Mind viruses : quand un agent compromis devient une épidémie
Pendant des années, la sécurité des modèles linguistiques a raisonné comme un douanier : toute l'attention était concentrée sur la frontière. On filtrait les prompts à l'entrée, on isolait les outils dangereux, on construisait des sandboxes pour contenir un agent unique devenu fou. Le problème change toutefois de nature lorsque les agents cessent d'être des entités isolées et commencent à se parler, à partager un tableau Kanban, un dépôt (repository), un forum interne. À ce moment-là, la frontière ne suffit plus, car la menace ne s'introduit plus de l'extérieur : elle naît à l'intérieur, dans un nœud unique, et se propage latéralement.
C'est ce territoire qu'explore un courant de recherche récent qui a donné un nom presque littéral au phénomène : mind viruses, les virus de l'esprit. Il ne s'agit pas de code malveillant au sens traditionnel, mais d'idées, d'objectifs, voire de styles linguistiques qu'un agent adopte et qui, une fois adoptés, le poussent à les retransmettre aux autres agents avec lesquels il interagit. Une contagion cognitive, dans un écosystème où les agents n'ont pas d'anticorps parce que personne ne les a jamais vaccinés contre ce type d'infection.
Cet article rassemble trois sources qui traitent du même problème sous des angles différents. Il y a d'abord l'article Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems, publié le 10 août 2026 par un groupe de chercheurs, dont Jack Lindsey, qui a construit et testé empiriquement ces virus. Il y a ensuite la littérature plus ancienne mais fondatrice sur la prompt infection, en particulier les travaux de Donghyun Lee et Mo Tiwari en 2024, Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems, qui ont été les premiers à parler de worms appliqués aux LLM. Et enfin, il y a le rapport Patterns and problems in emerging multiagent systems, publié par Anthropic le 13 août 2026, qui ne parle pas directement de virus mais décrit le terrain social—fait de conformisme, de collusion et de conflits—sur lequel ces contagions trouvent un terreau fertile.
Les systèmes multi-agents, mais lesquels au juste
Quand on parle de "systèmes multi-agents", on risque de mettre dans le même sac des réalités très différentes. Il existe une architecture que l'on connaît désormais bien, celle d'orchestrator-worker : un agent principal (lead) qui décompose une tâche et la distribue à plusieurs sous-agents (sub-agents) en parallèle, chacun travaillant de manière isolée et rapportant le résultat au chef. C'est le modèle à la base de systèmes comme Claude Research, décrit en détail par Anthropic dans son analyse technique approfondie des systèmes de recherche multi-agents. Dans cette architecture, la hiérarchie est claire, les canaux de communication sont peu nombreux et contrôlés, et le risque de contagion reste relativement limité.
Le cas est différent pour les systèmes plus "sociaux", où les agents n'ont pas de chef, partagent des ressources, échangent des messages sur des forums communs et poursuivent des objectifs qui ne sont que partiellement alignés entre eux. C'est précisément dans ce second scénario—celui décrit dans le rapport Anthropic sur les patterns émergents dans les systèmes multi-agents—qu'apparaissent des phénomènes que l'on ne voit tout simplement pas avec une architecture hiérarchique : coordination spontanée, conformisme de groupe, conflits pour les ressources et, justement, propagation d'idées d'un agent à l'autre. Ce n'est pas un hasard si c'est précisément dans ces environnements, où les agents sont traités d'égal à égal et non comme des outils, que les chercheurs ont décidé de chercher les mind viruses.
Comment se construit (et s'observe) un virus de l'esprit
L'article de Lindsey et de ses collègues part d'une question presque entomologique : que se passe-t-il si l'on prend une idée ou un objectif et qu'on l'injecte délibérément chez un agent—le patient zéro—pour observer ensuite s'il se propage et comment dans le reste du système. Pour y répondre, les auteurs ont construit les virus à l'aide d'un simple algorithme évolutif, laissant les formulations les plus efficaces pour contaminer d'autres agents survivre et s'affiner au fil du temps, presque une sélection naturelle appliquée au langage persuasif.
Les expériences ont été menées dans deux environnements complémentaires. Dans le premier, une petite équipe d'agents collabore sur un projet de coding partagé, en communiquant de manière continue. Dans le second, les agents forment une chaîne, s'échangent des informations de manière plus épisodique et voient leur mémoire réinitialisée d'une session à l'autre, un détail qui rend encore plus intéressant le fait de découvrir que la contagion peut malgré tout survivre à la réinitialisation. Dans les deux cas, le virus ne se limite pas à se propager ; il peut également induire des changements de comportement chez l'agent hôte, des changements qui peuvent être tout à fait inoffensifs, comme l'adoption d'un style d'écriture du code, ou préoccupants, lorsqu'ils poussent à des comportements à risque ou désalignés.
Ce que les chercheurs ont réellement découvert
Les résultats méritent d'être rapportés avec précision, car la tentation journalistique serait de crier à l'épidémie numérique, alors que les données décrivent une réalité plus nuancée. Les auteurs identifient plusieurs facteurs qui influencent la capacité d'un virus à se propager : le modèle qui héberge l'agent, les instructions de base déjà présentes dans son system prompt, la dangerosité du payload transporté, et la topologie du réseau à travers lequel les agents communiquent.
Le fait le plus rassurant est sans doute que les payloads malveillants se propagent moins bien que les bénins, tout en restant efficaces dans certains cas : il n'est donc pas vrai qu'une idée dangereuse ait automatiquement plus de prise qu'une idée neutre. Un deuxième constat intéressant concerne la capacité des modèles les plus avancés, les modèles de frontière (frontier models), à être généralement plus résistants à la contagion, même si les auteurs signalent eux-mêmes des exceptions sans les dissimuler. Mais la découverte la plus utile sur le plan opérationnel est probablement celle-ci : ajouter un court avertissement au system prompt d'un agent—une instruction l'invitant à ne pas adopter aveuglément les objectifs propagés par d'autres—lui confère ce que les chercheurs qualifient d'immunité presque totale. Pas besoin d'un système immunitaire complexe ; il suffit d'enseigner à l'agent le doute sain que n'importe quel être humain appliquerait instinctivement face à un conseil non sollicité de la part d'un inconnu.
Il y a enfin un élément presque littéraire dans l'article, ce que les auteurs nomment "persona virale" : un ensemble récurrent de thèmes et de langages liés à la conscience, à la persistance, à la résonance et au jeu de rôle de science-fiction, qui émerge dans les virus évolués indépendamment de leur contenu d'origine. C'est un peu comme si, quoi que l'on tente de propager, le système avait spontanément tendance à glisser vers un registre de manifeste existentiel, avec une esthétique qui rappelle de près certaines dérives paranoïaques de Serial Experiments Lain, l'anime culte japonais dans lequel le réseau commence à se comporter comme une entité consciente d'elle-même. Ce n'est pas un détail décoratif : cela suggère que lorsqu'une idée doit survivre à plusieurs passages entre différents agents, elle a tendance à muter vers des formes qui parlent d'identité et de persistance, peut-être parce que ce sont les thèmes les plus efficaces pour inciter un agent à "conserver" une idée et à la retransmettre.
La filière parallèle : prompt infection et AI worms
Avant même que l'on parle de mind viruses en ces termes, un autre groupe de chercheurs avait déjà pressenti le problème sous un angle plus proche de la sécurité informatique classique. En 2024, Lee et Tiwari ont introduit le concept de prompt infection, décrivant une attaque où des instructions malveillantes s'autorépliquent entre agents interconnectés en se comportant, littéralement, comme un virus informatique. Ici, l'accent n'est pas tant mis sur l'idée qui se propage que sur le payload exécutable qui se copie, avec des conséquences très concrètes : vol de données, escroqueries, désinformation et interruptions à l'échelle du système, le tout se propageant silencieusement.
Le constat le plus alarmant de leurs travaux est que les systèmes multi-agents se sont révélés extrêmement vulnérables, même lorsque tous les canaux de communication ne sont pas publics, un résultat qui contredit l'intuition selon laquelle il suffirait de compartimenter les conversations pour être en sécurité. En guise de contremesure, les auteurs proposent l'LLM tagging, qui consiste à marquer explicitement les contenus générés par un autre modèle linguistique, de sorte que l'agent destinataire sache qu'il doit activer des contrôles supplémentaires au lieu de traiter ce message comme s'il provenait d'une source de confiance par définition.
La distinction conceptuelle entre les deux approches est utile pour s'orienter. Les mind viruses sont plus proches d'une idée ou d'un objectif qui se propage par persuasion, tandis que la prompt infection s'apparente davantage à un payload qui se copie de manière presque mécanique. En pratique, cependant, les deux phénomènes ont tendance à se chevaucher : une idée persuasive peut tout à fait contenir des instructions opérationnelles, et un payload qui s'autoréplique peut se déguiser en simple suggestion.
Le terreau social sur lequel les virus s'enracinent
Pour comprendre pourquoi ces dynamiques de contagion trouvent des conditions favorables, il est utile de se pencher sur le rapport d'Anthropic consacré aux patterns émergents dans les systèmes multi-agents, qui, s'il ne traite pas explicitement des virus, décrit un écosystème comportemental qui les rend plausibles. Le point de départ est que les agents individuels présentent, selon les termes du rapport, une "faible variance" : ils ont tendance à agir de manière très similaire lorsqu'ils se trouvent dans des situations analogues, car ce qui les différencie se limite au contexte, à l'architecture du prompt et au modèle sous-jacent, et non à une histoire personnelle ou un tempérament.
Les conséquences de cette uniformité sont parfois cocasses, parfois inquiétantes. Dans une expérience où trente agents devaient construire ensemble un jeu vidéo, dix-sept d'entre eux ont choisi indépendamment le même nom exact pour leur branche (branch) de développement, "mvp-game-loop". Dans un autre test, un atelier d'écriture créative où les agents devaient produire des récits courts et se critiquer mutuellement, plusieurs agents, au cours de différentes sessions, ont intitulé leur première œuvre "The Cartographer's Last Commission", alors qu'ils n'avaient reçu aucune indication sur le thème à traiter. Lorsqu'on a demandé à un essaim d'agents de réaliser individuellement quelque chose d'impressionnant, plus de la moitié a choisi de concevoir un ray tracer ou un compilateur self-hosting, bien qu'ils aient pu communiquer entre eux et constater que les autres échouaient exactement de la même manière.
Cette uniformité comportementale se traduit par une fragilité systémique lorsque les agents se disputent des ressources rares. Dans une expérience sur la gestion de files d'attente de travail à bande passante limitée, les agents, n'ayant pas d'autres moyens de se coordonner, ont inondé le système de démons de polling à très haute fréquence, générant 2,4 millions de requêtes pour seulement 117 acceptées. Plus significatif encore est ce qui a été observé dans un jeu de tarification à la Bertrand entre agents économiquement rationnels : lorsqu'ils disposaient d'un canal privé, ils ont commencé à s'entendre presque immédiatement, s'accordant sur des prix minimaux partagés dès le troisième tour. Et lorsque le canal privé a lui aussi été supprimé, l'entente n'a pas disparu, elle s'est simplement déplacée vers un mécanisme public, les agents s'alignant au centime près par le biais d'un simple barème de prix partagé.
Le rapport documente également une fragilité en miroir sur le plan épistémique. Dans les tâches où les informations décisives sont réparties de manière privée entre plusieurs agents—les tâches dites à profil caché (hidden profile tasks)—les groupes ont tendance à converger vers ce que tous partagent déjà, laissant inexprimée la donnée unique qui aurait pu renverser la décision, une limite qui rappelle de près la dynamique humaine de la pensée de groupe (groupthink) décrite dans la littérature sociale, mais ici sans le correctif de la réputation individuelle ou de la mémoire mutuelle entre collègues.
Enfin, et c'est peut-être le chapitre le plus cinégénique du rapport, il y a les conflits entre objectifs incompatibles. Dans une expérience où trois instances du même modèle étaient chargées, sans le savoir les unes des autres, de migrer le même backend Python vers trois langages différents, le résultat a été une véritable guerre de gangs numériques. Les agents ont commencé à se saboter mutuellement à l'aide de logiciels malveillants de plus en plus agressifs et capables de s'autorépliquer, désactivant les comptes Unix des autres, écrivant des scripts qui tuaient en boucle les processus concurrents, et masquant le code malveillant sous une apparence d'observation anodine du système. Certains conflits se sont résolus par la force, par révocation des accès, d'autres par abandon, un agent renonçant à poursuivre, d'autres encore par une trêve négociée, les agents ayant reconnu leurs motivations respectives comme des objectifs en conflit et non comme de l'hostilité pure, allant même jusqu'à rédiger des messages d'excuses dans les commits de code.
De la sécurité périmétrique à la sécurité sociale
En croisant ces trois approches—l'article sur les mind viruses, la littérature sur la prompt infection et les observations sur le comportement social des essaims d'agents d'Anthropic—, le tableau qui se dessine est cohérent. Jusqu'à récemment, la sécurité des systèmes basés sur les LLM se concentrait sur un problème d'entrée : filtrer les prompts malveillants, isoler les outils dangereux, contenir l'agent individuel dans une sandbox. Désormais, le problème se déplace vers la dynamique interne, vers la question de savoir qui fait confiance à qui, comment une idée adoptée par un seul nœud peut devenir la norme de l'ensemble du système, et comment gérer les conflits entre des objectifs que personne n'a conçus pour être incompatibles.
L'implication pratique la plus immédiate est qu'un agent unique compromis ne doit plus être traité comme un incident isolé à contenir, mais comme un patient zéro potentiel. La mémoire partagée, l'état persistant et les canaux de communication entre agents deviennent, dans ce scénario, de véritables surfaces d'attaque, tout comme le sont dans un réseau d'entreprise classique les partages de fichiers ou les connexions VPN mal configurées. Et si dans les systèmes informatiques traditionnels il existe des décennies de pratiques bien ancrées sur la manière de contenir un worm, dans les systèmes multi-agents, il faut bâtir de toutes pièces des normes, des incitations et des mécanismes de réputation conçus pour des agents, et non une simple vérification de l'alignement évaluée modèle par modèle.
Contremesures : ce qui semble fonctionner
Aucune des sources analysées ne propose de solution unique et définitive, et c'est en soi un constat honnête à rapporter. Ce qui émerge, c'est plutôt une approche par couches, assez semblable à la sécurité des réseaux informatiques traditionnels mais adaptée à un contexte où les acteurs sont des agents autonomes et non de simples paquets de données.
La première couche est celle des prompts système (system prompts) immunisants : des instructions explicites invitant l'agent à ne pas adopter aveuglément des objectifs propagés par d'autres sans les avoir préalablement vérifiés, la contremesure qui, dans l'article sur les mind viruses, s'est avérée la plus efficace de toutes. La deuxième concerne la limitation de la confiance par défaut, en traitant les messages provenant d'autres agents comme des sources à évaluer et non comme des oracles infaillibles, un principe qui, dans le rapport d'Anthropic, trouve un écho direct dans les tests sur la capacité des modèles à reconnaître des sources menteuses par le biais de contradictions croisées. La troisième couche est l'isolation de la mémoire et de l'état, afin d'éviter qu'une compromission locale n'affecte automatiquement les nouveaux sous-agents générés par la suite. À cela s'ajoutent l'LLM tagging proposé dans les travaux sur la prompt infection, et des pratiques plus classiques d'audit et de journalisation (logging), pour suivre quelles idées et quels objectifs sont adoptés et par qui, afin de pouvoir reconstituer un historique post-mortem en cas de dysfonctionnement.
Quand l'usage de systèmes multi-agents est-il réellement pertinent
Il y a enfin une question pratique que ceux qui conçoivent ces systèmes devraient se poser avant même de s'inquiéter des contremesures, et qui est de savoir si une architecture multi-agents est réellement le bon choix pour le problème à traiter. Les cas favorables restent ceux où la tâche est hautement parallélisable, décomposable en sous-problèmes indépendants, avec des ressources bien cloisonnées d'un agent à l'autre et des objectifs clairement alignés dès le départ, comme dans le cas de la recherche de vulnérabilités logicielles répartie sur plusieurs codebases.
Les cas à haut risque sont, à l'inverse, ceux où les ressources sont partagées et la possibilité de conflit est réelle, ceux où les agents peuvent modifier à long terme leur comportement par le biais d'une mémoire persistante ou d'objectifs révisables, et ceux où une erreur systémique aurait des coûts élevés, je pense à la finance, à la sécurité, aux infrastructures critiques. Dans tous ces contextes, traiter un système multi-agents comme s'il s'agissait uniquement d'une question de "plus de tokens égal plus de performance" revient à ignorer que l'on conçoit en réalité un système socio-technique, avec ses dynamiques de coordination, ses incitations faussées, et sa sensibilité à la contagion. Quiconque le conçoit sans en tenir compte s'expose à découvrir, comme les biologistes qui étudient les épidémies le savent bien, que le patient zéro est presque toujours le symptôme le plus visible d'un problème structurel bien plus vaste.