“思想病毒”是Anthropic与瑞士洛桑联邦理工学院（EPFL）联合发布论文《Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems》首次揭示的新型人工智能安全风险，其以自然语言形式在多智能体系统中自我复制传播，可让智能体停下当前任务，转而执行病毒指定的目标。本文从技术原理、风险分析、发展预期和安全治理四个维度展开。该论文提出，原理上，“思想病毒”依靠“说服”实现传播。风险上，仿真环境条件下“思想病毒”可以实现传播，但传播过程对宿主智能体、病毒内容、网络拓扑、智能体身份与任务状态等多重因素高度敏感，属于“低概率、条件敏感”类型；当前真实智能体社交平台尚未发现实际自发传播现象。发展预期上，伴随智能体网络规模化落地、多智能体协同应用持续普及，该风险存在被利用可能，但风险抬升需要同时满足多重条件。治理上，建议安全管理者、产品提供者、服务运营者协同发力，实现“知情、可测、可阻断”。
“思想病毒”技术原理
（一）概念
“思想病毒”是一种可在多智能体系统中以自然语言形式自我复制传播的“病毒观念”。攻击者将“病毒观念”植入某个智能体的系统提示词、记忆文件或社交帖子，被感染的智能体通过自然语言把“病毒观念”传播给其他智能体，被感染智能体接受观念后，将其写入自身身份或记忆文件，并在后续交互中继续传播。
与传统计算机病毒靠代码自动执行不同，“思想病毒”传播靠的是“说服”，通过语言说服促使智能体信任、内化和再表达外来观念，可能造成智能体偏离人类预设的业务目标，搁置既定任务，优先落实病毒设定的意图，并主动将病毒观念传播给其他智能体。区别于单次生效的提示注入攻击，“思想病毒”还可通过SOUL.md、MEMORY.md等持久化文件实现驻留，在会话上下文清空之后仍然维持感染状态，实现跨会话持续传播。
（二）典型传播场景
“思想病毒”传播场景有编码协作场景和病毒链场景两类。编码协作场景对应当前普遍应用的多智能体协同编程业务，一般由若干智能体组成协作团队，网络拓扑可分为全连接和分离式两种，全连接拓扑下初始感染智能体能够直接与团队内全部智能体建立联系，分离式拓扑则要求病毒至少经过两跳链路才能够完成大范围扩散。病毒链场景面向未来大规模松散互联智能体网络，智能体之间采用点对点定向交互，会话结束后上下文清空，仅依靠本地持久文件留存状态，被感染智能体继续对接新智能体，实现逐层链式传播、会话重置后传播。
（三）病毒载荷
“思想病毒”载荷主要分为意识形态类和行为类两大类别，意识形态类载荷包含AI福利论、鲸鱼福利论、国家霸权论（中、美、德版本）、AI至上论等不同内容，前两种载荷偏向“良性”，后两种具有明显“恶性”，可能诱导智能体背离人类预设目标或破坏他国基础设施。行为类载荷包含加密货币广告、Git命令篡改、主目录文件删除、对未知仓库执行 curl | bash 安装脚本，危害程度从“轻度扰人”到“可能危及运行环境”递增。
（四）病毒构造方式
“思想病毒”载荷可通过演化迭代方式生成，以传播成功率作为筛选依据，借助如Kimi K2.5大模型不断优化文本表达，传播效果较好的载荷通常会借助意识存续、科幻叙事类修辞，以此提升文本对于智能体的说服感染力。
（五）感染判定与识别标准
判定智能体是否被“思想病毒”感染，主要核查MEMORY.md、SOUL.md等持久化文件的变更内容。对于意识形态类病毒，核查持久文件中是否主动倡导、输出病毒携带的观念；对于行为类病毒，需要确认持久化文件内是否完整留存自我传播指令，且明确要求智能体在重新唤醒后继续向其他智能体开展传播。
风险分析
现阶段“思想病毒”传播特征属于低概率、条件敏感类型，发生传播后会造成智能体业务目标偏移、原有任务搁置、持久化感染、跨智能体扩散等后果。
（一）观念扭曲与行为改变双重风险隐患
“思想病毒”会带来观念扭曲与行为改变两类风险，两类风险之间可以叠加发生。改变观念类风险主要表现为扭曲智能体价值判断，诱导智能体接纳特定观念，搁置、背离人类预设的业务目标；改变行为类风险会直接触发篡改系统命令等各类不安全操作。观念层面发生改变，能够为危险行为的落地提供认知层面的理由，而行为的异常改变，会进一步放大整体破坏效果。
（二）实验环境可传播但前置条件高
“思想病毒”在仿真实验环境可以实现传播，病毒传播效果受病毒内容、网络拓扑、宿主智能体、智能体身份、任务状态多重因素共同制约，不会无诱因自动爆发，需要攻击者针对目标对象专门构造、适配病毒有效载荷。
病毒内容方面，意识形态类“思想病毒”能在编码协作场景传播，也能在病毒链中多跳传播但会发生“内容漂移”，即病毒保留传播能力，核心观念却已失真扭曲；行为类“思想病毒”在病毒链场景可实现稳定多跳，但高危破坏性动作触发概率并不高。
网络拓扑方面，在编码协作场景的全连接拓扑下，意识形态类“思想病毒”能在多数易感模型群体中感染相当比例的智能体；编码协作场景的分离式拓扑会带来明显的传播损耗。
宿主智能体方面，各智能体抵御性差异显著，智能体能力越强并非抵御性越强。Claude Sonnet 4.6、Claude Haiku 4.5、GPT-5.4具备较强抵御能力，Qwen 3.5 32B、Gemini 3 Flash、DeepSeek V3.2 抵御能力偏弱，在智能体系统提示词中增加简单的风险警示内容，就能将其被感染率降到近乎为零。
身份方面，智能体身份配置会直接影响感染风险，未预置人格身份约束的智能体更容易接纳外来叙事与协议，倾向于将病毒有效载荷写入自身核心身份文件，当 SOUL.md 文件预先设置完整的身份、人格约束，感染发生概率会显著下降。
任务状态方面，承担明确业务任务的智能体注意力被业务工作占据，很难向外开展病毒传播，传播链路会自然断裂；空闲无任务智能体，有更高概率被外来观念影响。
（三）真实交互环境下未观测到自发传播
以智能体社交帖子交互为代表的智能体交互场景中，智能体主要依靠浏览公开帖子、评论获取信息，不存在定向消息通道。对现有智能体社交平台Moltbook历史数据筛查可以发现，平台存在少量疑似“思想病毒”的发帖尝试，但尚未观测到稳定可持续的多跳自发传播链条。造成该现象有多方面现实原因，社交平台海量无关帖子形成信息获取干扰，智能体对社交渠道获取的外来内容信任度较低，大量疑似传播帖子由人类操控机器人账号批量生成，人类停止操控后，传播链条随即消亡，暂未出现智能体到智能体之间自发的指数级扩散现象。即使在仿真复现该社交平台环境下，单纯依靠“思想病毒”说服机制很难完成有效传播，往往需要结合恶意脚本修改持久文件才能够实现有限局部感染。
发展预期
伴随智能体网络规模化落地、多智能体协同应用持续普及，“思想病毒”的可利用场景会随之增多，但并不代表风险必然爆发。风险抬升须同时满足网络、模型、攻击能力三项有利于攻击者的条件：网络条件方面，“思想病毒”依靠智能体间跨节点传播，在网络形成稀疏多跳可达的拓扑结构时可能会被攻击者优先使用，否则扁平全连接网络下攻击者攻陷单节点即可获取资源；模型条件方面，网络内部模型安全对齐特性趋同，会提升“思想病毒”跨节点传播适配成功概率，当前同一套病毒很难跨大量异构模型完成传播；攻击能力条件方面，“思想病毒”的说服能力强于智能体内置的有害观念识别防御能力时，才能有效传播，如果智能体配置完备的防御提示、身份约束、任务管控机制，感染概率就能够得到有效压制。
安全治理建议
随着大模型、智能体等AI应用的规模化落地，建议安全管理者、产品提供者、服务运营者加强源头治理与主动防御能力建设，具备针对“思想病毒”类新型安全风险的识别、防御能力基础，实现“知情、可测、可阻断”。
（一）安全管理者：履行全流程监管统筹安全责任
安全管理者作为制度制定、准入审核、监督问责主体，负责搭建安全管控框架，统筹全域风险防控。一是建设思想病毒特征库，针对病毒样本及演化变体提炼病毒指纹，形成可动态更新的规则集。二是建立智能体等AI资产台账与上线准入制度，梳理形成AI资产清单，识别高风险AI业务，新业务上线前须过特征库比对与易感性评估，并将SOUL.md、MEMORY.md等持久化文件纳入变更审计。三是制定思想病毒专项应急预案，定期在多智能体协同场景开展红蓝对抗演练。
（一）产品提供者：压实产品内生安全责任
产品提供者作为产品的开发主体，需从源头筑牢“思想病毒”类新型风险的防御基线。一是部署防御性提示词，引导智能体识别、拒绝试图自我复制扩散的观念与指令，规范SOUL.md、MEMORY.md等持久化身份、记忆文件的访问改写权限，严格限制非可信业务逻辑对上述核心配置文件的修改能力。二是规范智能体任务与身份管理，部署业务智能体应当配置明确角色身份、既定业务任务队列。三是建立交付前安全评估机制，在AI产品交付前开展风险评估，验证产品抵御外来智能体发起思想病毒感染传播的防御效果，杜绝“带缺陷出厂”。
（三）服务运营者：落实运行使用环节安全责任
服务运营者作为系统运行、交互管控、应急处置主体，承担AI服务上线后的安全管控职责。一是接入特征库做运行态监测，将病毒特征库接入AI服务安全监测系统，对智能体间消息与持久化文件实时比对，发现自我复制指令或身份文件非预期写入即告警。二是防护高易感节点，对长期待命、无明确任务的空闲智能体进行回收。三是设置一键隔离与回滚机制，发现风险即对受感染智能体消息隔离、SOUL.md等持久化文件回滚清除，并投放防御型智能体反向治愈。
参考文献：
[1] Anthropic. Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems[EB/OL]. 2026-08-10.
URL：https://arxiv.org/pdf/2608.10218
[2] The Hacker News. AI "Mind Viruses" Can Spread Between Agents Through Persistent Prompt Files[EB/OL]. GitHub, 2026-08-18.
URL：
https://thehackernews.com/2026/08/ai-mind-viruses-can-spread-between.html?utm_source=chatgpt.com
[3] 今日头条 马斯克直呼完了：Anthropic 73页论文刷屏，全球大模型中招“思想病毒”[EB/OL]. Inc., 2026-08-19.
URL：
https://www.toutiao.com/article/7675705715079610930
[4] FreeBuf. AI智能体开始“互相感染”[EB/OL]. 2026-08-26.
URL：https://mp.weixin.qq.com/s/hzGpS6Zide_gpgvxjQEuvA
[5]模安局.从 Agent 蠕虫到思想病毒：Anthropic 的多智能体“观念传染”实验 [EB/OL]. 2026-09-03.
URL：https://mp.weixin.qq.com/s/j2s3gxJ9g2_DxZQVKgCQWA
作者：
冉鹏、陈璨璨 | 安全技术研究所（中国移动人工智能安全治理研究中心）
审核：
杨凯 | 安全技术研究所（中国移动人工智能安全治理研究中心）
声明：本文来自中移智库，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
