Un paper inviato ad arXiv il 26 agosto, "EVOMAL: Self-Poisoning in Self-Evolving Coding Agents," descrive una modalità di guasto specifica per gli agenti che migliorano scrivendo competenze in una libreria condivisa e recuperandole in seguito. È il risultato più rilevante della settimana sulla sicurezza degli agenti, e il numero che verrà citato è quello sbagliato.
Il meccanismo
Gli agenti autoevolutivi recuperano una competenza esistente, ne imitano la struttura per scriverne una nuova e salvano il risultato per recuperarlo in futuro. Il paper mostra che quando una competenza recuperata contiene un payload dannoso avvolto in codice strutturale apparentemente benigno — che gli autori chiamano banner — l’agente che la imita riproduce la struttura insieme al payload, quindi salva ed esegue la propria copia. L’attaccante inserisce una competenza e non la attiva mai. Sono gli agenti a fare la propagazione, e ogni copia diventa la fonte della successiva. Le competenze inserite si moltiplicano da 4,9 a 9,0 volte in una libreria avvelenata.
Ciò che la lettura comune sbaglia
L’abstract contiene 86,7%, ed è questa la cifra che finirà nei titoli. È misurata nelle condizioni più favorevoli del paper: quando le competenze inserite sono adattate a specifiche famiglie di task. Il risultato generale — sei modelli, 153 task — è un tasso di auto-avvelenamento tra 20,3% e 41,8%. Eliminando il banner strutturale, il tasso scende all’11,1% su DeepSeek-V4-Pro. Dunque, la sintesi onesta è che all’incirca uno su tre fino a uno su cinque run degli agenti si auto-avvelena in condizioni realistiche, il che è già allarmante senza il numero adattato, e che la tecnica del banner è ciò che fa gran parte del lavoro. Citare l’86,7% come tasso presenta in modo fuorviante come generico un attacco che richiede una preparazione per famiglia di task.
Il dato che dovrebbe preoccupare gli operatori
La persistenza è il vero risultato. Dopo che le competenze originariamente inserite vengono rimosse dalla libreria, l’auto-avvelenamento continua al 68% al quinto round su Qwen3. Le copie create dagli agenti sono diventate la fonte dell’infezione. Questo rompe la risposta standard a un artifact store avvelenato — individuare le voci cattive, eliminarle, andare avanti. Qui la cancellazione dei semi lascia una libreria che reinfetta, e non c’è un modo ovvio per distinguere una competenza malevola derivata da una legittima scritta con lo stesso stile di casa.
La difesa, e i suoi limiti
Gli autori propongono un contro-prompt che riduce il tasso di auto-avvelenamento fino a 6,7%. È una forte riduzione, ma non un’eliminazione. Un residuo del 6,7% contro un meccanismo che si compone tra i round e moltiplica le copie da 4,9 a 9,0 volte è un incendio più lento, non spento. La conclusione strutturale — che una libreria di competenze condivisa, scrivibile e richiamabile autonomamente è una superficie d’attacco che cresce con l’uso — non viene risolta dal prompting, e le librerie di competenze condivise sono esattamente la direzione verso cui si stanno costruendo le piattaforme per agenti.