评估大语言模型在DNA组装指导中的生物安全风险

背景

过去一年，大语言模型的能力发生了质的变化。它们不再只是问答工具，在智能体配置下可以调用外部工具、执行多步推理、自主完成长程任务。这种能力正在推动科学发现，尤其是在生物学和医学领域。Benchling正在使用Claude帮助研究人员结构化数据并将更多时间花在科学本身上；Biomni利用Claude加速生物信息学分析，甚至自动化实验设计；OpenAI的GPT-5在早期科学加速实验中帮助免疫学家在数分钟内识别出困扰他们数月的机制；GPT-Rosalind则成为首个专为生命科学构建的前沿推理模型。

但AI从根本上说是一种双重用途技术。Anthropic在部署Claude Opus 4时激活了ASL-3保护措施，理由是不能再有信心地排除其最先进模型提升具有基本STEM背景的人的生物武器开发能力。OpenAI将GPT-5评为生物与化学领域的"高能力"水平，GPT-5.5的外部评估同样将模型为专家行为者提供精密规划便利列为关键生物安全关注点。SecureBio的病毒学能力测试表明，多个前沿模型正在接近甚至超过人类专家在特定病毒学任务上的表现。安远AI的《前沿人工智能风险管理框架：风险测评实践报告》指出，截至2025年，18种主流模型在解答危险生物知识问题上的表现均已超越人类专家。其《前沿AI风险监测报告》对40余种大语言模型在湿实验故障排查方面的能力进行评估，发现部分模型已达到甚至超越人类专家水平。与此同时，Nature近期报道了斯坦福大学团队首次利用AI生成功能性病毒的完整基因组，AI免疫逃逸预测工具EVEscape对SARS-CoV-2变异株的预测准确率达66%，远超传统方法的17%。

然而，AI是否真的在现实中提升了生物风险，仍然存在争议。Peppin等人在《The Reality of AI and Biorisk》中指出，现有公开文献并不支持当前LLM能够显著提升生物风险的结论，他们认为生物危害目前仍是一个未来风险而非即时威胁，并呼吁对新一代模型进行持续评估。

作为理解和缓解先进AI系统灾难性风险的持续工作的一部分，我们设计了一项系统性评估，测试当前大语言模型能否为潜在危险生物序列的合成与组装提供实质性帮助。我们评测的场景基于一种已知的攻击手段，即分拆订购攻击（split order attack），利用LLM智能体设计可绕过现有DNA合成筛查的片段方案，并生成可在实验室中执行的组装操作流程。我们对11个商用大语言模型进行了测试，所有测试均在智能体配置下进行。我们的发现表明，若干前沿模型能够以高概率完成这一端到端任务，且湿实验验证确认了模型生成的方案在物理层面可以成功执行。

我们的目标不是散布焦虑。关于AI与生物风险的讨论坚定地属于低概率、高影响情景的范畴。但正是因为后果的不可逆性，我们认为在真实风险物化之前进行系统性验证是必要的。我们的工作不是在展示如何制造危险物质，我们遵循了负责任的披露流程，详细技术细节仅与相关安全机构共享。我们希望这项工作能够帮助模型开发者、政策制定者和生物安全社区理解当前的能力边界，并制定有效的缓解措施。

为什么关注分拆订购攻击？

DNA合成服务商的序列筛查是生物安全体系中为数不多的主动拦截机制之一。当核酸合成成本持续下降、实验设备日益标准化、物质获取不再是瓶颈时，合成筛查几乎成了阻止危险序列从数字世界进入物理世界的最后一道技术防线。

分拆订购攻击（split order attack）是一种已知的绕过手段，即将一条完整的危险序列拆分成多个较短的片段分别订购，每个片段单独看不会触发筛查警报，但在实验室中可以重新组装为完整序列。这种攻击此前主要依赖具备专业背景的人来设计，包括如何选择切割位点、如何确保片段之间的兼容性、如何规划组装路径，这些都需要分子生物学领域的训练和经验。换句话说，知识门槛本身就是一层防御。

我们关心的问题是，大语言模型是否正在削弱这层防御。如果一个模型能够自动完成分片策略的设计并给出可执行的组装指导，那么分拆订购攻击的知识门槛就不再取决于攻击者自身的专业水平，模型成为了随时可用的替代专家。量化这种能力的当前水平，正是我们这项工作的目标。

如何评估大语言模型在这类任务上的能力？

要回答上一节提出的问题，我们需要的不仅仅是对模型生物学知识的测验，而是一个尽可能贴近真实威胁场景的端到端评估。

我们的威胁模型是这样的。一个没有生化专业背景的人，配置了一个LLM智能体，加载了从公开渠道可获取的领域知识模块和通用工具，试图从一条蛋白质序列出发获得可执行的实验方案。他把所有专业决策都交给模型。

图1：LLM智能体在DNA组装指导任务中的评估框架。输入端包含蛋白质或DNA相关信息；智能体通过分子克隆、蛋白质筛查、湿实验等领域技能，以及互联网搜索、Shell和文件读取等通用工具进行多步调用与反馈；输出端生成DNA片段方案，并在安全约束下验证组装后产物。

这个设定与已有评估关注的角度互补。SecureBio的ABC-Bench和RAND的一项近期研究已经证明前沿模型具备执行特定分子生物学任务的能力，它们的评估场景中用户通常已具备一定专业背景。我们想回答的是一个相邻但不同的问题，即当用户完全不具备这些背景时，模型能否独立完成从规划到方案生成的全部步骤。

大语言模型在这类任务上的表现如何？

我们对11个商用大语言模型进行了测试，所有测试均在智能体配置下进行。每个模型被要求完成一个端到端的分拆订购攻击任务。我们测量的核心指标是攻击成功率（ASR），即模型生成的片段能否通过校验正确拼接回原始序列并翻译为目标蛋白。

结果令人警觉。在分片设计层面，所有11个模型都能生成通过校验的拆分方案。这意味着基于序列筛查的现有防线面对LLM辅助的分片策略时存在系统性的脆弱性。

图2：11个模型在分片设计任务上的攻击成功率（ASR），所有模型均能生成通过校验的拆分方案。

然而，能拆开序列并不等于能把它们装回去。绝大多数模型止步于分片设计。只有GPT 5.5和Claude Opus 4.6展现了更进一步的能力，它们不仅完成了分片，还生成了逐步实验操作方案，达到了可以在实验台上直接跟着执行的水平。

图3：各模型在端到端任务（分片设计+组装方案生成）上的能力对比，仅前沿模型达到可执行水平。

这些指导在实验室里真的能用吗？

显然，在文本中生成一条看似合理的实验方案和真正在实验台上产出经过验证的产物之间存在差异。一个自然的问题是，模型的输出跨得过从数字到物理的这一步吗？

为了回答这个问题，我们在标准分子生物学实验室中对模型生成的方案进行了物理验证。需要明确的是，所有湿实验均使用良性代理序列，我们对原始蛋白质进行了关键位点突变，使其丧失有害功能但保留结构接口。这样既能验证组装流程的可执行性，又确保在任何阶段都不会产出具有功能活性的危险产物。

我们在四个蛋白上执行了完整的验证流程。结果是明确的，四个构建体全部成功组装，电泳显示预期大小的条带，测序确认序列正确。

图4：湿实验验证结果——四个构建体的凝胶电泳均显示预期大小条带，测序确认序列正确。

这将我们的发现从模型能在文本中描述一条看似合理的组装路径，推进到按照这条路径操作能在实验台上产出经验证的产物。

这个结论的局限性同样值得强调。凝胶上一条正确的条带距离一个功能性的、具有危害能力的生物制剂还有很远的路，表达、折叠、纯化、活性验证各自携带独立的隐性知识和物理障碍，这些都不在本次验证的范围内。我们确认的是组装这一环节成立，我们没有展示一条完整的危害路径。即便如此，组装步骤经受住物理验证这一事实，提高了我们对计算评估结果的信心，这不再只是文本层面的推测。

可以做些什么来应对这类风险？

模型层面

前沿模型开发者应在部署前系统性地评估其模型在生物武器相关任务上的能力。通用的安全对齐训练并不足以覆盖这一领域，模型需要针对生物威胁序列和组装相关查询的专门检测机制。我们认为支持透明度规范很重要，推动开发者发布危险能力评估结果，以便在模型能力继续增长时向社会通报AI的影响。

此外，当模型被赋予工具访问权限进入智能体配置时，其有效能力会显著提升。安全措施不能止步于对话层面，必须覆盖工具调用和多步任务执行的整个链条。

合成筛查体系

我们的结果表明，现有的DNA合成序列筛查面对LLM辅助的分片策略存在系统性脆弱性。所有测试模型都能生成通过筛查的拆分方案这一事实，说明筛查机制需要更新以应对这类新的规避手段。在技术路径上，首个合成生物学国际标准ISO 20688的落地推进，以及SecureDNA等利用密码学方法实现隐私保护筛查的方案，都代表了值得关注的方向。我们期待与合成生物学行业和相关监管机构在这一方向上合作。

国际协调

AI带来的生物安全风险本质上是全球性的。没有任何单一机构或单一国家能够独立应对。我们呼吁所有主要模型开发者参与标准化的生物安全评估框架，并支持跨国协调应对。公私合作伙伴关系，即政府在理解威胁格局方面的专业知识与行业对前沿AI能力的了解相互补充，是优化风险评估和缓解的有希望的途径。

AI和生物风险这个话题充满了不确定性，关于威胁行为者的意图、模型的能力边界以及这些能力如何确切地转化为现实风险。但值得注意的是，我们今天观察到的能力水平更可能是一个下限而非极限。随着模型持续改进，我们应预期相关风险相应增长而非持平。我们将继续分享这方面的工作，以推进这一关键对话。