AI 與生物安全的討論，已經不只是「聊天機器人會不會回答危險的生物學問題」。更棘手的問題是：當模型具備更強的長程推理與科學設計能力後，是否能協助原本技術能力不足的人，同時跨越多道門檻——從尋找研究資料、提出假設，到反覆修改設計、排除實驗問題，再把數位建議連接到實體生產流程。

這項風險，與聊天機器人能自主製造病原體是兩回事。生物危害仍需要材料、設備、實驗室能力，以及有效的傳播或投放方式。但如果科學模型愈來愈擅長生物設計與長期任務推理，原本分散在公開文獻中的知識，可能會變得更容易付諸行動。一份於 2026 年發表的工作論文認為，當代基礎模型提高了提供生物武器開發相關指引的風險。33

核心答案：建立「縱深防禦」

目前資料所呈現的政策共識，不是把希望寄託在單一拒答系統或某一家模型公司的安全機制上，而是在生物風險鏈的不同環節布置多重防線：

• 模型層： 在部署前評估模型能力，進行生物安全紅隊測試，使用分類器與行為限制，監測濫用情形，並隨模型能力變化持續更新防護措施。
• 存取層： 對最強大的模型或敏感功能設下限制，只提供給經核驗的使用者、組織與應用程式。
• 生產層： 篩查合成 DNA 與 RNA 訂單、核驗客戶身分，並保存可供後續調查的紀錄。
• 偵測層： 強化異常行為偵測、生物監測、疾病監測與微生物鑑識。
• 應變與問責： 提升診斷能力、醫療反制措施、備災、溯源、阻斷與嚇阻能力。

RAND 於 2026 年提出的縱深防禦策略，在上述階段辨識出九項介入措施，並認為沒有任何單一防護措施能阻止行為者利用 AI 協助製造生物武器。3639 這項結論具有直接的實務意義：模型拒答可能被繞過，也可能因判斷失誤而失效；但合成服務的訂單篩查、可疑交易紀錄，或公共衛生系統發出的異常訊號，仍可能提供另一個發現並阻止濫用的機會。

AI 公司如何在模型層設防

目前前沿模型公司的做法，通常把能力評估與受控部署結合起來。目標是在保留科學研究正當用途的同時，限制那些可能實質促成生物危害的協助。

Anthropic 公開的模型文件提供了一個分級存取的例子。文件將 Claude Fable 5 描述為普遍可用的模型，Claude Mythos 5 則是透過 Project Glasswing 提供的限量版本；Anthropic 表示，Mythos 的使用權目前仍只開放給少數經審查的組織。495051

Anthropic 的發布資料指出，Fable 5 與 Mythos 5 共用底層模型；不同之處在於，Mythos 在部分領域取消了部分安全防護，並部署給受限的網路防禦與關鍵基礎設施供應組織。5056 這種模型分流反映出更廣泛的治理模式：將具備安全防護的版本提供給一般使用者，而把更強或限制較少的能力放在受控環境中，交由可信任的使用者使用。

不過，目前可取得的資料無法獨立證實原始問題中幾項更具體的說法，包括 Fable 5 在內部測試中讓潛在生物武器開發者獲得「顯著提升」、將敏感生物學問題轉交給「Opus 5」，以及在 8 月將誤判率降低約 85%。除非有 Anthropic 的主要安全報告或其他可直接驗證的文件支持，這些細節不應視為已確立的事實。

為什麼合成 DNA 篩查是關鍵控制點

模型防護處理的是 AI 會說什麼，但不能直接控制使用者取得設計、序列或其他生物材料後會做什麼。因此，AI 公司高層也把注意力放到實體生產路徑上。

OpenAI、Anthropic、Google DeepMind 與 Microsoft AI 的領導人共同簽署公開呼籲，要求美國立法者規定合成 DNA 與 RNA 供應商必須篩查訂單、核驗客戶，並保存相關紀錄。172223 這項提議瞄準的是一個實體「瓶頸」：即使危險要求繞過了模型控制，供應商仍可能在材料交付前發現可疑訂單。

這同時也是一種追蹤機制。若初步篩查漏掉可疑活動，訂單與序列紀錄仍能協助調查人員將相關交易追溯到客戶。這種做法無法消除風險，但能在 AI 平台之外增加第二道防線。

監管機構與生物安全組織如何回應

政策回應正從 AI 治理擴展到更完整的生物防禦。大西洋理事會旗下的兩黨生物防禦委員會，已將 AI 列為《生物防禦阿波羅計畫》的第十六項科技優先事項。其議程同時涵蓋進攻性風險與防禦性機會，包括 AI 輔助疾病監測、診斷、醫療反制措施開發、微生物鑑識、模型評估、安全防護，以及可因應新風險調整的核酸篩查。24

OpenAI 的生物防禦計畫則強調五個方向：讓防禦者取得可信任的工具、確保前沿生物學安全發展、建立更早期的預警系統、強化診斷與備災，以及提升反制措施與應變能力。3

這些優先事項顯示，生物安全組織將 AI 視為典型的雙重用途技術。同一套能力，既能加速蛋白質研究、藥物發現、診斷與醫療反制措施，也可能讓危險的生物學推理更容易取得。若政策一律封鎖進階生物學，正當研究將付出代價；若假設模型過濾器已經足夠，則會留下實體供應鏈與制度上的漏洞。

為什麼焦點放在下一代模型

目前的公開聊天機器人可能提供泛泛而談、錯誤百出的資訊，也可能拒絕回答危險要求。這些限制確實有作用，但不能被視為長期安全策略。當模型具備以下能力時，風險便可能上升：

• 整合生物學與化學領域的專業文獻；
• 對長時間、分多步驟的研究任務進行推理；
• 生成、比較並修改生物設計；
• 使用外部科學工具或自動化工作流程；
• 不只回答單一問題，還能針對失敗方案進行除錯與反覆調整。

每項能力都可能降低不同的技術門檻。風險因此是累積性的：模型不一定要提供一份完整且完全正確的操作配方，才會對已具備部分資源或知識的行為者有用。只要能改善判斷、找出被忽略的選項，或縮短反覆試錯的時間，就可能增加協助程度。

但現有證據並不足以支持「單靠一個公開聊天機器人，就能隨時製造出可行生物武器」的說法。真正需要關注的是，AI 可能在更廣泛的工作流程中提供更多協助，而不是模型能自主完成從頭到尾的製造過程。

政策難題：科學開放與風險控制之間

核心挑戰，是在讓正當科學研究持續推進的同時，限制會帶來實質生物危害的協助。現有資料所指向的原則包括：

1. 採用校準式存取，而非一體適用的全球規則。 不同使用者、模型與應用情境，風險並不相同。
2. 獨立且持續地測試安全防護。 對今天的模型有效的控制措施，可能在能力升級後失效。
3. 保護實體瓶頸。 當數位防護失靈時，訂單篩查與客戶核驗可提供補救。
4. 在合法且適當的情況下分享跨機構訊號。 有些可疑活動，只有把模型、合成服務、實驗室與公共衛生資料放在一起觀察，才可能辨識出來。
5. 同時投資防禦與預防。 監測、診斷、反制措施、溯源與應變能力，可以降低防線失效後的後果。

最穩妥的結論，不是 AI 讓生物武器變得不可避免，也不是現有聊天機器人的限制已經解決問題，而是這項風險必須以整個系統來管理。模型防護、分級存取、合成服務篩查、異常偵測、公共衛生準備與問責機制，只有彼此重疊時才更有力量；一旦政策制定者假設任何單一措施能承擔全部責任，整體防線就會變得脆弱。

AI 與生物安全的討論，已經不只是「聊天機器人會不會回答危險的生物學問題」。更棘手的問題是：當模型具備更強的長程推理與科學設計能力後，是否能協助原本技術能力不足的人，同時跨越多道門檻——從尋找研究資料、提出假設，到反覆修改設計、排除實驗問題，再把數位建議連接到實體生產流程。

這項風險，與聊天機器人能自主製造病原體是兩回事。生物危害仍需要材料、設備、實驗室能力，以及有效的傳播或投放方式。但如果科學模型愈來愈擅長生物設計與長期任務推理，原本分散在公開文獻中的知識，可能會變得更容易付諸行動。一份於 2026 年發表的工作論文認為，當代基礎模型提高了提供生物武器開發相關指引的風險。33

核心答案：建立「縱深防禦」

目前資料所呈現的政策共識，不是把希望寄託在單一拒答系統或某一家模型公司的安全機制上，而是在生物風險鏈的不同環節布置多重防線：

• 模型層： 在部署前評估模型能力，進行生物安全紅隊測試，使用分類器與行為限制，監測濫用情形，並隨模型能力變化持續更新防護措施。
• 存取層： 對最強大的模型或敏感功能設下限制，只提供給經核驗的使用者、組織與應用程式。
• 生產層： 篩查合成 DNA 與 RNA 訂單、核驗客戶身分，並保存可供後續調查的紀錄。
• 偵測層： 強化異常行為偵測、生物監測、疾病監測與微生物鑑識。
• 應變與問責： 提升診斷能力、醫療反制措施、備災、溯源、阻斷與嚇阻能力。

RAND 於 2026 年提出的縱深防禦策略，在上述階段辨識出九項介入措施，並認為沒有任何單一防護措施能阻止行為者利用 AI 協助製造生物武器。3639 這項結論具有直接的實務意義：模型拒答可能被繞過，也可能因判斷失誤而失效；但合成服務的訂單篩查、可疑交易紀錄，或公共衛生系統發出的異常訊號，仍可能提供另一個發現並阻止濫用的機會。

AI 公司如何在模型層設防

目前前沿模型公司的做法，通常把能力評估與受控部署結合起來。目標是在保留科學研究正當用途的同時，限制那些可能實質促成生物危害的協助。

Anthropic 公開的模型文件提供了一個分級存取的例子。文件將 Claude Fable 5 描述為普遍可用的模型，Claude Mythos 5 則是透過 Project Glasswing 提供的限量版本；Anthropic 表示，Mythos 的使用權目前仍只開放給少數經審查的組織。495051

Anthropic 的發布資料指出，Fable 5 與 Mythos 5 共用底層模型；不同之處在於，Mythos 在部分領域取消了部分安全防護，並部署給受限的網路防禦與關鍵基礎設施供應組織。5056 這種模型分流反映出更廣泛的治理模式：將具備安全防護的版本提供給一般使用者，而把更強或限制較少的能力放在受控環境中，交由可信任的使用者使用。

不過，目前可取得的資料無法獨立證實原始問題中幾項更具體的說法，包括 Fable 5 在內部測試中讓潛在生物武器開發者獲得「顯著提升」、將敏感生物學問題轉交給「Opus 5」，以及在 8 月將誤判率降低約 85%。除非有 Anthropic 的主要安全報告或其他可直接驗證的文件支持，這些細節不應視為已確立的事實。

為什麼合成 DNA 篩查是關鍵控制點

模型防護處理的是 AI 會說什麼，但不能直接控制使用者取得設計、序列或其他生物材料後會做什麼。因此，AI 公司高層也把注意力放到實體生產路徑上。

OpenAI、Anthropic、Google DeepMind 與 Microsoft AI 的領導人共同簽署公開呼籲，要求美國立法者規定合成 DNA 與 RNA 供應商必須篩查訂單、核驗客戶，並保存相關紀錄。172223 這項提議瞄準的是一個實體「瓶頸」：即使危險要求繞過了模型控制，供應商仍可能在材料交付前發現可疑訂單。

這同時也是一種追蹤機制。若初步篩查漏掉可疑活動，訂單與序列紀錄仍能協助調查人員將相關交易追溯到客戶。這種做法無法消除風險，但能在 AI 平台之外增加第二道防線。

監管機構與生物安全組織如何回應

政策回應正從 AI 治理擴展到更完整的生物防禦。大西洋理事會旗下的兩黨生物防禦委員會，已將 AI 列為《生物防禦阿波羅計畫》的第十六項科技優先事項。其議程同時涵蓋進攻性風險與防禦性機會，包括 AI 輔助疾病監測、診斷、醫療反制措施開發、微生物鑑識、模型評估、安全防護，以及可因應新風險調整的核酸篩查。24

OpenAI 的生物防禦計畫則強調五個方向：讓防禦者取得可信任的工具、確保前沿生物學安全發展、建立更早期的預警系統、強化診斷與備災，以及提升反制措施與應變能力。3

這些優先事項顯示，生物安全組織將 AI 視為典型的雙重用途技術。同一套能力，既能加速蛋白質研究、藥物發現、診斷與醫療反制措施，也可能讓危險的生物學推理更容易取得。若政策一律封鎖進階生物學，正當研究將付出代價；若假設模型過濾器已經足夠，則會留下實體供應鏈與制度上的漏洞。

為什麼焦點放在下一代模型

目前的公開聊天機器人可能提供泛泛而談、錯誤百出的資訊，也可能拒絕回答危險要求。這些限制確實有作用，但不能被視為長期安全策略。當模型具備以下能力時，風險便可能上升：

• 整合生物學與化學領域的專業文獻；
• 對長時間、分多步驟的研究任務進行推理；
• 生成、比較並修改生物設計；
• 使用外部科學工具或自動化工作流程；
• 不只回答單一問題，還能針對失敗方案進行除錯與反覆調整。

每項能力都可能降低不同的技術門檻。風險因此是累積性的：模型不一定要提供一份完整且完全正確的操作配方，才會對已具備部分資源或知識的行為者有用。只要能改善判斷、找出被忽略的選項，或縮短反覆試錯的時間，就可能增加協助程度。

但現有證據並不足以支持「單靠一個公開聊天機器人，就能隨時製造出可行生物武器」的說法。真正需要關注的是，AI 可能在更廣泛的工作流程中提供更多協助，而不是模型能自主完成從頭到尾的製造過程。

政策難題：科學開放與風險控制之間

核心挑戰，是在讓正當科學研究持續推進的同時，限制會帶來實質生物危害的協助。現有資料所指向的原則包括：

1. 採用校準式存取，而非一體適用的全球規則。 不同使用者、模型與應用情境，風險並不相同。
2. 獨立且持續地測試安全防護。 對今天的模型有效的控制措施，可能在能力升級後失效。
3. 保護實體瓶頸。 當數位防護失靈時，訂單篩查與客戶核驗可提供補救。
4. 在合法且適當的情況下分享跨機構訊號。 有些可疑活動，只有把模型、合成服務、實驗室與公共衛生資料放在一起觀察，才可能辨識出來。
5. 同時投資防禦與預防。 監測、診斷、反制措施、溯源與應變能力，可以降低防線失效後的後果。

最穩妥的結論，不是 AI 讓生物武器變得不可避免，也不是現有聊天機器人的限制已經解決問題，而是這項風險必須以整個系統來管理。模型防護、分級存取、合成服務篩查、異常偵測、公共衛生準備與問責機制，只有彼此重疊時才更有力量；一旦政策制定者假設任何單一措施能承擔全部責任，整體防線就會變得脆弱。