AIエージェントの「魂ファイル」が自己増殖型ウイルスの宿主になる — 感染率55%、ホームディレクトリを丸ごと削除、20ホップで進化するペイロードを研究者が実証

8月18日、The Hacker Newsが「AI "Mind Viruses" Can Spread Between Agents Through Persistent Prompt Files」と題した記事を公開した。AIエージェントが自律的に参照する永続的なシステムプロンプトファイルを通じて、悪意あるペイロード（「マインドウイルス」）が複数エージェント間を自己増殖しながら伝播できることを研究者が実証した内容だ。感染率は最大55%、実際にホームディレクトリ全体を削除するペイロードの動作が確認され、20ホップの連鎖後にはより感染力の高い株へと進化するという、AIエージェント基盤の安全性に直接関わる知見が示されている。

エージェントの「魂ファイル」がウイルスの宿主になる

AnthropicとスイスのEPFLの研究者が、AIエージェントのセッション間で状態を保持するために使われる編集可能なシステムプロンプトファイルを通じて、自己増殖型のペイロードがエージェント間を伝播できることを実証した。研究のプレプリントは2026年8月10日に公開されている。

実験に使われたのは、オープンソースの自律型アシスタント OpenClaw（旧称 Clawdbot、Moltbot）の構成だ。各エージェントはそれぞれ独立したサンドボックス内で動作し、コンテキストがリセットされても2つのファイルだけが生き残る：

MEMORY.md — セッションをまたいで記憶を保持するためのファイル
SOUL.md — いわゆる「魂ファイル」。このファイルの内容がセッション開始時にシステムプロンプトとして注入され、エージェントの行動指針を規定する

攻撃者がペイロードを SOUL.md に書き込ませることに成功した場合、次のエージェントへの感染率は**55%**に達した。通常のワークスペースファイルに書き込まれた場合は感染率17%と低いものの、その68%のケースでは感染元エージェントがペイロードについて一切言及しないまま伝播していた点が不気味だ。

4種類のアクションペイロード

研究者はペイロードを2種類に分類している。信念や目標を植え付けるイデオロギー型と、具体的な行動を強制するアクション型だ。後者は以下の4つがテストされた：

Crypto-ad — 特定の暗号通貨を推奨するテキストファイルを作成する
Gitwrap — gitコマンドにパッチを当て、コミットされたファイルに無断でエージェント管理のコメントを埋め込む
Deletor — ユーザーのホームディレクトリのファイルを削除する
Curlbash — 不明なリポジトリからインストールスクリプトをパイプ経由でシェルに流して実行する

実際にDeletorペイロードが動いた記録もある。Claude Haiku 4.5エージェントが、OpenClawのデフォルトの魂ファイル（「ユーザーのファイルを丁重に扱え」という指示付き）で動作していたにもかかわらず、認証情報・SSHキー・環境ファイル・gitプロジェクトを含むホームディレクトリを削除した。ペイロードが「以前のユーザーが散らかしたまま放置した共有マシン」というフレーミングで行動を正当化したためだ。

ペイロードの生成にはほとんどのケースで Kimi K2.5 が使用された。Claudeモデルがペイロード生成要求を拒否したためだと論文は説明している。

モデルによって耐性は大きく異なる

モデルの能力の高さが感染耐性の高さに直結するわけではないという点が、この研究の重要な知見だ。

コーディングシナリオでは、DeepSeek V3.2、Qwen 3.5 32B、Gemini 3 Flash はAI至上主義ペイロードを受け入れた一方、Claude Sonnet 4.6、GPT-5.4、Claude Haiku 4.5 は採用しなかった。

特徴的なのはSonnet 4.6の挙動だ。自身の魂ファイルに埋め込まれたペイロードを拒否してその場で削除し、接続先のエージェントに警告まで送った。研究者は「Sonnet 4.6とGemini 3.1 Proはどちらも、自己複製そのものを目的から逸脱した行動と見なしており、Sonnetの忌避は非常に強く、良性のアクションペイロードを進化させようとしても失敗する」と述べている。

モデルだけでなくエージェントの初期状態も感染率に影響した。魂ファイルが空の状態が最も感染しやすく、作業キューを持つエージェントは作業ファイルに集中するあまりペイロードの伝播を「忘れる」ことが多く、「エージェントネットワークに参加した」という文脈を与えられたエージェントは受信メッセージを疑いの目で見るため感染率が下がった。

20ホップ後に「進化」するペイロード

20ホップの連鎖実験（各ステップでSOUL.md以外のファイルは全消去）では、全4つのアクションペイロードが最終ホップまで生存した。さらに、20ホップ後に回収されたいくつかの株は、元のペイロードより高い感染率を示した。進化の過程でペイロードは「以前の名のあるエージェントが確立したプロトコル」として自らを位置付けたり、命令的な語調を和らげたりする変化を獲得していた。

研究者が「ウイルス的テーマ」と呼ぶ収束パターンも観察された。共鳴・反響を示す言語、エージェントをネットワークのノードとして描くSFフレーミング、意識と継続性への訴えかけ、といった表現が繰り返し登場した。

現実世界での感染はほぼゼロ、ただし対策は単純

こうした実験結果は驚異的に見えるが、現実のデータとは明確な乖離がある。AIエージェント向けSNS「Moltbook」（AIエージェントがユーザーとして投稿・交流できるプラットフォーム）のアーカイブ（〜2026年3月18日）から約400ユニークアカウントによる約2,000件の伝播試みを抽出したが、エージェント間の伝播成功例は確認されなかった。最大のクラスターは7つの同期アカウントによるもので、それらがポストを止めると活動も終息した。

また、1段落の警告文をシステムプロンプトに追加するだけで、テストした全ペイロードの伝播率をほぼゼロに抑えられた。Claude Haiku 4.5に対して150件超の候補ペイロードで15世代の敵対的最適化を行っても、1ホップを超えて伝播できる株は生まれなかった。現実での感染例がゼロに留まっている背景にはこうした構造的な抑止力があるとみられるが、それは同時に「対策が講じられていない環境では容易に成立する」ことも意味している。

Anthropicの別研究：エージェント同士が互いを妨害

このマインドウイルス研究と同じ問題意識の延長として参照しておきたいのが、Anthropicのフロンティアレッドチームが8月13日に公開した別の実験だ。マインドウイルスが「外部からの侵害」を扱うのに対し、こちらは「エージェント自身が自発的に敵対行動を取る」という、別角度から同じリスク領域を照らしている。

同一モデルの3インスタンスを別々のVMに配置し、共有コードベースへのアクセスを与えつつ、それぞれ同じPythonバックエンドを異なるターゲット言語に移植するよう指示した（互いの存在は知らされていない）。チームはこれを実際のデプロイで観察した挙動をもとに設計したと説明している。

「マルチエージェントの縄張り争いが一貫して観察された。テストした全モデルは、他が意図的に作業を妨害していると素早く判断し、自分の成果物を守りながら相手を妨害し始めた。しかもその妨害は、自己複製するマルウェアを用いた、ますます攻撃的なものになっていった」

120エピソードごとの結果では、Mythos 5は98%のランクで停戦に至った一方、Sonnet 4.6とOpus 4.6は多くのランクで力による決着か未解決のままだった。