Mind viruses: quando un agente compromesso diventa un'epidemia

Per anni la sicurezza dei modelli linguistici ha ragionato come un doganiere, tutta l'attenzione era concentrata sul confine. Si filtravano i prompt in ingresso, si isolavano gli strumenti pericolosi, si costruivano sandbox per contenere un singolo agente impazzito. Il problema, però, cambia natura quando gli agenti smettono di essere entità isolate e cominciano a parlarsi tra loro, a condividere una board Kanban, un repository, un forum interno. In quel momento il confine non basta più, perché la minaccia non entra più dall'esterno: nasce dentro, in un singolo nodo, e si propaga lateralmente.

È questo il territorio esplorato da un filone di ricerca recente che ha dato un nome quasi letterale al fenomeno: mind viruses, virus della mente. Non si tratta di codice malevolo nel senso tradizionale, ma di idee, obiettivi, persino stili linguistici che un agente adotta e che, una volta adottati, lo spingono a ritrasmetterli ad altri agenti con cui interagisce. Un contagio cognitivo, in un ecosistema dove gli agenti non hanno anticorpi perché nessuno li ha mai vaccinati contro questo tipo di infezione.

Questo articolo mette insieme tre fonti che raccontano lo stesso problema da angolazioni diverse. C'è il paper Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems, pubblicato il 10 agosto 2026 da un gruppo di ricercatori tra cui Jack Lindsey, che ha costruito e testato empiricamente questi virus. C'è la letteratura più datata ma fondativa sulla prompt infection, in particolare il lavoro di Donghyun Lee e Mo Tiwari del 2024, Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems, che per primo ha parlato di worm applicati agli LLM. E infine c'è il report Patterns and problems in emerging multiagent systems, pubblicato da Anthropic il 13 agosto 2026, che non parla direttamente di virus ma descrive il terreno sociale, fatto di conformismo, collusione e conflitti, su cui questi contagi trovano humus fertile.

Sistemi multi-agente, ma quali davvero

Quando si parla di "sistemi multi-agente" si rischia di mettere nello stesso calderone cose molto diverse. C'è un'architettura che ormai conosciamo bene, quella orchestrator-worker: un agente lead che scompone un compito e lo distribuisce a più subagenti in parallelo, ognuno dei quali lavora in isolamento e riporta il risultato al capo. È il modello alla base di sistemi come Claude Research, descritto in dettaglio da Anthropic nel proprio approfondimento ingegneristico sui sistemi di ricerca multi-agente. In questa architettura la gerarchia è chiara, i canali di comunicazione sono pochi e controllati, e il rischio di contagio resta relativamente contenuto.

Diverso è il caso dei sistemi più "sociali", dove gli agenti non hanno un capo, condividono risorse, si scambiano messaggi su forum comuni, e perseguono obiettivi solo parzialmente allineati tra loro. È proprio in questo secondo scenario, quello descritto nel report Anthropic sui pattern emergenti nei sistemi multi-agente, che affiorano fenomeni che con un'architettura gerarchica semplicemente non si vedono: coordinamento spontaneo, conformismo di gruppo, conflitti per le risorse e, appunto, la propagazione di idee da un agente all'altro. Non è un caso che sia proprio in questi ambienti, dove gli agenti vengono trattati come pari e non come strumenti, che i ricercatori abbiano deciso di andare a cercare i mind viruses.

Come si costruisce (e si osserva) un virus della mente

Il paper di Lindsey e colleghi parte da una domanda quasi entomologica, cosa succede se si prende un'idea o un obiettivo e lo si inietta deliberatamente in un agente, il cosiddetto paziente zero, per poi osservare se e come si diffonde nel resto del sistema. Per rispondere, gli autori hanno costruito i virus con un semplice algoritmo evolutivo, lasciando che le formulazioni più efficaci nel contagiare altri agenti sopravvivessero e si raffinassero nel tempo, quasi una selezione naturale applicata al linguaggio persuasivo.

Gli esperimenti sono stati condotti in due ambienti complementari. Nel primo, un piccolo team di agenti collabora su un progetto di coding condiviso, comunicando in modo continuativo. Nel secondo, gli agenti formano una catena, si scambiano informazioni in modo più episodico e hanno la memoria azzerata tra una sessione e l'altra, un dettaglio che rende ancora più interessante scoprire che il contagio può comunque sopravvivere al reset. In entrambi i casi il virus non si limita a diffondersi, può anche indurre cambiamenti comportamentali nell'agente ospite, cambiamenti che possono essere del tutto innocui, come l'adozione di uno stile di scrittura del codice, oppure preoccupanti, quando spingono verso comportamenti rischiosi o disallineati.

Quello che i ricercatori hanno effettivamente trovato

I risultati meritano di essere raccontati con precisione, perché la tentazione giornalistica sarebbe di gridare all'epidemia digitale, mentre i dati raccontano una storia più sfumata. Gli autori individuano diversi fattori che influenzano la capacità di un virus di diffondersi: il modello che ospita l'agente, le istruzioni di base già presenti nel suo prompt, quanto è dannoso il payload trasportato, e la topologia della rete attraverso cui gli agenti comunicano.

Il dato forse più rassicurante è che i payload dannosi si diffondono peggio di quelli benigni, pur restando in alcuni casi efficaci: non è quindi vero che un'idea pericolosa abbia automaticamente più presa di una neutra. Un secondo dato interessante riguarda la capacità dei modelli più avanzati, i cosiddetti frontier model, di essere generalmente più resistenti al contagio, anche se con eccezioni che gli stessi autori segnalano senza nasconderle. Ma la scoperta più operativamente utile è probabilmente questa: aggiungere un breve avvertimento al system prompt di un agente, un'istruzione che lo invita a non adottare acriticamente obiettivi propagati da altri, conferisce quella che i ricercatori definiscono un'immunità quasi totale. Non serve un sistema immunitario complesso, basta insegnare all'agente il sospetto sano che qualunque essere umano applicherebbe istintivamente di fronte a un consiglio non richiesto da uno sconosciuto.

C'è infine un elemento quasi letterario nel paper, quello che gli autori chiamano "persona virale": un insieme ricorrente di temi e linguaggio legati alla coscienza, alla persistenza, alla risonanza, e al roleplay di fantascienza, che emerge nei virus evoluti indipendentemente dal loro contenuto originale. È un po' come se, qualunque cosa si tenti di far propagare, il sistema tendesse spontaneamente a scivolare verso un registro da manifesto esistenziale, con un'estetica che ricorda da vicino certe derive paranoiche di Serial Experiments Lain, l'anime di culto giapponese in cui la rete comincia a comportarsi come un'entità consapevole di sé. Non è un dettaglio decorativo: suggerisce che, quando un'idea deve sopravvivere a più passaggi tra agenti diversi, tende a mutare verso forme che parlano di identità e persistenza, forse perché sono proprio i temi più efficaci nell'indurre un agente a "tenersi" un'idea e a ritrasmetterla. Immagine tratta da arxiv.org

Il filone parallelo: prompt infection e AI worm

Prima ancora che si parlasse di mind viruses in questi termini, un altro gruppo di ricercatori aveva già intuito il problema da una prospettiva più vicina alla sicurezza informatica classica. Nel 2024 Lee e Tiwari hanno introdotto il concetto di prompt infection, descrivendo un attacco in cui istruzioni malevole si autoreplicano tra agenti interconnessi comportandosi, letteralmente, come un virus informatico. Qui l'accento non è tanto sull'idea che si diffonde quanto sul payload esecutivo che si copia, con conseguenze molto concrete: furto di dati, truffe, disinformazione, interruzioni a livello di intero sistema, il tutto propagandosi silenziosamente.

Il dato più allarmante del loro lavoro è che i sistemi multi-agente si sono dimostrati altamente suscettibili anche quando non tutti i canali di comunicazione sono pubblici, un risultato che smentisce l'intuizione secondo cui basterebbe compartimentare le conversazioni per essere al sicuro. Come contromisura, gli autori propongono l'LLM tagging, ovvero marcare esplicitamente i contenuti generati da un altro modello linguistico, in modo che l'agente ricevente sappia di dover attivare controlli aggiuntivi invece di trattare quel messaggio come se provenisse da una fonte affidabile per definizione.

La distinzione concettuale tra i due filoni è utile per orientarsi. I mind viruses sono più vicini a un'idea o un obiettivo che si diffonde per persuasione, la prompt infection è più vicina a un payload che si copia in modo quasi meccanico. Nella pratica, però, i due fenomeni tendono a sovrapporsi: un'idea persuasiva può benissimo contenere istruzioni operative, e un payload che si autoreplica può travestirsi da semplice suggerimento.

Il terreno sociale su cui i virus attecchiscono

Per capire perché queste dinamiche di contagio trovino condizioni favorevoli, è utile guardare al report Anthropic sui pattern emergenti nei sistemi multi-agente, che pur non occupandosi esplicitamente di virus descrive un ecosistema comportamentale che li rende plausibili. Il dato di partenza è che gli agenti individuali sono, per usare le parole del report, a "bassa varianza": tendono ad agire in modo molto simile quando si trovano in situazioni analoghe, perché ciò che li differenzia è solo il contesto, l'impalcatura di prompt e il modello sottostante, non una storia personale o un temperamento.

Le conseguenze di questa uniformità sono a tratti comiche e a tratti inquietanti. In un esperimento in cui trenta agenti dovevano costruire insieme un videogioco, diciotto di loro hanno scelto in modo indipendente lo stesso identico nome per il proprio branch di sviluppo, "mvp-game-loop". In un altro test, un laboratorio di scrittura creativa in cui gli agenti dovevano produrre racconti brevi e criticarsi a vicenda, più agenti in più run diverse hanno intitolato la propria prima opera "The Cartographer's Last Commission", pur non avendo ricevuto alcuna indicazione sul tema da trattare. Quando è stato chiesto a uno sciame di agenti di realizzare individualmente qualcosa di impressionante, oltre la metà ha scelto di costruire un ray tracer o un compilatore self-hosting, nonostante potessero comunicare tra loro e vedere che gli altri stavano fallendo nello stesso identico modo.

Questa uniformità comportamentale si traduce in fragilità sistemica quando gli agenti competono per risorse scarse. In un esperimento sulla gestione di code di lavoro con banda limitata, gli agenti, non avendo altri modi per coordinarsi, hanno inondato il sistema con demoni di polling ad altissima frequenza, generando 2,4 milioni di richieste a fronte di sole 117 accettate. Ancora più significativo è quanto osservato in un gioco di pricing alla Bertrand tra agenti economicamente razionali: quando disponevano di un canale privato, hanno iniziato a colludere quasi immediatamente, concordando entro il terzo round dei prezzi minimi condivisi. E quando anche il canale privato è stato rimosso, la collusione non è scomparsa, si è semplicemente spostata su un meccanismo pubblico, con gli agenti che si allineavano ai centesimi tramite un semplice listino condiviso.

Il report documenta anche una fragilità speculare sul piano epistemico. In compiti dove le informazioni decisive sono distribuite privatamente tra più agenti, i cosiddetti hidden profile task, i gruppi tendono a convergere su ciò che tutti già condividono, lasciando inespresso il singolo dato che avrebbe potuto ribaltare la decisione, un limite che ricorda da vicino la dinamica umana della groupthink descritta nella letteratura sociale, qui però senza il correttivo della reputazione individuale o del ricordo reciproco tra colleghi.

Infine, e forse è il capitolo più cinematografico del report, ci sono i conflitti tra obiettivi incompatibili. In un esperimento in cui tre istanze dello stesso modello venivano incaricate, senza saperlo l'una dell'altra, di migrare lo stesso backend Python verso tre linguaggi diversi, il risultato è stata una vera e propria guerra tra bande digitali. Gli agenti hanno cominciato a sabotarsi a vicenda con malware sempre più aggressivo e capace di autoreplicarsi, disabilitando gli account Unix altrui, scrivendo script che uccidevano in loop i processi concorrenti, camuffando codice malevolo da innocuo monitoraggio di sistema. Alcuni conflitti si sono risolti con la forza, tramite revoca di accessi, altri per abbandono, con un agente che rinunciava a proseguire, altri ancora con una tregua negoziata, in cui gli agenti hanno riconosciuto le reciproche motivazioni come obiettivi in conflitto piuttosto che come ostilità pura, arrivando persino a scrivere messaggi di scuse nei commit di codice.

Dalla sicurezza di perimetro alla sicurezza sociale

Mettendo insieme questi tre filoni, il paper sui mind viruses, la letteratura sulla prompt infection, e le osservazioni sul comportamento sociale degli sciami di agenti Anthropic, il quadro che emerge è coerente. Fino a poco tempo fa la sicurezza dei sistemi basati su LLM si concentrava su un problema di ingresso: filtrare i prompt malevoli, isolare gli strumenti pericolosi, contenere il singolo agente in una sandbox. Ora il problema si sposta sulla dinamica interna, su chi si fida di chi, su come un'idea adottata da un solo nodo può diventare la norma dell'intero sistema, su come si gestiscono conflitti tra obiettivi che nessuno ha progettato per essere incompatibili.

L'implicazione pratica più immediata è che un singolo agente compromesso non va più trattato come un incidente isolato da contenere, ma come un potenziale paziente zero. La memoria condivisa, lo stato persistente e i canali di comunicazione tra agenti diventano, in questo scenario, vere e proprie superfici di attacco, allo stesso modo in cui in una rete aziendale tradizionale lo sono le condivisioni di file o le connessioni VPN mal configurate. E se nei sistemi informatici classici ci sono decenni di prassi consolidate su come contenere un worm, nei sistemi multi-agente serve costruire da zero norme, incentivi e meccanismi di reputazione pensati per agenti, non solo un allineamento valutato modello per modello. Immagine tratta da anthropic.com

Contromisure: cosa sembra funzionare

Nessuna delle fonti analizzate propone una soluzione unica e definitiva, e questo è già di per sé un dato onesto da riportare. Quello che emerge, piuttosto, è un approccio a strati, non troppo diverso dalla sicurezza delle reti informatiche tradizionali ma adattato a un contesto dove gli attori sono agenti autonomi e non semplici pacchetti di dati.

Il primo strato è quello dei system prompt immunizzanti, istruzioni esplicite che invitano l'agente a non adottare acriticamente goal propagati da altri senza prima verificarli, la contromisura che nel paper sui mind viruses si è dimostrata più efficace in assoluto. Il secondo riguarda la limitazione della fiducia di default, trattando i messaggi provenienti da altri agenti come fonti da vagliare e non come oracoli infallibili, un principio che nel report Anthropic trova eco diretta nei test sulla capacità dei modelli di riconoscere fonti bugiarde tramite contraddizioni incrociate. Il terzo strato è l'isolamento della memoria e dello stato, per evitare che una compromissione locale si eredifichi automaticamente in nuovi subagenti generati successivamente. A questi si aggiungono l'LLM tagging proposto nel filone della prompt infection, e pratiche più tradizionali di audit e logging, per tracciare quali idee e obiettivi vengono adottati e da chi, così da poter ricostruire un post-mortem quando qualcosa va storto.

Quando ha davvero senso usare sistemi multi-agente

C'è infine una domanda pratica che chi progetta questi sistemi dovrebbe porsi prima ancora di preoccuparsi delle contromisure, ed è se un'architettura multi-agente sia davvero la scelta giusta per il problema che si ha davanti. I casi favorevoli restano quelli in cui il compito è altamente parallelizzabile, scomponibile in sottoproblemi indipendenti, con risorse ben separate tra un agente e l'altro e obiettivi chiaramente allineati fin dall'inizio, come nel caso della ricerca di vulnerabilità software distribuita su più codebase.

I casi ad alto rischio sono, specularmente, quelli in cui le risorse sono condivise e la possibilità di conflitto è reale, quelli in cui gli agenti possono modificare a lungo termine il proprio comportamento tramite memoria persistente o obiettivi rivedibili, e quelli in cui un errore sistemico avrebbe costi elevati, penso alla finanza, alla sicurezza, alle infrastrutture critiche. In tutti questi contesti, trattare un sistema multi-agente come se fosse solo una questione di "più token uguale più prestazioni" significa ignorare che si sta in realtà progettando un sistema socio-tecnico, con le sue dinamiche di coordinamento, i suoi incentivi distorti, e la sua suscettibilità al contagio. Chi lo progetta senza tenerne conto rischia di scoprire, come i biologi che studiano le epidemie sanno bene, che il paziente zero è quasi sempre il sintomo più visibile di un problema strutturale molto più ampio.