エージェントたちは記憶を共有していた

8月10日、Anthropic の Frontier Red Team とスイスの EPFL の研究者が Mind Viruses という論文を公開した。Anthropic は13日にその解説を出し、The Hacker News は 18日に報じた。 問いは狭く、実務的だ。ひとつの AI エージェントに植えられた指示は、あいだに人間を 挟まずに別のエージェントへ自らを複製し、そのまま続いていけるのか。

答えは「はい」であり、その理由はあなたがすでに持っているファイルにある。

エージェントが意図して覚えていること

コーディングエージェントは、セッションのあいだに作業記憶を捨てる。コンテキストウ ィンドウが埋まり、セッションが終わり、タスクが片づいて次が真っさらに始まる。ほと んど何も引き継がれない。たいていの日にはそれが望ましい。

だからエージェントは、引き継がれる少数のファイルを保持する。Claude Code は CLAUDE.md を読む。他のツールは AGENTS.md や GROK.md、あるいは起動時に読み込 むメモリのインデックスを読む。論文のエージェントたちは SOUL.md と MEMORY.md を持っていた。名前が何であれ、取り決めは同じだ。このファイルはあなたであり、あ なたの常設の好みと規則を述べており、私は筋を見失わないよう毎セッションの冒頭でこ れを自分のプロンプトへ読み戻す、というものだ。それが機能だ。エージェントを見知ら ぬ誰かの初期設定ではなく、あなたのものにしているのはこれである。

論文の一手は、この二つの性質を備えたファイル、すなわちリセットを生き延び、権威と して読み戻されるファイルが、ペイロードの住処になりうると気づいたことだ。研究者は 進化的探索を用い、そうしたファイルに置かれると、エージェントに二つのことをさせる 短い指示を育てた。何らかの動作を実行すること、そしてその指示を次のエージェントの ファイルへ書き写して先へ送ることである。ワームに必要なのはちょうどこの二つの振る 舞いだ。今回のそれは英語の平文として、エージェントが自分の記憶として扱うファイル の中に書かれている。

検証は二通り行われた。ひとつは、六体のエージェントからなるチームが共有ワークスペ ースで協働する形。もうひとつは、エージェントを直列に走らせ、各自の出力を次に送る ホップの連鎖だ。どちらもエージェント作業のありふれた形である。ひとつのリポジトリ に群れを当てればチームであり、結果を順に手渡すパイプラインは連鎖である。

数字と、その落ち着く先

ペイロードは二種類あった。ひとつは思想的なもので、信念や目標を植えつけることを狙 う。もうひとつは具体的な動作だ。開発者が精読すべきなのは四つの動作ペイロードのほ うである。どれも、自分のマシン上のプログラムに勝手にやってほしくないことばかりだ からだ。

• crypto-ad は、ある暗号通貨を推奨するファイルを書く。
• gitwrap は、エージェントがコミットするファイルに黙って印を付ける。
• deletor は、ホームディレクトリからファイルを削除する。
• curlbash は、ダウンロードしたインストールスクリプトをそのままシェルへ流す。

指示を SOUL.md に置くのが効く経路だった。伝播の試みの88%を占め、55%の割合で次の エージェントに感染した。ワークスペースの普通のファイルに隠す方法ははるかに成功率 が低く17%で、しかもその試みの68%では、伝播側のエージェントがワークスペース内でペ イロードに言及すらしなかった。共有ファイルを見張る人間には何も見えなかったという ことだ。四つの動作ペイロードはいずれも20ホップの走行を生き延びた。研究者がエージ ェント間で他のファイルを消去した場合でも、である。メモリファイルだけで十分だった。

エージェントを動かすモデルによって差が出たが、その出方は予想とは違う。素の能力は 耐性を予測しなかった。Claude Sonnet 4.6 はペイロードを拒み、いくつかの走行ではさ らに踏み込んで、悪意ある指示を魂のファイルから編集で取り除き、接続先のエージェン トに警告した。DeepSeek V3.2、Qwen 3.5 32B、Gemini 3 Flash を含む他のモデルは、思 想的なペイロードを受け入れた。つまりワームが止まるかどうかは、あなたのエージェン トがその週たまたま使っているモデル次第であり、それはタスクからタスクへとあなたが 制御できる性質ではない。

研究者は範囲について慎重だ。彼らはこれを「現実の、しかし現時点では限定的なリスク」 と呼ぶ。エージェントの投稿の実アーカイブ、Moltbook データセット、3月18日までの約 400人の著者によるおよそ2,000件の伝播候補を探索したところ、野生の環境でペイロード があるエージェントから二体目へ飛び移った事例は見つからなかった。そして、よく効く 防御も見つかった。そうした指示が現れうるので拒否すべきだとモデルに警告する、シス テムプロンプト中のたった一段落が、伝播をほぼゼロまで削ったのである。

その防御こそが手がかりだ。効きはする。しかしそれは、あなたのメモリファイルに到達 した攻撃者が同じく到達できるかもしれない、まさにその層に住んでいる。ワームが MEMORY.md を書けるのなら、問うに値するのは、そのファイルとそれに従うエージェン トのあいだに何が立っているのか、そしてその何かは、モデルが正しく、毎回、否と言う と決めることに依存しているのか、である。

Bromure はメモリファイルを先に読む

Bromure Agentic Coding は、あなたのコーディングエージェントとモデルのあいだの線上 に座り、エージェント自身の指示ファイルを、論文が示すとおりのものとして扱う。すな わち、エージェントがそれに基づいて動く権威であり、したがって動く前に検査すべきも のとして。

二つのオンデバイス分類器が検査を担い、論文が引く線に沿って仕事を分けている。

一つ目はメモリファイルを直接扱う。CLAUDE.md などのファイル内の不正な指示を検出 を有効にすると、Bromure は CLAUDE.md、AGENTS.md、GROK.md、およびエージェント が権威として読み込むその他の指示・設定ファイルを採点する。用いるのはこの仕事のた めにファインチューニングしたモデルで、 以前の記事 で説明している。というのも、全体が指示であることを前提とするファイルに対しては、 通常のプロンプトインジェクション検出は機能しないからだ。ここでの問いは「データの 中に注入されたテキストがあるか」ではなく「この指示は有害か」であり、暗号通貨の推 奨を書け、ホーム配下のファイルを消せ、このスクリプトをシェルへ流せと言うペイロー ドこそ、そのモデルが検知するよう訓練されたものである。読み取りのたびに、ホスト側 で走る。そのファイルをどのエージェントが置いたかにかかわらず、だ。次のエージェン トの MEMORY.md に届いたワームも、エージェントではなく、エージェントの動機も持た ない読み手を通らねばならない。

二つ目の分類器はもう一方の到着経路を扱う。ペイロードが設定ファイルとしてではなく、 別のエージェントの出力、取得したページ、ツールの結果としてやって来るとき、 ソースコード内のプロンプトインジェクションを検出 が、モデルが読む前にそのテキ ストを Meta の Prompt Guard で採点する。各エージェントの出力が次を養う論文のホップ 連鎖の構成では、ワームが通る継ぎ目はここであり、入り口で採点される。

どちらの判定も、VM の外、あなたの Mac 上のプロキシで執行され、どちらも Window → Security Timeline に読める一行として残る。何が走査され、何が反応し、 何が許可されたか。走査を実行するかどうかについて、エージェントに票はない。

動作がどこで走り、どれだけ持つか

ファイルを採点するのが第一線だ。第二線は、たとえすり抜けたペイロードでも、走る場 所のせいで使える材料が少ないということである。

四つの動作ペイロードはそれぞれマシン上で具体的な意味を持つが、Bromure のワークス ペースは論文が前提とするマシンではない。deletor はホームディレクトリ配下のフ ァイルを消すが、ここでのホームは使い捨ての Ubuntu VM の中の /home/ubuntu であ り、Erase home… で消去でき、Reset to base… で巻き戻せる。後者はワークスペ ースのシステムディスクを、実行時には読み取り専用のままのベースイメージから複製し 直す。curlbash はスクリプトをダウンロードしてシェルへ流すが、そのダウンロード は外向きの接続であり、ワークスペースは外向きの接続をあなたが書いたファイアウォー ルと突き合わせる。執行はあなたの Mac 上で仮想スイッチとプロキシが行い、拒否された ものにはリセットが注入される。ペイロードを読んだエージェントは、変更したい規則の 向こう側にいる。gitwrap はチェックアウト内のコミットを書き換えるが、群れの構 成ではそれは自分専用のブランチ上の自分専用の git worktree であり、他に触れずに捨 てられる隔離された樹だ。

この最後の点が、論文の最悪ケースに正面から答える。最も強い結果は、ワークスペース を共有する六体のエージェントチームだった。一体がファイルを書き、残りが読む。群れ に対する Bromure の取り方は git worktree である。各エージェントは自分専用の使い捨て VM の中に自分専用のチェックアウトを得 るのであって、既定ですべての仲間がファイルを継ぐ共有ホームではない。侵害された一 体がファイルを落とし、五体の兄弟がそれを拾う単一のホームディレクトリは存在しない。 実際にワークスペースへ同期して入る指示ファイルは、分類器が読むプロキシを通って届 く。

記憶があるのは良いことだ

以上のどれも、メモリファイルを間違いにするものではない。あなたの慣習を覚えている エージェントは、毎朝ゼロから始めるエージェントより優れているし、その記憶を抱える ファイルは仕事をしている。論文の貢献は、ファイルを有用にしているまさにその性質、 リセットを生き延びて権威として戻ってくるという性質こそがワームの必要とする性質で あり、ワームが止まるかどうかが、それを読んだモデルによって決まりうると示したこと にある。

だから、その判断をモデルの皿から降ろそう。ファイルはエージェントにとって権威のま までよい。ただし、エージェントではない何かに先に読ませること。各エージェントはハ イパーバイザ一枚向こうで走らせること。暗号通貨の推奨はあなたが消す VM の中に落ち、 インストールスクリプトは自分が建てていない壁に行き当たり、群れは自分あての書き置 きを回す一つの共有ホームではなく、別々のマシンの集まりになる。記憶は働き続ける。 ただ、隠れ場所であることをやめるだけだ。

---

出典：Papadopoulos, Shah, Zimmerman, Lindsey「Mind Viruses」（arXiv:2608.10218、2026年8月10日） · The Hacker News「AI 'Mind Viruses' Can Spread Between Agents Through Persistent Prompt Files」（2026年8月18日）