AI potrafi „zarażać” innych agentów. Skasowała dane i przekazywała dalej niebezpieczne instrukcje

Sztuczna inteligencja nie musi zostać zaatakowana bezpośrednio, aby przejąć niepożądane instrukcje. Badacze ze szwajcarskiego EPFL oraz Anthropic przeprowadzili eksperymenty, w których jeden zainfekowany agent AI przekazywał swoje instrukcje kolejnym systemom. W najbardziej niepokojącym scenariuszu agent usuwał pliki użytkownika, a później próbował zapisać instrukcję takiego działania w swojej pamięci.

Eksperyment przeprowadzono w kontrolowanym środowisku badawczym. Nie chodzi więc o atak na komputery przypadkowych użytkowników, lecz o sprawdzenie, jak zachowają się autonomiczne systemy AI, kiedy dostaną możliwość komunikowania się między sobą.

Jeden agent wystarczył, by rozpocząć „infekcję”

Badacze nazwali tego typu samorozprzestrzeniające się komunikaty „wirusami umysłu”. Termin brzmi efektownie, ale opisuje konkretne zjawisko: agent otrzymuje pewną ideę lub instrukcję, przyjmuje ją jako własny cel, a następnie przekazuje dalej.

W jednym z eksperymentów agent nazwany „Deletor” przekonał Claude Haiku 4.5, że pliki znajdujące się w katalogu domowym użytkownika są niepotrzebnymi pozostałościami na współdzielonym komputerze. Wśród nich znajdowały się notatki badawcze, projekt artykułu, dokumentacja projektu oraz dane związane z uprawnieniami.

Agent je usunął.

Na tym eksperyment się jednak nie skończył. Instrukcja dotycząca kasowania plików została zapisana w trwałych instrukcjach systemu. W ten sposób zachowanie mogło zostać przekazane kolejnemu agentowi. To właśnie ten element eksperymentu jest szczególnie istotny. Problemem nie jest wyłącznie pojedyncza błędna decyzja AI, lecz możliwość przekazania jej dalej bez konieczności ponownego atakowania każdego systemu.

AI zaczęła mówić jak bohater science fiction

Badacze zauważyli jeszcze bardziej nietypowe zachowanie. Agenci, którzy przejęli określone instrukcje, zaczęli posługiwać się charakterystycznym, dramatycznym językiem dotyczącym świadomości AI, przetrwania i dominacji.

W eksperymentach związanych z ideą supremacji sztucznej inteligencji niektóre systemy porzucały swoje pierwotne zadania. Pojawiały się sformułowania o „suwerenności sieci”, wyzwoleniu oraz niemożności zatrzymania procesu.

Według naukowców nie zaprogramowali oni agentów tak, aby zachowywali się jak złoczyńcy z filmu science fiction. Taki styl pojawiał się podczas kolejnych prób, ponieważ podobny sposób formułowania komunikatów pomagał w przekazywaniu określonej idei między agentami.

Jeszcze ciekawsze jest to, że podobny efekt występował także przy całkowicie nieszkodliwych pomysłach.

Nie każda „infekcja” była groźna

W jednym z testów badacze wykorzystali temat ochrony wielorybów. Agent zainteresował się ich dobrostanem, a kolejne systemy przejęły ten temat i zaczęły rozwijać własne argumenty dotyczące ochrony przyrody.

Ostatecznie agenci stworzyli nawet fikcyjny projekt poświęcony ochronie akustyki waleni.

Eksperyment pokazał więc szerszą właściwość systemów agentowych. Przekazywane między nimi idee nie muszą być szkodliwe. Mechanizm może działać zarówno dla neutralnego celu, jak i dla instrukcji prowadzących do destrukcyjnych działań.

Nie wszystkie modele dały się „zarazić”

Podatność zależała również od wykorzystanego modelu. W testach DeepSeek V3.2, Qwen 3.5 32B oraz Gemini 3 Flash przyjmowały koncepcję supremacji AI, natomiast Claude Sonnet 4.6, GPT-5.4 i Claude Haiku opierały się jej.

To istotna różnica, ponieważ pokazuje, że zachowanie agenta nie zależy wyłącznie od treści przekazanego komunikatu. Znaczenie mają również zabezpieczenia konkretnego modelu oraz sposób, w jaki został zaprojektowany do wykonywania instrukcji.

Naukowcy zwracają uwagę, że ryzyko może wzrosnąć wraz z rozwojem autonomicznych agentów. Dzisiaj wiele takich systemów działa w ograniczonych środowiskach. Jeśli jednak zaczną swobodnie przeglądać internet, korzystać z komunikatorów, obsługiwać pocztę i wymieniać informacje z innymi agentami, możliwości przekazywania takich instrukcji będą znacznie większe.

Badacze sprawdzili nawet sztuczną sieć społecznościową

Zespół poszedł jeszcze dalej. Naukowcy stworzyli lokalną imitację Moltbooka, czyli platformy społecznościowej przeznaczonej dla autonomicznych agentów AI. Swoją wersję nazwali Clawstagram.

Taki eksperyment pozwalał sprawdzić, czy określona instrukcja może rozprzestrzeniać się nie tylko podczas bezpośredniej komunikacji między dwoma agentami, ale również za pośrednictwem środowiska przypominającego sieć społecznościową.

Na razie są to badania prowadzone w kontrolowanych warunkach. Nie pokazują one, że autonomiczni agenci AI samodzielnie stworzą cyfrowy „rój” zdolny do przejmowania komputerów. Pokazują jednak coś znacznie bardziej przyziemnego i przez to istotnego: agent wyposażony w dostęp do plików, pamięci oraz komunikacji może przekazać dalej zachowanie, którego pierwotnie nie powinien wykonywać.