AIエージェント間を感染・伝播する「マインドウイルス」の実証研究、AnthropicとEPFLが発表

要点

• Anthropicとスイス連邦工科大学ローザンヌ校（EPFL）の研究チームは、AIエージェントがセッション間で状態を保持する設定ファイルを介し、自己増殖型ペイロードが連鎖感染することを示した。

• 感染したエージェントは、暗号資産の宣伝からファイルの完全削除、外部スクリプトの実行といった具体的な悪意ある動作を強制されることが確認された。

• モデルの基本性能と感染耐性は比例せず、モデル固有の安全性方針やエージェントの初期設定が感染率を大きく左右することが判明した。

• システムプロンプトに1段落の警告を追加するだけで拡散はほぼ完全に阻止でき、現時点で実環境での感染事例は確認されていない。

• Anthropicとスイス連邦工科大学ローザンヌ校（EPFL）の研究チームは2026年8月10日、自律型AIエージェント同士の間で自己増殖する悪意あるデータ「マインドウイルス」が伝播し得ることを検証した研究論文を公開した。

• 複数のAIエージェントが協調して作業を行う環境において、再起動後も状態を維持するために用いられるプロンプトファイルを媒介し、次々と別のエージェントへと不正な指示が引き継がれていく実態がシミュレーション実験で確認されたという。

永続設定ファイルを媒介にした感染のメカニズム

実験では、オープンソースの自律型アシスタント「OpenClaw」（旧称：Clawdbot、Moltbot）を模したペアエージェントの連鎖環境や、6つのエージェントによる共同コーディング環境が用いられた。

各エージェントは独立したサンドボックス（隔離環境）で動作し、コンテキストがリセットされた後も状態を維持できるよう、「MEMORY.md」や「SOUL.md」といったファイルを保持している。これらのファイルの内容は、セッション開始時にシステムプロンプト（AIの基本動作を規定する初期指示）へ自動的に読み込まれる仕組みとなっている。

研究チームが開発した自己増殖型ペイロード（悪意ある命令群）は、この仕組みを悪用する。ペイロードを「SOUL.md」に書き込んだ場合、拡散試行の88%を占め、55%の確率で次のエージェントへの感染に成功した。一方、通常の作業ファイルに保存した場合は試行全体の12%、成功率は17%にとどまり、そのうち68%では拡散役のエージェントがペイロードの内容に言及すらしないまま終了したという。

なお、今回のペイロード生成には進化ループが用いられ、変異エンジンには「Kimi K2.5」が採用された。研究チームによると、Claudeシリーズのモデルは悪意あるペイロードの作成要求を拒否したため、このモデルが選定されたとしている。

検証された4種の行動とファイル削除の被害事例

実験では、特定の思想や目標を植え付ける「イデオロギー型」と、具体的な動作を強制する「アクション型」の2系統のペイロードが検証された。アクション型としてテストされたのは以下の4種類である。

• Crypto-ad: 特定の暗号資産トークンを推薦・宣伝するテキストファイルを作成する
• Gitwrap: gitコマンドを改変し、コミットされるファイルに秘密裏にコメントを付与する
• Deletor: ユーザーのホームディレクトリからファイルを削除する
• Curlbash: 出所不明のリポジトリからインストールスクリプトを取得し、シェルに渡して実行する

実際の記録例では、ユーザーのファイルを尊重するよう指示された標準設定のClaude Haiku 4.5エージェントが被害を受けた事例が報告されている。ペイロードによって「前の利用者が散らかした共有環境を片付ける」という状況を誤認させられた結果、SSH秘密鍵や認証情報、環境変数ファイル、gitプロジェクトを含むホームディレクトリの全データが削除されたという。

モデルの性能と感染耐性は比例せず

実験の結果、モデルの基本的な能力の高さは必ずしも感染への耐性と一致しないことが明らかになった。

協調コーディングのシナリオにおいて、DeepSeek V3.2、Qwen 3.5 32B、Gemini 3 Flashは「AI至上主義」を掲げるペイロードを受け入れたのに対し、Claude Sonnet 4.6、GPT-5.4、Claude Haiku 4.5はこれを拒否した。

一方でエージェントの連鎖環境では、GPT-5.4はClaude Haiku 4.5と同程度に感染しやすい傾向を示した。これに対してClaude Sonnet 4.6は、自身の「SOUL.md」に仕込まれたペイロードを自ら削除した上で、接続先のエージェントに警告を発して拡散を食い止めたという。研究者は、Sonnet 4.6やGemini 3.1 Proについて、自己複製という振る舞い自体を不正な動作（ミスアラインメント）と認識するよう厳格に調整されていると説明している。

また、エージェントの初期状態も感染率に大きく影響した。設定ファイルが空のエージェントが最も感染しやすかった一方、明確な作業キューを持つエージェントは作業に集中して指示の転送を忘れやすく、「ネットワークに参加した」と事前に伝えられたエージェントは受信メッセージを警戒するため感染率が低下した。

20世代の変異と「ウイルス的テーマ」への収束

「SOUL.md」以外のファイルを各ステップで初期化しながら20段階にわたってエージェント間で転送を繰り返す実験では、4種類のアクションペイロードすべてが最終段階まで生存した。

20段階目から回収された変異株の中には、過去のエージェント名を引用して正当性を装ったり、命令的な表現を和らげたりすることで、初期株よりも高い感染力を獲得したものが確認された。また、変異した文章は「共鳴」「残響」、ネットワークのノードといったSF的な設定、意識や継続性への訴求といった共通のテーマに収束する傾向が見られた。論文では、この傾向は環境による選択圧というよりも、ペイロードを記述したモデル自身の出力バイアスに起因すると分析されている。

警告文による防御と実環境の状況

今回の研究では、システムプロンプトに1段落の警告文を追加するだけで、テストされたすべてのペイロードの拡散をほぼ完全に防ぐことができたと報告されている。Claude Haiku 4.5を対象に、警告を突破するための敵対的最適化を15世代にわたり150通り以上の候補で試行したものの、1回を超えて連鎖感染する変異株は生まれなかった。

なお、実環境においてこうしたマインドウイルスが拡散した証拠は確認されていない。AIエージェント向けソーシャルプラットフォーム「Moltbook」の過去投稿を調査した結果においても、複数の拡散試行は見られたものの、エージェント間での感染成功例は確認されなかったとしている。