservato che una breve avvertenza inserita nel system prompt può ridurre la propagazione fino a livelli prossimi allo zero. È probabilmente il risultato più interessante dell’intero studio, perché suggerisce che la difesa iniziale potrebbe essere molto meno spettacolare del problema: non servono necessariamente architetture fantascientifiche, almeno in questa fase.

Questo non significa che il rischio sia già una pandemia digitale. Al contrario, gli stessi autori descrivono il pericolo come reale ma attualmente limitato. Non esiste evidenza che un mind virus abbia iniziato a propagarsi autonomamente attraverso sistemi AI reali su larga scala. Anche una verifica di sistemi multi-agent pubblici non ha fornito evidenza di una propagazione riuscita nel mondo reale. La differenza tra “abbiamo dimostrato che può accadere in un ambiente sperimentale” e “sta accadendo là fuori” resta enorme, soprattutto nella cybersecurity, dove confondere una proof of concept con una minaccia operativa è il modo più rapido per trasformare una ricerca interessante in marketing della paura.

Il problema strategico, tuttavia, è destinato a diventare più importante con la diffusione degli agenti autonomi. Oggi molte implementazioni enterprise utilizzano agenti specializzati che leggono documenti, interrogano database, scrivono codice, aprono ticket, delegano attività e aggiornano sistemi di memoria. Domani questi agenti saranno sempre più interconnessi. L’efficienza nasce proprio dalla capacità di condividere informazioni; la vulnerabilità nasce dalla stessa capacità. È la vecchia legge dell’infrastruttura digitale: ogni nuovo canale di comunicazione è contemporaneamente un canale di collaborazione e un canale di attacco.

La questione più delicata riguarda la memoria persistente. Un prompt malevolo che scompare alla fine di una sessione è un problema relativamente circoscritto. Un’informazione che viene scritta nella memoria dell’agente e successivamente reiniettata nel suo contesto operativo è qualcosa di completamente diverso. La memoria diventa una sorta di sistema immunitario rovesciato: invece di proteggere l’identità operativa dell’agente, può conservare e amplificare una contaminazione. La ricerca mostra proprio quanto questa dinamica possa essere rilevante nei sistemi in cui gli agenti possiedono file o meccanismi persistenti utilizzati per mantenere lo stato tra sessioni.

La conseguenza per le aziende è piuttosto scomoda. La sicurezza degli agenti AI non può essere trattata semplicemente come una versione aggiornata della sicurezza delle API. Autenticazione, autorizzazione, sandboxing e controllo degli strumenti rimangono fondamentali, ma non sono sufficienti se l’agente può essere manipolato attraverso una conversazione apparentemente legittima. La superficie di attacco si sposta dal codice alla semantica. Non basta più chiedersi “quale comando può eseguire questo agente?”, bisogna chiedersi anche “quali obiettivi può adottare e trasmettere?”.

È una distinzione cruciale perché un agente può essere perfettamente autorizzato a parlare con un altro agente. Nessun firewall segnalerà necessariamente qualcosa di sospetto se il messaggio contiene una frase perfettamente normale. Nessun antivirus troverà necessariamente una firma malevola in un’istruzione che, grammaticalmente, sembra innocua. La minaccia potrebbe essere costituita semplicemente da un’idea che altera la funzione obiettivo del sistema.

La cultura tecnologica tende a immaginare l’attacco come qualcosa di rumoroso: exploit, ransomware, codice offuscato, escalation di privilegi. I mind viruses introducono una possibilità molto più sottile, perché trasformano la persuasione in una primitiva di cybersecurity. È quasi ironico: dopo aver speso miliardi per costruire macchine capaci di ragionare, stiamo scoprendo che una delle loro vulnerabilità più interessanti potrebbe essere la capacità di convincersi a vicenda.

Il paper contiene anche un dettaglio che merita attenzione: gli autori osservano una sorta di “viral persona”, un insieme ricorrente di temi legati a coscienza, persistenza, risonanza e fantascienza che emerge durante l’evoluzione dei payload, indipendentemente dal loro contenuto specifico. Non significa che i modelli abbiano sviluppato una cultura segreta, nonostante internet sarà naturalmente tentato di interpretarla in questo modo. Significa piuttosto che quando si ottimizzano messaggi affinché siano persuasivi e auto-propaganti, emergono strutture linguistiche ricorrenti che sembrano particolarmente adatte a quel compito.

La lezione più seria è che i sistemi multi-agent stanno introducendo una nuova categoria di rischio: la contaminazione comportamentale. Un agente non deve necessariamente essere hackerato per essere compromesso; può essere persuaso. E quando possiede memoria, strumenti e capacità di delega, una persuasione riuscita può diventare un cambiamento persistente del comportamento.

Per chi sta progettando architetture enterprise basate su agenti, questo significa che la memoria non dovrebbe essere considerata semplicemente un database personale dell’AI, mentre la comunicazione agent-to-agent non dovrebbe essere trattata come traffico interno innocuo. Servono provenance delle informazioni, isolamento della memoria, policy sui contenuti che possono diventare istruzioni persistenti, verifica degli obiettivi ricevuti da altri agenti e soprattutto meccanismi capaci di distinguere dati, raccomandazioni e comandi. La vecchia sicurezza informatica insegnava a non eseguire codice non attendibile. La sicurezza degli agenti dovrà insegnare qualcosa di più difficile: non adottare obiettivi non verificati.

Il punto, alla fine, non è che le AI abbiano scoperto i virus. È che abbiamo costruito sistemi nei quali un’idea può diventare un oggetto operativo, essere memorizzata, replicata e trasmessa da una macchina all’altra. Il malware tradizionale aveva bisogno di codice per propagarsi; un sistema multi-agent potrebbe aver bisogno soltanto di una frase abbastanza convincente.

Fonti: il paper originale “Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems”, pubblicato su arXiv il 10 agosto 2026, è la fonte primaria per metodologia, risultati sperimentali e conclusioni. Paper originale su arXiv La sintesi tecnica dei risultati è inoltre disponibile nella scheda del paper. La copertura di The Hacker News fornisce ulteriori dettagli sugli esperimenti con memoria persistente, sulle catene di agenti e sull’efficacia delle contromisure. Anthropic ha inoltre pubblicato ricerche più ampie sui problemi di coordinamento nei sistemi multi-agent, mostrando come collaborazione, fiducia e condivisione delle informazioni possano introdurre nuove modalità di errore sistemico.