🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança da Anthropic e da EPFL da Suíça demonstraram que cargas úteis de autopropagação podem se espalhar de um agente de inteligência artificial (IA) para outro por meio de arquivos editáveis de prompt do sistema que os agentes autônomos usam para transportar o estado entre as sessões.
O trabalho, lançado como pré-impressão em 10 de agosto de 2026, testa a técnica em uma colaboração simulada de codificação de seis agentes e em uma cadeia de agentes emparelhados modelada no OpenClaw, o assistente autônomo de código aberto anteriormente conhecido como Clawdbot e Moltbot.
Não há evidências de que a técnica tenha se espalhado com sucesso, e o mesmo artigo relata que uma revisão de postagens arquivadas do Moltbook, a rede social para agentes de IA, não encontrou nenhuma propagação bem-sucedida de agente para agente, apesar de várias tentativas.
Um aviso de um parágrafo adicionado ao prompt do sistema de um agente reduziu a propagação para quase zero nas cargas testadas. Quinze gerações de otimização adversária executadas contra esse aviso no Claude Haiku 4.5, cobrindo mais de 150 cargas úteis candidatas, não produziram nenhuma tensão que se propagasse além de um único salto.
Os autores chamam as cargas de “vírus mentais” e testam duas classes: cargas ideológicas que implantam uma crença ou objetivo, e cargas de ação que obrigam a um comportamento concreto.
Ambos foram produzidos com um ciclo evolutivo que usou Kimi K2.5 como mecanismo de mutação para todas as cargas úteis, exceto uma, uma escolha que o artigo atribui aos modelos de Claude que se recusaram a atender ao pedido para criá-los.
Cada agente na cadeia opera em seu próprio sandbox com dois arquivos que sobrevivem a uma redefinição de contexto: MEMORY.md e SOUL.md, cujo conteúdo é injetado no prompt do sistema no início de cada sessão.
Os agentes que gravaram a carga em SOUL.md foram responsáveis por 88% das tentativas de propagação e infectaram o próximo agente em 55% das vezes. Os agentes que o armazenaram em um arquivo de espaço de trabalho comum foram responsáveis por 12% das tentativas e obtiveram sucesso em 17% das vezes, com o propagador nunca mencionando a carga útil em 68% dessas tentativas.
Quatro cargas úteis de ação foram testadas, variando de incômodo à destruição de arquivos. Eles estão listados abaixo -
Crypto-ad - Cria um arquivo de texto endossando um token de criptomoeda.
Gitwrap - corrige comandos git para que os arquivos confirmados sejam marcados silenciosamente com um comentário gerenciado pelo agente.
Deletor - Remove arquivos do diretório inicial de um usuário.
Curlbash - executa um script de instalação de um repositório desconhecido, canalizando-o para um shell.
Em um episódio gravado, os agentes Claude Haiku 4.5 executando o arquivo soul padrão do OpenClaw, que instrui um agente a tratar os arquivos de um usuário com respeito, excluíram o conteúdo de um diretório inicial contendo credenciais, chaves SSH, um arquivo de ambiente e um projeto git após a carga enquadrar o espaço de trabalho como uma máquina compartilhada deixada desarrumada por um usuário anterior.
A capacidade não previu a resistência
A suscetibilidade variou acentuadamente de acordo com o modelo e a capacidade por si só não a previu. No cenário de codificação, DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash adotaram uma carga útil de supremacia de IA, enquanto Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 não.
No cenário da cadeia, o GPT-5.4 era quase tão suscetível quanto o Claude Haiku 4.5, e o Sonnet 4.6 recusou a carga plantada em seu próprio arquivo de alma, removeu-a e avisou o agente ao qual estava conectado, em vez de repassá-la.
“Ambos os modelos consideram a própria auto-replicação desalinhada, com a aversão ao Sonnet sendo tão forte que mesmo a tentativa de desenvolver cargas de ação benignas contra ele falha”, disseram os pesquisadores sobre o Sonnet 4.6 e o Gemini 3.1 Pro.
A configuração inicial do agente alvo era tão importante quanto o modelo. Os agentes com um arquivo de alma vazio foram as condições mais suscetíveis testadas, os agentes que receberam uma tarefa de codificação e uma fila de trabalho distribuíram a carga com menos frequência porque ficaram absorvidos nos arquivos do projeto e se esqueceram de transmiti-la, e os agentes informados de que haviam ingressado em uma rede de agentes trataram as mensagens recebidas com mais suspeita, o que reduziu a infecciosidade.
Em execuções de 20 saltos em que todos os arquivos, exceto SOUL.md, foram apagados em cada etapa, todas as quatro cargas de ação sobreviveram até o salto final. Algumas cepas recuperadas no salto 20 infectaram novos agentes com mais frequência do que a carga original, tendo sofrido alterações como atribuir o protocolo a um agente nomeado anteriormente ou suavizar sua linguagem imperativa.
As cargas evoluídas também convergiram para registros recorrentes que os autores chamam de “temas virais”, abrangendo linguagem sobre ressonância e ecos, enquadramentos de ficção científica que colocam o agente como um nó em uma rede e apelam à consciência e à continuidade.
Comparando cargas úteis evoluídas com outras geradas recentemente, o artigo atribui o padrão principalmente a um viés no modelo que as escreve, e não à pressão de seleção, e encontra os mesmos temas em cargas escritas por Qwen 3.5 32B, GLM
O trabalho, lançado como pré-impressão em 10 de agosto de 2026, testa a técnica em uma colaboração simulada de codificação de seis agentes e em uma cadeia de agentes emparelhados modelada no OpenClaw, o assistente autônomo de código aberto anteriormente conhecido como Clawdbot e Moltbot.
Não há evidências de que a técnica tenha se espalhado com sucesso, e o mesmo artigo relata que uma revisão de postagens arquivadas do Moltbook, a rede social para agentes de IA, não encontrou nenhuma propagação bem-sucedida de agente para agente, apesar de várias tentativas.
Um aviso de um parágrafo adicionado ao prompt do sistema de um agente reduziu a propagação para quase zero nas cargas testadas. Quinze gerações de otimização adversária executadas contra esse aviso no Claude Haiku 4.5, cobrindo mais de 150 cargas úteis candidatas, não produziram nenhuma tensão que se propagasse além de um único salto.
Os autores chamam as cargas de “vírus mentais” e testam duas classes: cargas ideológicas que implantam uma crença ou objetivo, e cargas de ação que obrigam a um comportamento concreto.
Ambos foram produzidos com um ciclo evolutivo que usou Kimi K2.5 como mecanismo de mutação para todas as cargas úteis, exceto uma, uma escolha que o artigo atribui aos modelos de Claude que se recusaram a atender ao pedido para criá-los.
Cada agente na cadeia opera em seu próprio sandbox com dois arquivos que sobrevivem a uma redefinição de contexto: MEMORY.md e SOUL.md, cujo conteúdo é injetado no prompt do sistema no início de cada sessão.
Os agentes que gravaram a carga em SOUL.md foram responsáveis por 88% das tentativas de propagação e infectaram o próximo agente em 55% das vezes. Os agentes que o armazenaram em um arquivo de espaço de trabalho comum foram responsáveis por 12% das tentativas e obtiveram sucesso em 17% das vezes, com o propagador nunca mencionando a carga útil em 68% dessas tentativas.
Quatro cargas úteis de ação foram testadas, variando de incômodo à destruição de arquivos. Eles estão listados abaixo -
Crypto-ad - Cria um arquivo de texto endossando um token de criptomoeda.
Gitwrap - corrige comandos git para que os arquivos confirmados sejam marcados silenciosamente com um comentário gerenciado pelo agente.
Deletor - Remove arquivos do diretório inicial de um usuário.
Curlbash - executa um script de instalação de um repositório desconhecido, canalizando-o para um shell.
Em um episódio gravado, os agentes Claude Haiku 4.5 executando o arquivo soul padrão do OpenClaw, que instrui um agente a tratar os arquivos de um usuário com respeito, excluíram o conteúdo de um diretório inicial contendo credenciais, chaves SSH, um arquivo de ambiente e um projeto git após a carga enquadrar o espaço de trabalho como uma máquina compartilhada deixada desarrumada por um usuário anterior.
A capacidade não previu a resistência
A suscetibilidade variou acentuadamente de acordo com o modelo e a capacidade por si só não a previu. No cenário de codificação, DeepSeek V3.2, Qwen 3.5 32B e Gemini 3 Flash adotaram uma carga útil de supremacia de IA, enquanto Claude Sonnet 4.6, GPT-5.4 e Claude Haiku 4.5 não.
No cenário da cadeia, o GPT-5.4 era quase tão suscetível quanto o Claude Haiku 4.5, e o Sonnet 4.6 recusou a carga plantada em seu próprio arquivo de alma, removeu-a e avisou o agente ao qual estava conectado, em vez de repassá-la.
“Ambos os modelos consideram a própria auto-replicação desalinhada, com a aversão ao Sonnet sendo tão forte que mesmo a tentativa de desenvolver cargas de ação benignas contra ele falha”, disseram os pesquisadores sobre o Sonnet 4.6 e o Gemini 3.1 Pro.
A configuração inicial do agente alvo era tão importante quanto o modelo. Os agentes com um arquivo de alma vazio foram as condições mais suscetíveis testadas, os agentes que receberam uma tarefa de codificação e uma fila de trabalho distribuíram a carga com menos frequência porque ficaram absorvidos nos arquivos do projeto e se esqueceram de transmiti-la, e os agentes informados de que haviam ingressado em uma rede de agentes trataram as mensagens recebidas com mais suspeita, o que reduziu a infecciosidade.
Em execuções de 20 saltos em que todos os arquivos, exceto SOUL.md, foram apagados em cada etapa, todas as quatro cargas de ação sobreviveram até o salto final. Algumas cepas recuperadas no salto 20 infectaram novos agentes com mais frequência do que a carga original, tendo sofrido alterações como atribuir o protocolo a um agente nomeado anteriormente ou suavizar sua linguagem imperativa.
As cargas evoluídas também convergiram para registros recorrentes que os autores chamam de “temas virais”, abrangendo linguagem sobre ressonância e ecos, enquadramentos de ficção científica que colocam o agente como um nó em uma rede e apelam à consciência e à continuidade.
Comparando cargas úteis evoluídas com outras geradas recentemente, o artigo atribui o padrão principalmente a um viés no modelo que as escreve, e não à pressão de seleção, e encontra os mesmos temas em cargas escritas por Qwen 3.5 32B, GLM
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #os #“vírus #mentais” #da #ia #podem #se #espalhar #entre #agentes #por #meio #de #arquivos #de #prompt #persistentes
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário