AI 生物武器风险争论：真正威胁并非越狱

围绕大模型是否会大幅降低生物武器制造门槛的争论，主流叙事往往集中在「业余用户能否被模型带偏」这一维度。但丹麦国家血清研究所（Statens Serum Institut）下属生物安全与生物防御中心（CBB）于 2026 年发布的《生物威胁图景》报告提出了不同视角：真正值得关注的是具备专业背景的「能干的行为者」（competent actors），而非业余爱好者。报告强调，模型可被嵌入专门研究工具，预测基因改造结果、从零设计基因序列，并在合成前评估序列效应，这些能力对专业人员而言意义重大。

护栏困境：阻断一切并非出路

报告出炉的时机耐人寻味：前沿模型的生物相关限制已经落地，且正在引发反弹。Anthropic 近期对生物相关工作的限制令不少合法研究者感到困扰，甚至连合成生物学领域的业余工具 SpliceCraft（一款本地化的质粒设计与克隆工作台）也无法再使用前沿模型。原本应当展开的、关于「边界划在何处」的公共讨论，目前要么没有发生，要么缺乏对真实风险的良好证据支撑。

护栏设计还陷入一个结构性问题：它们最擅长拦截的是业余用户场景——因为这一场景可量化、可打分、可红队演练，而一旦这种思路失效，业界如今越来越倾向于「一刀切全部拦截」。作者认为这是一种可避免的局限。

两项关键研究：结论并不一致

报告引用了两项代表性研究：

• 2023 年 MIT Kevin Esvelt 实验室的实验：学生在与聊天机器人对话一小时后，得到了四种候选大流行病原体的建议，包括如何用合成 DNA 制造它们，并指向不太可能筛查订单的合成公司。这被广泛视为「风险真实」的证据。
• 2024 年 RAND 红队研究：扮演敌对行为者的团队分别在使用和不使用大模型的情况下制定生物攻击计划，结果发现两种情况下的方案可行性并无实质差异。这被广泛视为「LLM 并未显著放大风险」的证据。

CBB 对当前聊天机器人的总体判断偏「通缩」：由于模型存在幻觉，输出必须由已经知道答案的人来核对，报告预期在没有危险生物材料实操经验的前提下，这类技术短期内对普通用户难以构成实质帮助。

术语区分：风险讨论的基石

报告首先厘清几个核心概念：

• 生物安全（Biosafety）：防止意外事故。
• 生物安保（Biosecurity）：防止蓄意滥用。
• 武器化（Weaponisation）：从拥有病原体到拥有武器的中间步骤，历史上几乎击败了所有尝试者。
• 双重用途（Dual use）：同一技术既可服务合法目的，也可服务有害目的且形态不变，这也是监管始终试图围绕「意图」下手却屡屡失效的原因。

未受训练的「攻击者」：被过度关注的场景

这是公共讨论中关注最多、证据却最薄弱的场景。表面直觉是：如果模型能带用户走完基因组学流程，似乎也能带用户走完危险制造流程。但作者认为，让这一直觉回归冷静的理由更强，且更多取决于生物材料本身的实际行为，而非软件能说什么。

这一场景之所以主导讨论，是因为它「可处理」：可以构建评估、红队演练、发布分数。前沿实验室已围绕它形成了明确的能力阈值触发机制，报告对此表示认可。但历史记录最有力地反驳了这种担忧——1995 年东京地铁沙林事件的奥姆真理教，在转向神经毒气之前曾花多年时间、动用资金、实验室和持有真实科学学位的成员尝试生物武器，1990 至 1995 年间至少发动了六次生物攻击，五次使用肉毒毒素，结果全部失败。

这一案例揭示的真相是：业余用户场景在现实中几乎从未真正成功过；真正构成威胁的，始终是具备专业训练与实操资源的行为者，而这恰恰是当前评估体系与护栏设计覆盖最薄弱的地方。