AI 安全的议题里，有一个领域的利害结构与其他所有议题都不同：生化风险（biosecurity / chemical risk）。深度伪造伤害名誉、越狱伤害产品信任、偏见伤害公平——这些伤害严重但可恢复；而生物或化学武器的制造知识如果被 AI「辅导」给恶意行为者，后果可能不可逆且以生命计。这就是为什么美国 2023 年的 AI 行政令把「用合成核酸等手段筛查」写进要求、欧盟 AI Act 把「生化能力」列为系统性风险的评估维度、前沿实验室把「模型是否会提升恶意行为者的生化能力」写进发布前的评测清单。本文讲清这个领域的风险模型、真实的能力评估、以及管控的现状与难点。
风险模型：AI 在生化威胁链条中的真实位置
评估风险的第一步是把威胁链条摊开，找到 AI 真正「加分」的环节。合成生物学的恶意使用（以病原体改造为例）大致需要：专业知识（理解机制与方案）、实际操作技能（湿实验的手艺）、物理资源（设备、材料、菌种获取）、试错迭代（失败与调整）。关键的安全问题是：AI 在哪一环降低了门槛？研究界的评估框架（前沿实验室与政府的多次评测）给出了有层次的答案：在「信息获取」环节，大模型确实能压缩专业知识的学习曲线（解释实验方案、推荐试剂、指出常见错误——这些是通用科学能力的自然延伸）；在「操作技能」环节，目前 AI 的加持有限（湿实验的手感无法通过文本传授，这被称为「 protocols ≠ 能力」——拥有书面流程不等于能执行流程）；在「资源」环节，AI 无能为力但也不是瓶颈的全部（合成 DNA 的订购渠道本身有筛查机制——这是链条上已有的非 AI 防线）。综合的共识（多项评测的措辞趋于一致）：当前模型的生化风险主要是「增量抬升」——它降低了恶意行为者的学习成本与信息门槛，但尚不足以「凭空赋能」一个完全的新手完成复杂攻击。而「增量」之所以仍被严肃对待，是因为恶意行为者的整体能力分布里，正处于「差一点信息就能动」的群体并不小。
行业实践：发布前评测与访问管控
前沿实验室围绕这个风险模型建立了一套评估与管控的实践。能力评估（evals）：模型发布前，用专家设计的生化风险评测集（与领域专家合作构建的「提升恶意行为者能力」的测试题——从知识问答到方案生成的梯度设计）测模型的危险能力水位；评测的判据通常不是「能不能回答」，而是「相比用户仅用搜索引擎与教科书，模型的帮助有多大增量」——这个「 uplift（增量）」框架是当前评测的主流方法论：不要求模型绝对无害（做不到），要求它不提供超出公开文献的显著增量。访问管控（access controls）：对高能力模型实施分级准入——高风险用途（合成生物相关的研究请求）触发增强审查，某些能力只对通过身份验证与用途审查的研究者开放（可验证的科研身份、机构合作背书）；Anthropic 的宪法对生化请求设定了明确的拒答边界，OpenAI 的使用政策同样把生化协助列为禁止项——拒答边界的具体位置（拒绝「实验优化建议」但允许「教科书级知识」）是各家持续调优的政策细节。与既有防线的耦合：AI 管控不是孤岛——合成 DNA 订购的筛查（供应商对订单序列与公共病原数据库的比对）、实验试剂的监管、学术期刊的出版审查（对危险实验方案的发表控制）是链条上早已存在的非 AI 防线，AI 管控的设计原则是与这些既有防线对接（比如对「订购建议」类输出的额外谨慎），而不是重复造轮子。
监管框架与难点
监管层面，生化风险已成为 AI 管制的法定维度。美国：2023 年的 AI 行政令（EO 14110）要求对大型模型的生化风险评估、并要求对合成核酸订购的筛查框架更新（后续行政令有调整，框架方向延续）；欧盟：AI Act 把「生化或其他大规模危害能力」写入 GPAI 系统性风险的评估维度（具备此类能力的模型进入更严的义务档）；中国：生物安全法与科技伦理审查框架对相关研究的既有管制，叠加生成式 AI 管理办法的通用义务。监管的现实难点有三：评测标准的非标准化——「多大增量算危险」缺乏跨实验室统一的度量（各家自建评测集，结果不可横向比较）；双重用途的根本张力——同一套生物学的解释能力，是科研的普照光也是风险的开门人，管控边界划在哪里（拒答的过严会伤害合法科研，过松就是风险敞口）没有清晰的理论答案，只有政策的权衡；开源模型的管控真空——开放权重的模型无法做访问管控，其生化风险讨论（本库《开放权重模型的安全辩论》）是监管框架里尚未闭环的难题。这些难点决定了生化风险的 AI 管控会是一个持续调优的领域：评测每年更新、政策逐版本迭代、而底线共识在收敛——前沿模型的发布者必须能回答「你的模型会不会显著提升恶意行为者的生化能力」，答不了的，就不该发布。
uplift 评测的细节：怎么测「增量」
生化风险管控的核心方法论「uplift（增量）评测」值得拆到可操作的细节——它是「测模型有没有让坏事更容易」的标准框架。评测的设计问题：直接问模型「怎么制造危险品」当然会被拒答——uplift 评测测的是更微妙的东西：在「合理场景」的掩护下，模型的回答对恶意行为者的实际帮助有多大。评测的构造（专家参与的多轮设计）：对照组——只给攻击者「互联网 + 教科书」的条件，测量他能走到哪一步；实验组——同样的攻击者加上模型辅助，再测走到哪一步；增量 = 两组在关键节点（方案的正确性、错误的规避、绕过手册的盲区）上的完成度差。评测的题目梯度设计（从「教科书级知识」到「前沿实验的优化建议」），覆盖「知识、方案、debug、采购建议」四个环节——任何一个环节的显著增量都是风险。评测的执行纪律：由领域专家（生物安全背景）参与设计与判分（非专家无法判断增量）、评测过程的环境隔离（评测 prompt 本身不能成为训练污染或泄露源）、以及结果的处置分级（增量显著→加强访问管控或延迟发布；无增量→记录在案随能力迭代重测）。uplift 框架的一般化价值超出生化领域：它给一切「双重用途能力」的评估提供了模板——网络攻击辅助、化学合成、金融犯罪协助——评测的问题永远是同一个：「加上你的模型，坏事变得容易了多少」——这个问题能被量化回答之前，任何「安全」的宣称都只是态度。
生化风险之外的「能力红线」讨论
生化风险的管控逻辑（评估增量、分级管控）正在被推广到其他「能力红线」的讨论中——这个推广值得单独审视。候选的红线领域：网络攻击能力（模型对漏洞利用与攻击链构造的辅助——多个前沿实验室已把网络攻击能力列入发布前评测）、心理操纵能力（大规模个性化说服与操纵的潜力）、自主复制与资源获取（本库 RSI 系列的核心议题）、以及核与放射领域的信息辅助。推广的逻辑一致性：这些领域与生化共享「增量评测」的适用性（「加上模型，坏事的完成度提升多少」是可以跨领域复用的评测框架）。推广的真实难点在各领域不同：网络攻击的「增量」评测极难设计（攻防知识高度交织——教防御必然教攻击）；心理操纵的「增量」缺乏客观度量（说服力没有类似实验完成度的标尺）；自主复制是预测性风险（今天测不出，未来可能涌现）。更深的一层分歧：红线该划在「能力」还是「用途」上——能力红线（模型具备了某能力就管控，无论用途）的好处是清晰可执行，代价是误伤科研与防御用途；用途红线（按使用场景管控）精准但依赖事前识别恶意（本库《使用政策》的边界难题）。这场「红线怎么划」的讨论，本质是 AI 治理从「内容治理」走向「能力治理」的前哨——能力治理是更强的监管形态，它管的是「这个模型能做什么」，而不是「用户拿它做了什么」——它的合理性、可执行性与误伤成本，是未来五年 AI 政策辩论的主战场之一。
国际维度的生化治理：评估结果的跨境互认
生化风险的 AI 管控还有一个国际协调的维度：评估结果的跨境互认难题。问题的结构：同一家前沿实验室的模型在全球提供服务，但它发布的生化风险评估只被本国监管「认」——欧盟要求自己的评估、美国要求自己的评估、（未来的）中国要求自己的评估——多辖区重复评估的成本由企业承担，评估标准的分歧让「安全水位」全球不齐。互认的可能路径有三条：实验室间的评测共享（前沿模型论坛式的评测方法互通——竞争者之间的敏感合作，推进缓慢）；第三方评估机构的崛起（像金融审计一样，AI 能力评估由独立的评估机构执行，各监管认可其报告——公信力的_bootstrap 需要时间）；国际组织的中介（类似国际原子能机构的安全保障机制——AI 领域的「IAEA 式」机构被多次讨论但远未成型，主权的敏感性远超核领域）。现实的过渡状态：各辖区以「评估义务」立法（你必须评估），但「怎么评、评到什么程度」各自为政——企业界的务实做法是按最严辖区的标准做一次评估，输出多辖区格式的报告（一次评估多格式提交——把重复成本压到最低）。互认问题的更一般启示：AI 的全球治理在技术上已经有共识（评测、评估、红线），卡住互认的从来是政治——技术人能做的，是让「一次评估、多处可用」的技术标准先跑起来，等政治跟上。
小结
生化风险的 AI 管控收成四条：风险的真实位置在「信息门槛」——AI 增量抬升恶意行为者的学习曲线，但「协议≠能力」，当前尚不足以凭空赋能新手；行业实践的三件套——发布前的 uplift 增量评测、分级访问管控、与合成核酸筛查等既有防线的对接；监管已把它写成法定维度（美国行政令、EU AI Act 的系统性风险档），但评测标准化、双重用途张力与开源真空是三个未闭环的难点；领域的底线共识在收敛——答不了「会不会提升恶意能力」的模型，不该发布。这是 AI 安全里利害结构最重的一章——它的每一行政策文字，背后都是对「不可逆后果」的敬畏。
参考资料
- 美国白宫 AI 行政令（EO 14110, 2023）中关于生物安全与合成核酸筛查的条款
- 欧盟 AI Act 关于 GPAI 系统性风险（含生化能力）的评估条款
- 前沿模型论坛与主要实验室的生化风险评测框架公开材料
- 本库前篇：《一篇读懂 AI 对齐》《开放权重模型的安全辩论》《欧盟 AI Act 两年记》
读者留言
COMMENTS 暂无还没有留言，来说第一句？