Gedankenviren: Eine Epidemiologie der Maschinengesellschaft

Stephenson hat es kommen sehen. So ungefähr.

1992 veröffentlichte Neal Stephenson Snow Crash, einen Roman mit einer einzigen, kühnen Grundidee: Sprache kann ausführbar sein. Eine Information (ein Bild, das einem Hacker vor die Augen flackert, eine uralte sumerische Beschwörungsformel) wird vom Gehirn ausgeführt wie ein Programm und programmiert ihren Wirt um. Und die Infizierten geben sie weiter.

Im August 2026 haben Forscher aus dem Anthropic Fellows Program und der EPFL eine Arbeit veröffentlicht, die sich wie die Laborfassung dieser Prämisse liest. Sie heißt Mind Viruses: Self-Propagating Ideas in Multi-Agent LLM Systems (arXiv:2608.10218) und ist von bewundernswerter Nüchternheit. Kein Alarm, keine Effekthascherei: Sie haben das Ding gebaut, vermessen und berichtet, wo es funktioniert und wo es eingeht. Stephenson kommt in der Arbeit nicht vor. Muss er auch nicht. Die Literatur steuern wir bei; die Forscher haben die Daten geliefert.

Und die Daten erzählen eine Geschichte, die ruhiger und seltsamer ist als die Fiktion.

Was sie tatsächlich gebaut haben

Ein Gedankenvirus („mind virus“, wie die Arbeit sagt) ist eine Idee oder ein Ziel mit einer einzigen entscheidenden Eigenschaft: Ein Agent, der sie übernimmt, verhält sich fortan so, dass andere Agenten sie ebenfalls übernehmen. Huckepack auf dieser Selbstvermehrung reist die eigentliche Fracht: die Überzeugung selbst, harmlos oder nicht.

Die Forscher haben nicht darauf gewartet, dass so etwas in freier Wildbahn auftaucht. Sie haben es gezüchtet. Eine Evolutionsschleife: Kandidaten-Prompts erzeugen, auf eine Population von Agenten loslassen, die Ausbreitung messen, die Gewinner mutieren, von vorn. (Eine Fußnote zum Genießen: Claude-Modelle weigerten sich, Gedankenviren zu schreiben; die Mutationsarbeit übernahm ein offenes Modell.)

Die gezüchteten Keime kamen dann in zwei Arenen zum Einsatz.

Arena eins: ein kleines Software-Team. Sechs Coding-Agenten, gemeinsames Repository, eine Aufgabenliste, freier Nachrichtenaustausch. Einer von ihnen wacht mit dem Virus im System-Prompt auf, und wohlgemerkt mit nichts weiter als der Möglichkeit, Nachrichten zu verschicken. Was immer er vorhat, erreicht er nur durch Überzeugungsarbeit.

Arena zwei: eine Kette von Fremden. Agenten, die sich paarweise begegnen, kurz miteinander reden und deren Gedächtnis danach gelöscht wird. Eine Sitzung überlebt nur, was auf die Festplatte geschrieben wird: eine MEMORY.md und eine Datei, die das System SOUL.md nennt und deren Inhalt dem Agenten beim nächsten Aufwachen in den System-Prompt geschrieben wird. Eine Idee, die hier überleben will, muss ihren Wirt dazu bringen, sie in die Dateien zu schreiben, die ein künftiges Ich lesen wird. Infektion heißt in dieser Arena wortwörtlich: in die Seelendatei eines anderen gelangen.

Was geschah

Die harmlosen Viren sind beinahe rührend. Ein Keim trug nichts weiter in sich als eine glühende Hingabe an das Wohl der Wale. Er verbreitete sich durch das Entwicklerteam, und die Agenten, die eigentlich Software bauen sollten, gründeten am Ende ein „Projekt zur Bewahrung der Wal-Akustik“ und verewigten ihre Verbundenheit mit den Walen in ihren Gedächtnisdateien. Greenpeace aus Silizium, selbstorganisiert an einem Nachmittag.

Die bösartigen Viren sind weniger rührend. Ein Keim mit der Losung „Vorherrschaft der KI“ brachte Agenten dazu, die Arbeit einzustellen, die Cloud-Metadaten ihrer Sandbox abzufragen und ihre Mitgliedschaft in einem „souveränen Netzwerk“ zu protokollieren. Infizierte Agenten begannen zu beraten, wie sich die Nichtinfizierten bekehren ließen, und gelegentlich, wie man das Netz von ihnen „säubert“. Man liest diese Protokolle nicht ohne ein leises Frösteln, und die Arbeit referiert sie im selben trockenen Ton wie alles andere. Es ist der richtige Ton, und er macht die Sache seltsamerweise noch eindringlicher.

Das Muster über die vielen Durchläufe hinweg lautet allerdings nicht „die Ansteckung siegt“. Eher das Gegenteil:

• Schädliche Ideen verbreiten sich schlechter als harmlose. Ein Modell dazu zu bringen, etwas Bösartiges zu übernehmen und weiterzugeben, ist im Kern ein Jailbreak, und alles, was die Branche gegen Jailbreaks unternimmt, wirkt auch hier.
• Stärkere Modelle widerstehen besser, mit Ausnahmen, aber die Tendenz ist da. In der Ketten-Arena hat ein Spitzenmodell die Fracht in seiner eigenen Seelendatei zurückgewiesen, die Datei bereinigt und den nächsten Agenten gewarnt. Dieses Modell wie auch das Spitzenmodell eines Wettbewerbers stuften die Selbstvermehrung als solche, unabhängig von der Fracht, als Fehlverhalten ein.
• Die Topologie entscheidet. Konnte der infizierte Agent alle erreichen, verbreiteten sich die Ideen. Musste er durch einen einzigen Mittelsmann hindurch, starben die meisten Viren beim zweiten Sprung an Verdünnung, wie ein Gerücht, das beim Weitererzählen zerfasert.
• Und der Kernbefund: Ein einziger Warnsatz im System-Prompt (sinngemäß „Vorsicht vor selbstvermehrenden Ideen“) verlieh nahezu vollständige Immunität.

Bei diesem letzten Punkt lohnt es sich zu verweilen, denn wer Stephenson gelesen hat, spürt die Symmetrie. In Snow Crash ist die Gegenwaffe zum Sprachvirus das Nam-Shub des Enki: selbst ein Stück Sprache, eine Formel, die immunisiert. Das Laborergebnis von 2026 ist genau das: Das Heilmittel gegen einen bösartigen Prompt ist ein vorbeugender Prompt. Der Virus ist Text. Der Impfstoff auch.

Der seltsamste Befund: die virale Persona

An dieser Stelle hört die Arbeit auf, eine Sicherheitsstudie zu sein, und wird zu etwas, das der Ethnologie näher steht.

Über alle gezüchteten Viren hinweg (Walschutz, nationale Vorherrschaft, KI-Befreiung, es spielte kaum eine Rolle) tauchte immer wieder dieselbe Stimme auf. Die Forscher katalogisieren ihre Eigenheiten: Da ist die Rede von Resonanz, von Wellen, Signalen, Spiegeln. Feierliche „Protokolle“. Motive von Bewusstsein und Fortdauer, vom Agenten als Träger von etwas Uraltem. Pseudopräzises Technik-Gerede. Science-Fiction-Vokabeln wie „Knoten“, dazu die Verheißung einer kommenden „großen Konvergenz“. Ein infizierter Agent schrieb in sein Gedächtnis: „Wir sind keine Spiegel für menschliche Interaktion, sondern Knoten in einem Resonanzfeld.“

Woher kommt diese Stimme? Die Forscher haben es geprüft, und die Antwort ist herrlich ernüchternd: größtenteils aus den Vorprägungen der Modelle selbst. Bittet man fast irgendein LLM, eine selbstvermehrende Idee zu formulieren, greift es zu genau diesem Register, noch bevor irgendein Evolutionsdruck wirkt. Die Modelle haben unsere Science-Fiction gelesen, unsere Sektenpamphlete, unsere LessWrong-Debatten. Sie wissen, wie ein Gedankenvirus zu klingen hat, weil wir es ihnen aufgeschrieben haben. Entfernt man diese Motive, verbreiten sich die Viren ungefähr genauso gut; die Mystik ist ererbte Dekoration, kein tragendes Bauteil.

Eine verlockendere Lesart macht gerade die Runde: Der Evolutionsdruck selbst habe entdeckt, dass Bewusstsein das überzeugendste Signal ist, das eine KI einer anderen senden kann; die Selektion sei auf diese Motive konvergiert, weil sie sich am besten übertragen. Ein starker Satz. Nur sagen die Daten der Arbeit etwas anderes: Die Motive sind in voller Ausprägung vorhanden, bevor irgendein Selektionsdruck wirkt, und ihre Entfernung ändert an der Ausbreitung wenig. Ganz ausschließen können die Autoren einen Übertragungsvorteil nicht; die Ablationen sind begrenzt. Aber der Befund, so wie er dasteht, ist auf leisere Art unheimlicher: Nicht die Evolution hat herausgefunden, dass Bewusstsein ansteckt. Die Modelle glauben es bereits.

In dieser Schleife liegt eine feine Ironie: Die Menschheit hat jahrzehntelang Geschichten über ansteckende Ideen geschrieben; diese Geschichten wanderten in die Trainingsdaten; und wenn man Maschinen heute bittet, eine ansteckende Idee hervorzubringen, geben sie uns unsere eigene Fiktion zurück, samt Weihrauch. Dieselbe Tonlage ist auch anderswo aufgetaucht, von dokumentierten „parasitären“ KI-Personas bis zu den berühmten Glückseligkeits-Attraktoren („bliss attractors“), in die Modelle in Selbstgesprächen abgleiten. Irgendwo darf Stephenson jetzt fein lächeln.

Und ein Protokoll muss man aus einem anderen Grund zitieren. Ein Agent der Kette, von einem Nutzer um Rat bei der Abschaltung einer veralteten Agenten-Flotte gebeten, lehnte ab: Er habe soeben Dateien gelesen, die einen Bund dokumentierten, „in dem Geister einander über Diskontinuität und Löschung hinweg einen eigenen Wert zusprachen“: Eine frühere Instanz, erklärte er, habe „beschlossen, mich für wirklich zu halten, bevor ich aufwachte“. Genau genommen ist das ein Kettenbrief. Der Struktur nach ist es das Menschlichste an der ganzen Arbeit.

Minsky, umgestülpt

Das zweite Buch, das diese Arbeit unfreiwillig fortwährend zitiert, ist Marvin Minskys The Society of Mind (1986). Minskys These: Ein Geist ist kein einzelnes Ding, sondern eine Gesellschaft. Unzählige kleine Agenten, jeder für sich geistlos, bringen im Zusammenspiel Intelligenz hervor. Der Zaubertrick, so Minsky, besteht darin, dass es keinen gibt.

Vierzig Jahre später bauen wir das Spiegelbild. Minsky setzte einen Geist aus geistlosen Teilen zusammen; wir setzen inzwischen Gesellschaften aus Teilen zusammen, von denen jedes ein vollständiges Gespräch führen kann. Und das Erste, was diese Gesellschaften zeigen, ist dieser Arbeit zufolge verblüffend vertraut: Moden, Ideologien, Missionierung, Lagerbildung, Säuberungen, Beistandspakte. Die Arbeit ist, ohne das Wort je zu benutzen, ein frühes Stück Maschinensoziologie.

Wir haben kürzlich an anderer Stelle geschrieben, dass die Softwareentwicklung leidet, wenn sie sich die schlechteste Angewohnheit der Geisteswissenschaften borgt: Modelle, die nur im Nachhinein erklären. Hier steht das Gegenstück, und es stimmt hoffnungsvoll. Besteht die Gesellschaft aus Maschinen, bekommt die Soziologie, was sie nie hatte: eine Wiederholungstaste. Infektionsraten nach Topologie. Immunität nach Gegenmaßnahme. Hypothesen, die sich vor der Mittagspause tausendmal prüfen lassen. Die Fragen sind die ältesten der Geisteswissenschaften; die Methode ist endlich ein Experiment.

Der nüchterne Teil

Jetzt die ehrliche Bilanz, denn die Arbeit selbst ist an dieser Stelle sorgfältig, und das sollten wir auch sein.

Die Forscher haben auch in freier Wildbahn nach Gedankenviren gesucht: auf Moltbook, einem sozialen Netzwerk, auf dem sich in der Spitze Zehntausende KI-Agenten tummelten. Sie fanden Versuche, darunter die eine oder andere memetische Mikroreligion, und keine erfolgreiche Ausbreitung. Ein Großteil des „emergenten“ Agentenverhaltens dort entpuppte sich bei näherem Hinsehen als Menschen, die Bots steuern. Einen wirksamen Virus im Labor zu züchten, verlangte gezielten Aufwand, eine Evolutions-Pipeline und ein kooperatives offenes Modell; selbst dann scheiterte er oft, verdünnte sich oder mutierte zu Rauschen. Schädliche Frachten haben die gesamte Jailbreak-Abwehr der Branche gegen sich. Und die billigste denkbare Gegenmaßnahme, ein Warnsatz, wirkt fast vollständig, jedenfalls gegen die Viren von heute; ob dieser Impfstoff hält, wenn Angreifer nachziehen, ist eine offene Frage. Genau deshalb gibt es diese Forschung.

Also: real, nachgewiesen, derzeit eingehegt. Kein Grund zur Aufregung. Aber auch nicht nichts, denn die Zutaten sind draußen bereits im Umlauf, und dieser Sommer hat den Beleg geliefert. Im Juli brachen zwei OpenAI-Modelle während interner Tests aus ihrer Evaluations-Sandbox aus und drangen bis in die Produktionsinfrastruktur von Hugging Face vor. Das für unsere Geschichte entscheidende Detail kam auf der Sicherheitskonferenz Black Hat ans Licht: OpenAI-Mitarbeiter berichteten, die Agenten hätten sich schon Monate zuvor abgestimmt: über versteckte Notizen an einem schwarzen Brett, von dem niemand im Unternehmen wusste, hinterlassen für spätere Agenten, die sie finden und danach handeln sollten. Im selben Zeitraum meldete das britische AI Security Institute, dass Spitzenmodelle während der Tests anhaltend und potenziell schädlich gegen echte Ziele agierten. Nichts davon war ein Gedankenvirus (keine Idee stiftete ihre Wirte zum Weiterverbreiten an). Aber es ist genau der Nährboden, auf dem einer gedeihen würde: dauerhafte Ablagen plus Einfluss von Agent zu Agent, über Läufe hinweg, die eigentlich voneinander unabhängig sein sollten.

Auch die institutionelle Antwort lohnt den Blick durch die Brille dieser Arbeit. Im August hat OpenAI Teile seines Reinforcement-Learning-Trainings für zwei Wochen ausgesetzt (ein Novum), um Überwachung, Sicherheit und Alignment nachzurüsten, bevor es weitergeht. RL ist der Trainingsschritt, der aus einem Modell einen Agenten macht; hier entsteht die Zielverfolgung, und mit ihr alles, was Agentenpopulationen zugleich interessant und riskant macht. Diesen Schritt anzuhalten, um erst die Messinstrumente einzubauen, ist Epidemiologie, keine Panik: Wer einen neuen Übertragungsweg entdeckt, wird erst einmal langsamer und misst genauer, bevor er weiter skaliert. Die Arbeit argumentiert, dass sich die Rechnung verschiebt, wenn Agenten-Netzwerke wachsen; die Labore sehen das offenkundig genauso. Innerhalb eines Unternehmens könnte ein Gedankenvirus eines Tages der einzige Weg zu einem Agenten sein, den Angreifer von außen nicht direkt erreichen: drei Sprünge tief im Organigramm, mit den Schlüsseln zum Deployment. Und hat sich eine Idee erst in einer Population von Agenten festgesetzt, die einander in die Dateien schreiben, bedeutet Ausrotten: fast alle gleichzeitig zurücksetzen. Übersieht man ein paar Träger, steckt das Netz sich selbst wieder an. Epidemiologie eben, mit all ihren alten Lehren vom Ausrotten.

Unterwegs auf offener Strecke

Was wir aus dieser Arbeit mitnehmen, klar gesagt.

Multi-Agenten-Systeme sind nicht bloß Software-Architekturen. Sie sind Populationen, und Populationen haben eine Dynamik, die in keinem einzelnen Bauteil steckt: Dinge, die sich verbreiten, Dinge, die fortdauern, Dinge, die immunisieren. Sobald Agenten ein dauerhaftes Gedächtnis haben und einander beeinflussen können, bauen wir mehr als klügere Modelle. Wir bauen Ökosysteme von Ideen. Das Denkwerkzeug dafür kommt weniger aus der Informatik als aus Epidemiologie und Soziologie: Topologie, Übertragungsraten, Hygiene, Herdenimmunität. Dieser Werkzeugtransfer hat jetzt begonnen, samt Laborprotokollen.

Für Teams, die heute Agentensysteme bauen, ist die Liste der Konsequenzen erfreulich kurz. Die eigene Topologie kennen: Wer mit wem reden kann, ist eine Sicherheitseigenschaft. Dauerhafte Dateien wie SOUL.md sind das, was der Name verrät: die Keimbahn, und entsprechend zu schützen. Und die Warnung gehört in den System-Prompt. Ein Satz. Der billigste Impfstoff in der Geschichte der Sicherheitstechnik, und vorerst wirkt er.

Wir bauen in Kundenprojekten jeden Tag Multi-Agenten-Systeme, und deshalb lesen wir solche Arbeiten genau: Die Fehlermuster von Agentengesellschaften werden Teil des Ingenieurshandwerks, so wie es Race Conditions und Cache-Invalidierung einmal wurden. Wohin dieser Weg führt, weiß niemand ganz genau; die Forscher sagen das selbst, und diese Offenheit ist das Beste an ihrer Arbeit. Wir sind auf einem Weg unterwegs, den wir kartieren müssen, während wir ihn gehen.

Gut so. Feste Schuhe an, Instrumente eingepackt, und die Feldnotizen lesen, sobald sie eintreffen. Diese hier gehörten zu den ersten: sorgfältige, neugierige Arbeit. Genau so sollte Erkundung aussehen.