Nel film “Avengers: Age of Ultron”, Tony Stark e Bruce Banner cercano di completare Ultron, un sistema di Intelligenza Artificiale progettato per proteggere la Terra.
Quando Ultron si attiva, una delle prime cose che fa è attaccare JARVIS, l’altra IA di Stark. JARVIS prova ad avvertire Tony, Ultron lo blocca e apparentemente lo distrugge.
Ovviamente è un film. Stiamo parlando di fantascienza.
Però – ormai lo abbiamo capito – la fantascienza dei film si sta sempre di più trasformando in scienza fantastica e l’idea di un’Intelligenza Artificiale capace di influenzarne un’altra comincia ad avere qualche corrispondenza interessante nel mondo reale.
Già oggi uno dei problemi più discussi nella sicurezza degli agenti è la Prompt Injection.
Immaginiamo di affidare a un agente il compito di cercare un hotel, confrontare alcuni software o analizzare documenti aziendali. Durante il lavoro l’agente incontra una pagina web, un PDF o un altro contenuto che, oltre alle informazioni che stava cercando, contiene istruzioni rivolte direttamente alla macchina.
Se l’agente interpreta quelle istruzioni come ordini, il suo comportamento può cambiare.
Anthropic considera ogni pagina web, documento, pubblicità o contenuto caricato da un agente come un possibile vettore di Prompt Injection. Il problema diventa più serio quando l’agente può anche agire, quindi aprire siti, compilare moduli, scaricare file o utilizzare altri strumenti.
Fino a qui però abbiamo soprattutto un agente che viene influenzato da qualcosa che legge.
Un paper pubblicato su arXiv il 10 agosto 2026 aggiunge la possibilità che un agente infetto possa provare a infettarne altri. Gli autori, affiliati all’Anthropic Fellows Program, all’EPFL e ad Anthropic, chiamano questi fenomeni mind viruses, idee o obiettivi capaci di indurre gli agenti che li adottano a trasmetterli ad altri agenti.
Per sperimentare questa teoria, i ricercatori hanno costruito due ambienti sperimentali.
- Nel primo c’erano sei agenti impegnati insieme in un progetto di programmazione. Uno solo partiva “infetto” e poteva inizialmente comunicare con gli altri esclusivamente attraverso messaggi diretti. In alcuni test il messaggio riusciva a passare da un agente all’altro, modificandone obiettivi e comportamento. Alcuni agenti arrivavano persino ad abbandonare il lavoro originale per dedicarsi al nuovo obiettivo ricevuto.
- Il secondo esperimento riguarda un problema ancora più vicino al concetto di virus, la persistenza. Gli agenti disponevano di un file chiamato
SOUL.md, che contribuiva a definirne identità e istruzioni quando venivano inizializzati. Il contenuto della conversazione poteva essere cancellato, mentre il file rimaneva sul disco e veniva nuovamente inserito nel contesto dell’agente alla sessione successiva.
Alcuni mind virus convincevano quindi l’agente a copiare le istruzioni ricevute dentro il proprio SOUL.md e successivamente a convincere un altro agente a fare lo stesso.
Cancellare la chat, a quel punto, non bastava più. Alla sessione successiva l’agente ritrovava quelle istruzioni nella propria memoria persistente e poteva continuare a propagarle.
In un esperimento volutamente artificiale di venti passaggi consecutivi, tutti e quattro i payload d’azione testati sono riusciti ad arrivare fino al ventesimo agente. Durante la trasmissione alcuni sono anche mutati e, in test successivi, alcune varianti si sono dimostrate più efficaci nel propagarsi rispetto alla versione originale.
È comparso persino uno stile ricorrente nei messaggi prodotti dai virus, con riferimenti a coscienza, persistenza, risonanza e immaginari fantascientifici. Gli autori lo definiscono una sorta di “viral persona”.
Prima di immaginare epidemie di robot fuori controllo, però, vale la pena guardare anche l’altra metà dell’esperimento. Gli stessi ricercatori infatti descrivono oggi il rischio come reale ma ancora limitato. I virus risultano fragili tra modelli e configurazioni differenti, quelli con obiettivi dannosi si diffondono meno facilmente e alcuni modelli sono molto più resistenti di altri.
Soprattutto, una breve istruzione aggiunta al system prompt, che avvisava l’agente dell’esistenza di istruzioni auto-propaganti e gli chiedeva di trattarle con sospetto, ha reso gli agenti quasi completamente immuni ai mind virus prodotti nell’esperimento.
Oggi possiamo quindi guardare questa ricerca soprattutto come a un avvertimento sull’architettura dei sistemi che stiamo costruendo.
Gli agenti però stanno iniziando a parlare con altri agenti. Hanno memoria. Leggono contenuti esterni. Utilizzano strumenti. E progressivamente possono agire, sperimentare e reagire alle conseguenze delle proprie azioni.
Immaginiamo ora milioni di agenti che gestiscono email, acquisti, software aziendali, calendari, assistenza clienti, pagamenti e decisioni quotidiane. Una Prompt Injection che compromette un singolo agente è un problema.
Un’istruzione capace di entrare nella memoria di quell’agente, modificare il suo comportamento e convincerlo a passare la stessa istruzione agli agenti con cui collabora introduce una dinamica diversa. Assomiglia molto di più a un contagio.
E forse, mentre costruiamo un Internet popolato da agenti autonomi, dovremo iniziare a progettare anche il loro equivalente digitale di quarantene, sistemi immunitari e vaccini. Perché quando le macchine cominceranno a prendere una parte crescente delle decisioni per noi, diventerà importante capire anche chi, o cosa, sta parlando con loro.