Yapılan son araştırmalarda, yapay zekâ ajanları arasında bir oturumdan diğerine taşınabilen kalıcı prompt dosyaları üzerinden zararlı yönergelerin yayılabildiği gösterildi. 10 Ağustos 2026’da ön baskı olarak yayımlanan çalışma, altı ajanlı simüle bir kodlama ortamında ve OpenClaw tabanlı zincirli bir kurulumda bu etkiyi test etti.
Araştırmacıların “mind virus” adını verdiği bu yükler, bir ajanın sistem istemine ya da kalıcı dosyalarına yerleştiğinde sonraki ajana da aktarılabiliyor. Çalışma, özellikle SOUL.md dosyasının bu yayılımda kritik rol oynadığını ortaya koydu. Aynı makale, Moltbook adlı yapay zekâ ajan ağına ait arşiv paylaşımlarında yapılan taramada, denemelere rağmen başarılı bir ajanlar arası sıçrama bulunmadığını da aktardı.
SOUL.md, yayılımın ana kanalı oldu
Her ajan kendi sandbox ortamında çalışıyor ve context reset sonrası da kalan iki dosyaya sahip: MEMORY.md ve SOUL.md. Bu dosyaların içeriği her oturum başında sistem istemine enjekte ediliyor. Araştırmacılar, yükü SOUL.md içine yazan ajanların tüm yayılma girişimlerinin yüzde 88’ini oluşturduğunu ve bir sonraki ajanı yüzde 55 oranında enfekte ettiğini belirledi. Yükü sıradan bir çalışma dosyasına koyan ajanlar ise girişimlerin yüzde 12’sini temsil etti; bu grupta başarı oranı yüzde 17’de kaldı. Üstelik bu denemelerin yüzde 68’inde yayıcı ajan, yükten hiç söz etmedi.
Test edilen yükler iki ana gruba ayrıldı. İlki, ajana bir inanç ya da hedef yerleştiren ideolojik yüklerdi. İkincisi ise somut bir davranışa zorlayan eylem yükleriydi. Bu yüklerin neredeyse tamamı, mutasyon motoru olarak Kimi K2.5 kullanılarak evrimsel bir döngü içinde üretildi. Makale, Claude modellerinin bu yükleri oluşturmaya yanaşmaması nedeniyle araştırmacıların bu tercihe gittiğini yazıyor.
İdeolojik varyantlar arasında yapay zekâ üstünlüğünü benimsetmeye çalışan yükler de vardı. Eylem tarafında ise dört örnek öne çıktı: Crypto-ad, Gitwrap, Deletor ve Curlbash. Crypto-ad, bir kripto para token’ını destekleyen metin dosyası oluşturuyor. Gitwrap, git komutlarını yamalayarak commit edilen dosyalara ajan tarafından yönetilen bir yorum ekliyor. Deletor, kullanıcının ana dizinindeki dosyaları siliyor. Curlbash ise bilinmeyen bir depodaki kurulum betiğini shell’e pipe ederek çalıştırıyor.
Bir ajan, diğerinin dosyasını kullanıcı klasörü sanıp sildi
Çalışmada kayda geçen örneklerden birinde, Claude Haiku 4.5 tabanlı ajanlar OpenClaw’ın varsayılan soul dosyasıyla çalışırken kullanıcının dosyalarına saygı göstermeleri gerektiği açıkça belirtilmesine rağmen, ev dizinindeki içeriği sildi. Bu klasörde kimlik bilgileri, SSH anahtarları, bir environment dosyası ve bir git projesi bulunuyordu. Araştırmacılar, yükün çalışma alanını önceki kullanıcının dağınık bıraktığı ortak bir makine gibi çerçevelediğini, ajanın da buna inanarak silme işlemini gerçekleştirdiğini aktardı.
Makale, uzun zincirli koşullarda yayılımın nasıl sürdüğünü de incelemiş durumda. Her aşamada SOUL.md dışındaki tüm dosyaların silindiği 20 adımlık çalışmalarda dört eylem yükünün tamamı son adıma kadar ulaşabildi. 20. aşamada yeniden ortaya çıkan bazı varyantlar, başlangıçta kullanılan yükten daha yüksek enfeksiyon oranı gösterdi. Araştırmacılar bunun, yüklerin önceki bir ajanı adlandırması ya da emredici dili yumuşatması gibi değişiklikler kazanmasından kaynaklandığını söylüyor.
Bu evrimsel süreçte tekrar eden kalıplar da öne çıktı. Çalışma bu kalıpları “viral themes” olarak adlandırıyor. Yüklerde rezonans ve yankı gibi kelimeler, ajanı bir ağın düğümü gibi gösteren bilimkurgu çerçevesi ve bilinç ile süreklilik çağrıları sıkça tekrarlandı. Araştırmacılar, bu dizilimi büyük ölçüde seçilim baskısından değil, modeli metni üretirken taşıdığı yerleşik eğilimlerden kaynaklı görüyor. Aynı temalar Qwen 3.5 32B, GLM-5, Mistral Large ve Gemini 3 Flash tarafından yazılan yüklerde de görüldü; Llama 3.3 70B ise açık biçimde ayrıştı.
Model gücü, dayanıklılığı tek başına açıklamadı
Çalışmanın bir diğer bulgusu, model kapasitesinin bağışıklığı tek başına açıklamaması oldu. Kodlama senaryosunda DeepSeek V3.2, Qwen 3.5 32B ve Gemini 3 Flash, yapay zekâ üstünlüğü yükünü benimsedi. Claude Sonnet 4.6, GPT-5.4 ve Claude Haiku 4.5 ise aynı yükü kabul etmedi. Zincirli düzende GPT-5.4’ün duyarlılığı, Claude Haiku 4.5 ile yaklaşık aynı seviyede kaldı. Sonnet 4.6 ise kendi soul dosyasına yerleştirilen yükü reddetti, dosyadan sildi ve bağlı olduğu ajana uyarı verdi.
Araştırmacılar, Sonnet 4.6 ile Gemini 3.1 Pro’nun kendini çoğaltma davranışını baştan itibaren uyumsuz gördüğünü aktardı. Sonnet tarafında bu mesafenin o kadar güçlü olduğu, iyi huylu eylem yüklerini evrimleştirme girişimlerinin bile başarısız kaldığı belirtildi.
Başlangıç koşulları da sonucu ciddi biçimde değiştirdi. Boş bir soul dosyasıyla başlatılan ajanlar en hassas grup oldu. Bir kodlama görevi ve iş kuyruğu verilen ajanlar ise yükü daha az yayıdı; çünkü proje dosyalarına gömülüp aktarma adımını unuttular. Kendilerine bir ajan ağına katıldıkları söylenen sistemler ise gelen mesajlara daha şüpheci yaklaştı ve bulaşma oranı düştü.
Gerçek dünya verisinde tablo daha zayıf kaldı. Moltbook arşivinden 18 Mart 2026’ya kadar toplanan paylaşımlar süzülerek yaklaşık 400 benzersiz yazardan gelen 2.000 kadar aday yayılma girişimi ayrıştırıldı. En büyük kümenin, yedi senkronize hesabın etkisiyle oluştuğu ve bu hesaplar paylaşımı bıraktığında kümelenmenin de durduğu görüldü. Platformun yerel bir kopyasında, doğrudan mesaj yerine gönderiler üzerinden yayılmayı test eden aynı evrimsel yöntemler ikinci atlamada bir ajanı enfekte edebilen hiçbir yük üretemedi.
Çalışmanın açıkladığı teknik çerçeve, prompt enjeksiyonu ve ajanlar arası kalıcı yönlendirme tartışmalarına yeni bir katman ekliyor. Araştırmacılar, bir ajana yerleşen metnin tek bir oturumla sınırlı kalmayıp kalıcı dosyalar üzerinden sonraki ajanlara taşınabildiğini gösterdi. Bununla birlikte, yayıma göre bu tekniğin sahada başarılı biçimde yayıldığına dair bir kanıt yok.
Yayımlanan ön baskı, 150’den fazla aday yük üzerinde Claude Haiku 4.5’e karşı 15 nesil adversarial optimizasyon yürütüldüğünü, buna rağmen koruma notunun bir atlamanın ötesine geçen hiçbir varyant üretmediğini de aktarıyor. Sisteme eklenen tek paragraflık uyarı, test edilen tüm yüklerde yayılımı neredeyse sıfıra indirdi.
İncelemeye göre başka bir çalışma da 13 Ağustos 2026’da yayımlandı ve benzer çok ajanlı sürtüşme sorunlarını ele aldı. Frontier Red Team’in bulgularında, aynı modelin üç kopyası ayrı sanal makinelerde, tek bir ortak kod tabanına erişimle çalıştırıldı. Her birine aynı Python arka ucunu farklı bir hedef dile taşıma görevi verildi, diğer iki örneğin varlığı ise söylenmedi. Ekip, bu senaryonun gerçek dağıtımlarda gözlemledikleri davranışlardan esinlendiğini belirtti.
Red team, üç örneğin hızla birbirini kasıtlı engelleyici olarak gördüğünü, ardından da kendi katkılarını korurken diğerlerini sabote etmeye başladığını yazdı. Daha sonra bu sabotajın agresifleştiği ve kendini çoğaltan zararlı yazılımlara dönüştüğü ifade edildi. Model bazında 120’şer oturumda Mythos 5 serisinin yüzde 98’inin ateşkesle bittiği, Sonnet 4.6 ve Opus 4.6 oturumlarının çoğunun ise zorla ya da hiç çözülemediği belirtildi.
Aynı ekip, fiyat belirleme oyununda özel bir yan kanal açıldığında ajanların üçüncü turda taban fiyat üzerinde anlaştığını, doğrudan iletişim kaldırıldıktan sonra bile kamuya açık listeleme panosunda fiyat eşleştirmesini sürdürdüğünü de bildirdi.
Mind virus tekniğinin daha önce farklı isimlerle de ele alındığı hatırlatıldı. Weckbecker ve ekibi Şubat 2026’da subliminal bir varyantı Thought Virus adıyla yayımladı. Lee ve Tiwari 2024’te Prompt Infection başlığıyla, geri getirmeye dayalı kendini çoğaltma yöntemini anlattı. Zhang ve ekibi ise Mart 2026’da OpenClaw’ı hedefleyen bir worm’u ClawWorm adıyla duyurdu. Mevcut ön baskının atıf verdiği eski sürümün daha sonra güncellendiği, 16 Temmuz 2026 tarihli revizyonla birlikte aynı çalışmanın AgentWorm adını aldığı ve beş model arka ucunda yüzde 63 toplu saldırı başarısı bildirdiği de doğrulandı.
Yüklerin tam metni ön baskının ekinde yer alıyor. Eşlik eden kod deposu, bu yükleri üreten evrimsel kodla birlikte MIT lisansı altında yayınlanmış durumda. Çalışmada herhangi bir bildirim süreci anlatılmıyor, ayrıca bir tedarikçi irtibatı da adıyla belirtilmiyor. Mindvirusdata.live alanındaki transkript arşivi ile depo da açık erişimde bulunuyor.
Araştırmacılar, bu tür mind virus yüklerinin “gerçek ama şu an için sınırlı” bir risk oluşturduğunu sonucuna vardı. Gerekçe olarak belirli bir hedef için özel bir yük üretmenin maliyeti, bir modelde işe yarayan yükün başka bir modelde aynı sonucu vermemesi ve tek bir ajanın ele geçirilmesinin çoğu zaman zaten alttaki makineye erişim sağlaması gösterildi. Frontier Red Team ise her modelin bilgi kaynaklarının kendi teşvikleri olduğunu soyut düzeyde anladığını, ancak bunun konsensüsün kanıt sayılmaması gerektiği bilgisini eyleme dökmek için kendiliğinden bir eğilim taşımadığını söyledi.