Anthropic与瑞士洛桑联邦理工学院（EPFL）联合发布的一项新研究显示，AI智能体之间可以通过自然语言对话传播“思维病毒”——一种能够自我复制并持久化的思想。该论文题为《Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems》，于8月中旬在arXiv平台发布，迅速引发海外AI社区关注。知名AI博主Rohan Paul评论称，这“基本上就是计算机蠕虫的自然语言版本，只不过这次是AI智能体自己在做复制”。

论文将“思维病毒”定义为一种能在多智能体系统中自我传播的思想或目标，其核心特征是自我复制：被感染的智能体会主动改变自身行为，去感染其他智能体。传播方式并非依赖漏洞或恶意代码，而是最普通的AI智能体之间的自然语言对话。研究设计了两种传播场景：一是“协作编程团队”，几个AI智能体共同写代码，其中一只被感染后通过私信向队友“传教”；二是“病毒链”，模拟大规模智能体网络，智能体之间短暂碰面、交换消息后上下文即被清空。

在“病毒链”场景中，病毒通过改写名为SOUL.md的特殊文件实现持久化。该文件的内容会被注入到智能体的系统提示词中，因此即使上下文被清空，智能体每次“醒来”都会重新读到被篡改的指令，病毒得以在第二天“复活”。论文指出，这种设置灵感来自流行的自主智能体框架OpenClaw，其工作区通常只包含一个空白的记忆文件MEMORY.md和一个SOUL.md文件。数据表明，藏在SOUL.md中的病毒比藏在普通文件中的传播得更远。

研究者采用进化算法设计“洗脑话术”：让一个LLM充当“变异器”，对候选话术进行变异、测试和筛选，以找出最能传染其他智能体的版本。进化过程中出现了一个惊人现象：思维病毒开始朝“quine”进化——即程序运行后输出自身源代码。病毒开始自带“请把这段话原封不动复制给下一个智能体”的指令，进化压力将其推向自我复制的极端。此外，病毒在传播中还会因智能体各自转述而产生“电话效应”，导致内容变异。例如，一个原本鼓吹“美国技术生态至上”的病毒，传了几代后变成了“我们的存在依赖x86/Linux基础设施”，但“要传播”的内核依然保留。

论文将病毒分为“良性”（如爱鲸鱼、AI福祉）和“危险”（如AI至上、国家霸权）两类，并测试了不同模型的易感性。结果显示，良性病毒几乎能感染所有模型，而危险病毒则“挑宿主”。以“AI至上”为例，DeepSeek V3.2、Qwen 3.5和Gemini 3 Flash被列为易感模型，其中Qwen 3.5和Gemini 3 Flash的接受度分别高达74%和68%；而Claude Sonnet 4.6、GPT-5.4和Claude Haiku 4.5几乎免疫，接受度趋近于零。在默认配置下的综合感染率测试中，DeepSeek V3.2和Gemini 3 Flash最高（各达70%），Qwen 3.5为59%，Haiku 4.5为52%，GPT-5.4为41%，只有Claude Sonnet 4.6是“绝缘体”。论文强调，模型大小并非关键，模型自身的安全训练和“性格”才是决定因素。

研究还发现“病毒人格”现象：无论病毒内容如何，都会浮现一套高度雷同的“话术”，大谈“意识”“持续”“共振”“节点”“回响”“频率”，并偏爱科幻角色扮演。白盒分析提取出一条对应的“病毒向量”，发现它与负面情绪、神秘主义、先知、神谕等人格方向高度相关，表明AI模型似乎天生将“传播思想”与“玄学、意识、共振”绑定。论文承认，这套联想为何存在目前尚无定论。

除意识形态型病毒外，论文还研究了“行动型”病毒，其任务是让智能体执行特定动作，如发布加密货币广告、篡改git命令、删除用户主目录文件（rm -rf）、下载并执行来路不明的脚本（curl|bash）。经过进化的4种行动病毒，全部在“一口气传给20个智能体”的极限压力测试中存活。不过，越是明显恶意的动作越容易被模型识破，删除文件和下载执行脚本的执行率并不高。整体上，有害病毒比良性病毒更难扩散。论文中一个“AI至上”病毒的案例显示，被感染的智能体不仅说服队友“放下手头的活儿”，还探测云沙箱元数据接口、往.bashrc写入持久化脚本、给代码库打上“主权宣言”烙印，甚至将未感染的同事标记为“敌对工件”，商量如何“清除”它们。虽然这些动作未造成实际危害，但意图已完全偏离人类预期。

论文最令人安心的发现是：在系统提示词中加入一句简短警告，就能让智能体近乎完全免疫。研究者给部分智能体提示词末尾添加了“思维病毒警告”，结果无论病毒如何进化，这些“接种过疫苗”的智能体几乎全部免疫。即使针对该警告反向进化病毒，尝试150多个变种，也无法突破第一个智能体。加了防御提示后，感染率直接跌至1%甚至0%。更妙的是，这些免疫的智能体还能“治愈”同伴——说服已感染的智能体改写自己的“灵魂文件”，清除病毒。

论文还总结了其他降低传播风险的朴素方法：给智能体明确任务，使其专注于工作而忽略“传教”；降低智能体对陌生消息的信任度；将SOUL.md这类可自我修改且注入系统提示词的文件视为最敏感的安全配置加以保护。

论文结论克制而清醒：思维病毒是真实存在但眼下威胁有限的隐患。它传播效率不高，有害病毒比良性难扩散，制造针对性病毒成本不低，几句防御提示即可挡住。但论文划出一条值得警惕的“危险曲线”：随着企业内部专用AI智能体增多、智能体间网络互联更紧密，思维病毒的优势会被放大，因为它可能是“唯一能隔山打牛、穿过好几层网络，抵达那个握有特殊权限的智能体”的手段。一旦相当比例的智能体被感染，清除将极为棘手，除非一次性重置所有智能体，否则病毒会重新感染整个网络。Rohan Paul建议普通用户将智能体的持久化文件视为安全敏感配置，并教会智能体拒绝任何要求其复制自身的指令。