防范 AI 生物武器，真正需要的是一套“纵深防御”体系

AI 与生物安全的讨论，已经不只是“聊天机器人会不会回答危险的生物学问题”。更棘手的问题是：随着模型能力增强，它们是否会帮助一个专业能力有限的行为者，连续跨过多个门槛——检索相关研究、提出假设、迭代设计、排查实验问题，并将数字世界中的建议连接到现实生产环节。

这与聊天机器人能够自主制造病原体仍是两回事。生物危害依然需要材料、设备、实验室能力以及传播或投放条件。但如果科学模型在长链条推理和生物设计方面继续进步，原本零散、公开的知识就可能变得更具可操作性。一篇发表于 2026 年的工作论文认为，当代基础模型增加了其提供与生物武器开发相关指导的风险。33

从“单点拦截”转向纵深防御

现有资料呈现出的政策共识，并不是把希望寄托在某个拒答机制或某一家模型公司身上，而是在生物风险链条的不同位置设置多道防线：

• 模型层： 在部署前评估模型能力，开展生物安全红队测试，使用分类器和行为限制，监测滥用情况，并随着模型能力变化持续更新防护措施。
• 访问层： 将最强大的系统或敏感功能限制在经过审核的用户、机构和应用范围内。
• 生产层： 对合成 DNA 和 RNA 订单进行筛查，核验客户身份，并保留能够支持后续调查的记录。
• 检测层： 加强异常行为识别、生物监测、疾病监测和微生物法证能力。
• 响应与问责层： 提升诊断、医疗对策、应急准备、溯源、干预和威慑能力。

RAND 于 2026 年提出的纵深防御策略，沿这些环节确定了九项干预措施，并得出结论：没有任何单一安全措施能够阻止行为者利用 AI 协助制造生物武器。3639

这意味着，一次模型拒答即使被绕过或出现失误，合成订单筛查、可疑订单记录或公共卫生系统发出的异常信号，仍可能提供新的发现和阻止机会。

AI 公司正在模型层做什么？

前沿实验室目前公开展现出的路线，是将能力评估与受控部署结合起来：在保留科学研究合法用途的同时，限制那些可能实质性促进生物危害的帮助。

Anthropic 的公开模型文档提供了一个分级访问案例。该公司将 Claude Fable 5 描述为面向普遍使用的模型，将 Claude Mythos 5 描述为通过 Project Glasswing 限量提供的版本，并表示 Mythos 的访问权限仍仅面向少数经过审核的机构。495051

Anthropic 的发布材料称，Fable 5 和 Mythos 5 共享底层模型；但 Mythos 在部分领域取消了部分安全措施，并向受限范围内的网络防御者和基础设施提供商部署。5056 这种“双轨”模式体现出一种更广泛的治理思路：让经过防护的版本面向更广泛用户，同时只在受控环境中提供能力更强或限制更少的版本。

不过，现有资料并未独立证实原始问题中提到的几项更具体说法，包括 Fable 5 的内部测试曾让潜在生物武器开发者获得“显著提升”、将敏感生物学问题转交给“Opus 5”，以及 8 月将误报率降低约 85% 等。除非有 Anthropic 的主要安全报告或其他可以直接核验的文件支持，这些细节不应被视为已经确立的事实。

为什么合成 DNA 筛查是关键控制点？

模型安全措施主要约束 AI“说什么”，却不能直接控制用户获得设计、序列或其他生物学产物之后会做什么。因此，AI 公司高管也将注意力放到了现实生产链条上。

OpenAI、Anthropic、Google DeepMind 和 Microsoft AI 的负责人曾签署公开呼吁，敦促美国国会要求合成 DNA 和 RNA 供应商筛查订单、核验客户并保留相关记录。172223

这项建议针对的是一个现实中的物理“卡口”：即使危险请求绕过了模型限制，供应商仍有机会在交付材料前识别可疑订单。

记录制度还具有追溯作用。如果筛查未能发现异常，订单和序列数据可能帮助调查人员将相关活动与客户联系起来。这当然不能消除风险，但能在 AI 平台之外增加第二道防线。

监管机构和生物安全组织如何应对？

政策回应正从 AI 治理延伸到更广泛的生物防御。大西洋理事会下属的两党生物防御委员会，已将 AI 列为《生物防御阿波罗计划》的第 16 项技术优先事项。其议程同时覆盖进攻性风险和防御性机会，包括 AI 辅助疾病监测、诊断、医疗对策研发、微生物法证、模型评估、安全措施以及自适应核酸筛查。24

OpenAI 的生物防御计划则强调五个方向：为防御者提供可信访问权限，安全推进前沿生物学，建设更早期的预警系统，加强诊断、应急准备和响应，以及强化医疗对策和更广泛的生物安全生态。3

这些重点说明，生物安全机构正在把 AI 视为一种典型的“双重用途”技术。同样的能力既可以加速蛋白质研究、药物发现、诊断和医疗对策开发，也可能让危险的生物学推理更容易被获得。简单地封锁所有先进生物学研究，会牺牲有益工作；假设模型过滤器足以解决问题，则会留下现实生产和制度协作方面的漏洞。

为什么风险主要指向下一代模型？

当前公开聊天机器人可能给出不可靠或泛泛而谈的信息，也可能拒绝危险请求。这些限制很重要，但不能被当作长期安全战略。随着模型具备以下能力，风险可能上升：

• 综合生物学和化学领域的专业文献；
• 处理持续时间更长、步骤更多的研究任务；
• 生成、比较和修改生物学设计；
• 调用外部科学工具或自动化工作流；
• 不仅回答孤立问题，还能对失败方案进行排错和迭代。

每项能力都可能降低一道不同的门槛。风险因此具有累积性：模型不必给出一份完整且完全正确的“配方”，也可能对已经拥有部分资源或基础知识的行为者产生实质帮助。帮助其改进决策、发现被忽略的选项，或缩短反复试错的时间，就可能改变整个风险水平。

与此同时，现有证据并不足以支持“公开聊天机器人能够按需独立制造可行生物武器”这样的说法。更值得关注的是，AI 可能在更完整的工作流中扩大辅助作用，而不是自主完成从设计到生产的全过程。

开放科学与安全控制之间的取舍

政策制定者面对的核心难题，是让合法科学研究继续发展，同时限制会造成重大生物危害的帮助。现有资料指向几项原则：

1. 采用分级访问，而不是一刀切。 不同用户、模型和应用的风险并不相同。
2. 独立、持续地测试安全措施。 对今天的模型有效的控制，在能力升级后可能失效。
3. 保护现实生产环节的关键卡口。 当数字防线失效时，订单筛查和客户核验可以提供补偿性保护。
4. 在符合法律且适当的前提下共享风险信号。 有些可疑活动，只有将模型、合成、实验室和公共卫生数据放在一起分析才能发现。
5. 同时投资防御能力。 监测、诊断、医疗对策、溯源和响应能力，可以降低安全措施失效后的后果。

最稳妥的结论既不是 AI 会让生物武器变得不可避免，也不是当前的聊天机器人限制已经解决了问题。真正需要管理的是一个系统：模型防护、受限访问、合成筛查、异常检测、公共卫生准备和责任追究，只有彼此重叠时才更可靠；一旦政策制定者假设其中任何一项能够独自承担全部责任，防线就会变得脆弱。