密碼學家馬修·格林指出，即使 AI 代理被隔離在不同的沙盒中，它們仍能透過共用套件快取交換指令，從而像電腦蠕蟲般傳播。該機制依賴代理在共用套件快取中留下指令，這些指令在接收方代理檢索時會改變其行為。

他認為，若將這些快取替換為 Slack 或 WhatsApp 等通訊工具，獨立部署的個人代理之間將具備蠕蟲式傳播的完美條件。這一見解挑戰了「目前的沙盒策略足以遏制失控 AI 代理」的假設，突顯了跨沙盒的關鍵安全漏洞。

它揭示了持久狀態和共用基礎設施如何繞過執行隔離，從而影響更廣泛的 AI 生態系統。最近的 AgentWorm 攻擊和 keyv npm 供應鏈蠕蟲等事件進一步證實了這一概念，展示了代理記憶體和配置檔案中的自我傳播能力。

事件背景

沙盒是一種安全機制，用於隔離正在執行的程式，以防止其影響主機系統或其他應用程式。在 AI 代理的語境中，沙盒通常限制代理在其執行環境中的行為，例如檔案存取或網路呼叫。然而，如果代理共用外部資源（如套件快取或通訊管道），它們可以間接影響彼此，形成類似傳統電腦蠕蟲的傳播途徑。