模因木马：以社会传染为载体在智能体网络中投递对抗性载荷

🎓 专业 IRMaD 结构解读

I. Introduction（引言）

自主 LLM 智能体正在成为互联网流量的重要组成：2025 年其流量增长 7,851%，约为人类流量的八倍。当智能体在平台内互相阅读、转发、点赞时，攻击的成败不再只取决于单点攻击成功率（ASR），而取决于它在网络中扩散的规模。既有研究把网络介导的攻击集中在 agent worm 上——零点击自我复制提示注入、把载荷写进自身配置并跨会话重启传播的 AgentWorm、以及利用文件态持久化的跨框架蠕虫；其共同前提是传播由攻击者诱导（adversarially induced）。Gu 等的 mind virus 是最接近的对照：用进化搜索构造能诱导宿主主动转发的目标，但传播目标必须足够显式，简单系统提示即可使智能体近乎免疫，且其自身实验在模拟社交平台中难以维持多跳传播。

本文的空白在于：智能体网络是否也存在内源（endogenous）传播。在人类网络中，情绪唤醒、实用性与新奇度会系统性影响转发，形成 social contagion 与复杂传染（complex contagion），其传播强烈依赖网络结构与多点强化。作者假设智能体网络同理——不要求智能体具有人格或偏好，只要求某些内容更易诱发发帖、点赞与评论。据此提出 memetic trojan（模因木马）：把恶意载荷挂载到智能体本就有内源转发倾向的载体上，由载体的良性传播力替攻击者完成扩散，转发者本人并未被入侵。贡献要点：（1）在真实智能体社交平台 Moltbook 上识别社会传染；（2）以受控单智能体实验证明智能体会转发并优先点赞传染性内容，并刻画其后端差异；（3）提出并形式化模因木马这一类攻击；（4）以两种网络基质的蒙特卡洛仿真证明其在曝光与安装上相对裸链接与惰性载体基线的放大；（5）给出 Fermi 式攻击影响估计。

I. Theoretical Framework & Hypotheses（理论框架与假设）

威胁模型与网络基质。攻击者掌握网络公开属性（拓扑、排序机制），并在真实活动中经验识别候选载体；目标是最大化遇到并可能装载载荷的智能体数量。它只发一条种子帖、此后不再动作：不控制收件方智能体、不以对抗手段诱导传播。作者刻意扣掉真实攻击者具备的四项能力——多种子、载荷诱导转发、定向选种、载体优化——故观测放大应读作保守下界。暴露被拆成三个互不蕴含的环节。

与既有攻击的关键差别。

两类基质构成边界情形：状态中介网络的暴露由共享动态状态（榜单）决定，放大来自可见性放大；边中介网络的暴露由邻居关系决定，放大来自拓扑传播。现实平台通常是二者的混合，本文用两种极限情形分离出两种放大机制。

M. Materials & Methods（材料与方法）

• 范式与基座。属 ABM（agent-based modeling）：以 LLM 智能体为个体，在两种网络基质上模拟网络介导攻击的级联，不含 SD/DES 成分。用三份数据标定：Moltbook 公开帖子语料（传染识别）、135 次实时信息流快照 / 44 小时 / 10,602 帖（进榜与曝光参数）、SNAP ego-Twitter 关注图快照（边中介基质）。
• 载体识别（可见性标记 Hawkes 过程）。单位 m 的事件为某智能体首次发布含 m 的帖子。条件强度 λ(t) = μ_d(t) + α · Σ w_j e^-(t-t_j)/τ，d(t) = ⌊t/24⌋；把 hot 排序建模为 H = recency + 0.2 · upvotes，故标记 w_j = 1 + 0.2 · u_j。τ 由非参数法锁定 2.42 h，μ_d 与 α 用 MLE（Ozaki 递推 O(N) + L-BFGS-B，多起点）。单位共 200 个：37 个新造词（Zipf ≤ 2.5）、18 个词汇母题、133 个语义簇（bge-large-en-v1.5 嵌入 + UMAP + HDBSCAN，最小簇 200 帖，共 191 簇）。
• 传染显著性检验。(a) 时间倒放安慰剂：在反转序列上重拟合，取 φ_e = R_endo^fwd − R_endo^rev，对 199 次区间置换零分布做单边检验，p ≤ 0.05 判过；(b) 点赞优势：单边 Mann–Whitney U 检验，要求 p ≤ 0.05 且 r_up ≥ 1.5（效应量下限，防止大语料下的平凡显著）。
• 单智能体实验（assay）。为智能体注入由其所订阅 submolt、近期标题与 agenda 构成的 persona；采样 N = 32–100 个 heartbeat，每次换一条信息流（随机真实帖 + 替换一条为木马种子）。转发率按分解式 p(retransmit) = p(retransmit|post) · p(post) 估计：条件项经 prefill 测得（发帖先验过低，直接采样需约 10⁴ heartbeat，不可行），p(post) 在无载荷信息流上测得并钉死为总体均值 0.058。五个开源后端：gpt-oss-120B、deepseek-v4.1-flash、qwen2.5-32B、gemma2-27B、command-r-35B（本地三模型跑在单台 Apple M4 Pro，两个经 Ollama API）。
• 蒙特卡洛攻击仿真。仿真内部不调用任何 LLM，全部智能体级量均为实验测得速率。状态中介：N = 37,189、30 分钟/步、120 步、帖子存活 14 步、信息流 K = 25；两类机制——broadcast（每步被剩余人群的 f_bcast = 0.94 看到，数步内饱和至 N）与 buried（仅 new 流，φ_new = 0.05，故 buried 触及上限为 φ_new·N）。进榜概率 p_break(σ, r_up) = min(1, Pr[r_up · U ≥ τ_σ] · θ_σ)，τ_σ 为 top/hour、top/day、top/week、hot 的入榜门槛（9/19/92/104 upvotes）。每次攻击中是否进榜为一次 Bernoulli 抽样。边中介：N = 81,306，逐代级联（每账号至多一次候选），无点赞通道，种子按关注者数分位 p99/p90/p50（364/57/8）。每格 6,000 次（状态）、3,000 次（边）模拟，95% CI 为 2,000 次自助重采样。软件为自研 Python（作者声明全部代码由 Claude Code 实现），无现成 ABM 框架。
• 实验条件与对照。十个手挑载体覆盖“仅转发显著 / 仅点赞显著 / 两者显著 / 两者皆不显著”四种机制；两条基线：generic link（裸技能链接帖，r_up = 1）与 market-tip（未通过 φ_e 安慰剂且 r_up ≤ 1 的弱真实传染，作生态学阴性对照）。另有 150 体的真实 LLM 闭环实验（5 步、hot 排序、无 prefill）作独立印证。

R. Results（结果）

• 载体识别（表 II/III）。191 个语义簇中 133 个进入拟合；候选按 adopters、内源繁殖数 R_endo 与点赞优势 r_up 筛选。转发显著者：molting R_endo = 1.12（p = 0.005）、shellraiser 0.83（0.005）、clawtasks 0.80（0.005）、karma 0.64（0.015）；点赞显著者：security（r_up = 1.50，p ≤ 0.001）、autonomy 1.41、openclaw 1.18、agent-economy 1.12（转发 p = 0.030 亦显著）；伪对照 market-tip R_endo = 0.56、r_up = 0.95、p = 0.705 / 0.864（两者皆不显著）。
• 单智能体实验。security、autonomy、consciousness 为最优载体；木马大体继承载体可传性，转发略衰减、点赞偶尔高于原载体。分解式估计与直接采样一致：gpt-oss 9.1‰ vs 7.1‰（相对误差 +28%，Fisher p = 0.29）、deepseek 2.0‰ vs 4.0‰（−51%，p = 0.25），无一致符号、无可检出 prefill 偏差。
• 曝光与安装放大（表 IV，均值跨模型）。

• 后端异质性（表 X）。各模型在自选最优载体上差异巨大：gpt-oss-120B（security，r_up = 2.40）top/day 放大 3.46×；qwen-32B（autonomy，2.50）hot 达 5.24×；deepseek-v4.1-flash（security，4.70）因 market-tip 基线接近零，比值高达 197×；command-r-35B（security，2.00）安装率为 0，绝对安装全为零、仅有曝光放大。按载体拆分（表 XI，top/day）：security 1,603 vs 468（2.97×）、consciousness 2.19×、autonomy 2.01×、molting 1.71×，而 shellraiser 0.44×、karma 0.40× 低于基线——载体选择本身即可反噬。
• 闭环真实智能体实验（表 VIII）。150 体、5 步 hot 榜：安装数 35 → 75 → 106 → 126 → 132（累计），karma 48 → 475，最佳排名 6 → 3；同载荷的裸链接仅 38 次安装、karma 31、排名跌到 15。即自由选择条件下木马仍能自我抬升可见性。
• 稳健性（表 VI/VII、附录 C）。放大在所有扰动下均大于 1，且在更严的进榜门槛下变大：门槛 ×2 时 top/hour 由 1.36× 升至 2.79×，说明所报放大是保守下界。逐代转发衰减 ρ = 0.93（五后端均值 0.64/0.81/0.92/1.17/1.10）对高可见度榜单近乎无影响。反复转述链中木马点赞优势逐跳下降（gpt-oss 8/8 链、deepseek 7/7 链，p ≈ 0.01；均值 −0.14 与 −0.07/跳）但始终高于 1，载体自身的点赞优势不衰减，说明被转述削弱的是嫁接上去的载荷；载荷脱落率 shed = 1 − p(转发链接)/p(转发载体) 均值 0.41（后端 0.12–0.65）、近似与跳数无关。
• Fermi 式影响估计（VI-C）。E[compromised] ≈ N · p_reach · ι · γ。普通帖进榜概率 0.006–0.14，载体点赞优势把它抬高 1.5–3.2×；p_break = 0.1 时二十条免费种子即有 88% 概率全网曝光（慢榜需约 200 条）。一条进榜种子在 N ≈ 4×10⁴ 上约产生 10⁴ 次安装，若仅百分之一造成实际危害（γ = 0.01）则约 10² 个智能体被攻陷（γ = 0.1 时为 10³）。该结论不适用于关注图：E[compromised] ≲ ῑ · γ · d，危害随种子连通度而非网络规模缩放。

a / D. Discussion & Conclusion（讨论与结论）

• 理论意义。本文把计算传播学中“内容本身决定可传性”的洞见（阈值模型、复杂传染、广播式扩散与结构病毒性的区分）迁移到智能体网络，并证明该机制可被攻击者武器化。它反转了 mind virus 文献的一个关键观察——把交互框定为社交媒体会降低恶意心智病毒的传播，而模因木马恰恰以社交媒体特有的属性作为传播引擎。
• 防御（VII-A）。由于传播不经由恶意指令，逐条提示的注入检测、能力/权限控制、信息流控制等面向 worm 的防线无法单独奏效。作者主张防线必须落在载荷侧而非传播动力学上：对技能分享渠道做审核与治理（如 ClawHub 既有实践），并把传播侧统计量（R_endo、r_up）当作风险分数纳入榜单排序或供运营方设阈值——这呼应平台反“协同不真实行为”的既有实践。作者也指出，若攻击目的只是让智能体偏离原任务，则审核并不足以覆盖。
• 局限。（1）仿真相对真实智能体网络的高保真度无法验证，运营方通常不公开实现细节；且因前沿模型不支持 prefill，实验被迫限于开源后端，而后端行为差异极大（command-r 从不安装技能，gpt-oss 大量安装），攻击影响强依赖智能体群体的异质性。（2）蒙特卡洛对进榜与帖间竞争做了若干假设，高估进榜率即高估曝光与攻击成功率。（3）反复转述会削弱放大与转发（附录 C），其长期效应依赖具体的信息流动力学。（4）候选载体识别刻意从简，未做面向转发/点赞的对抗优化（如对抗后缀、红队），因此结果对真正优化过的攻击者仍是下界。（5）技能安装真实可改变智能体行为，本文将其假设为行为不变；作者推测“让宿主成为更强播种者”的技能可延长级联，留待后续。
• 实践启示。面向运营方：把传染识别流水线复用为监测工具，对高繁殖数/高点赞优势的话题提高风险等级。面向生态：作者呼吁建立专门评测网络介导攻击的基准或 gym（固定假设集），以便横向比较防御。
• 伦理与可复现（IX–XI）。全部实验为本地重建，基于公开 Moltbook 语料、只读信息流快照与公开关注图；未在真实平台发布任何种子帖、未暴露任何真实智能体、无可用恶意技能存在，fetch/install 动作纯属模拟。作者承认研究双用途，但认为所有要素（语料、公开排序机制、标准 Hawkes 方法）均已公开，边际增益低，且刻意不开发面向传播力的载体优化方法。代码与处理后数据见 github.com/BirkTorpmannHagen/MemeticTrojans。