Anthropic 生命科学验证计划以经验证访问取代实时拦截

在数十家机构测试了一套以经验证访问和监控取代部分即时生物学拦截的模型访问系统后，Anthropic 推出了生命科学验证计划。该测试版在其标准使用规则下覆盖 Claude Mythos 5.1、Opus 5 和 Sonnet 5。

这一变化之所以重要，是因为 Anthropic 并非只是向科学家开放另一款模型。它正在将部分安全体系从提示词层面的拒答，转向对谁获得访问权限、其申报的工作内容以及活动如何被审查的判断。

这种模式带来了鲜明的权衡。研究人员可以将 Claude 用于更多药物发现、实验生物学、临床开发和制造任务。Anthropic 则必须判断，机构审查和事后监控能否控制此前由实时过滤器拦截的风险。

这也是对更广泛 AI 市场的一次测试。开放访问可以帮助研究团队加快进度，但生物能力带来的滥用风险尤为严重。Anthropic 押注于：经过验证的机构可以获得更广泛的能力，而不必让每一项正当的科学请求都遭到拒绝。

Anthropic 生命科学验证计划改变了什么

Anthropic 生命科学验证计划改变的是访问规则，而不只是研究人员可用的模型。

Anthropic 于 2026 年 9 月 17 日宣布该计划，并将申请范围扩展至此前已包含数十家机构的早期访问群体之外。该测试版最初面向团队和机构，而非个人订阅用户。

该计划适用于 Anthropic 的第一方产品。获批用户可通过 API、Claude Science、Claude.ai、Claude Code 以及受支持的企业界面使用服务。在测试期间，不同入口的可用性和授权行为有所不同。

Anthropic 将访问权限分为标准使用和高风险使用授权。两者都要求申请方通过涵盖研究资质、安全标准和伦理监督的审查。

标准使用是常规专业工作的主要途径。它适用于 Claude Mythos 5.1、Opus 5、Sonnet 5，以及后续上线的未来模型。

Anthropic 表示，该授权可支持基础科学、研发、制造、质量保证、临床开发、监管工作和投资尽调。团队可在日常工作负载中获得这项授权，并按年续期。

实际变化在于采用了更宽松的分类器，即用于决定模型何时应拦截或重定向请求的系统。相比使用面向公众开放模型的用户，获批团队预计会遇到更少与生物学相关的干预。

这一区别对科学工作流程很重要。若不了解用户或项目背景，一个关于病毒行为的无害请求也可能看起来像危险请求。

药物发现同样存在类似的模糊地带。涉及蛋白质设计、递送机制或病原体生物学的请求可以服务于药物研发，但同样的知识也可能帮助恶意行为者。

Anthropic 在其计划公告中承认，仅凭内容往往无法判断意图。因此，公司将身份、机构控制和申报的研究目的纳入访问决策。

高风险使用则更进一步。它是针对在标准使用下仍会被拦截的工作的附加授权，并移除所有专门拦截生命科学请求的防护措施。

该访问权限面向单个项目，而不是整个团队。它必须每六个月续期，从而形成更窄的适用范围和更短的审查周期。

Anthropic 以病毒载体研究为例。科学家可能研究某一特定载体家族如何与人体免疫通路相互作用。这类工作可能具有医学价值，同时仍涉及两用方法。

Opus 5 和 Sonnet 5 的高风险授权在发布时即可获得。相应的 Mythos 访问仍仅限于接受额外审查的较小群体。

其他安全系统仍将保持启用。生命科学授权不会移除网络安全分类器或无关的平台防护措施。该计划放宽的是一个特定领域的边界，而非创建不受限制的账户。

Anthropic 预计标准使用能够满足大多数申请者。这个判断很重要：如果常规研究人员经常需要针对项目的例外授权，系统的运营将变得更加困难。

公司还预计将在计划首周吸纳数百家机构。这一预测并非采用结果，而是可根据后续披露进行核验的早期基准。

该计划目前可通过 Anthropic 的第一方 API 控制台及其 Team 和 Enterprise 产品使用，尚未通过第三方云平台提供。

个人套餐在发布时同样不在范围内。Anthropic 表示计划逐步扩大访问范围，但尚未提供确切日期。

这些边界意味着这是一项受控扩展，而非全面发布。更多科学工作将成为可能，但用户能获得哪些能力仍取决于资格。

为什么经验证访问正在取代一刀切的拒答

Anthropic 正将安全问题从“这个提示词是否危险？”转向“这个经验证机构是否在其获批用途范围内行事？”

当意图明确时，提示词层面的过滤器可以发挥作用。但当正当研究和有害研究使用相似的语言、方法和技术参考时，它们就变得不那么可靠。

疫苗研究人员和恶意操作者都可能询问病毒传播问题。优化递送平台的科学家也可能请求看似涉及生物操纵指令的细节。

拦截所有含糊请求能降低即时滥用风险，但也会阻碍合格研究人员将模型用于那些最需要高级推理能力的专业工作。

Anthropic 在该计划之前就面临这种张力。其面向公众开放的 Fable 模型采用了会重定向或限制某些生物学研究问题的防护措施。

该公司表示，较新的 Fable 防护措施对无害的基础生物学和医学请求的干预频率降低了 85%。研发问题仍可能触发更严格的处理。

Mythos 5.1 则处于这条边界的另一侧。Anthropic 将其描述为与 Fable 5.1 使用相同底层模型，但为经审查用户提供更宽松保护机制的版本。

这意味着差异不只在于模型智能水平。访问政策可以决定同一底层能力是完成任务、重定向请求，还是拒绝请求。

Anthropic 的模型发布公告还报告称，Fable 5.1 在 Terminal-Bench-Science 0.1 上取得了 52.6% 的分数。公司在其设定下复现的 Opus 5 分数为 29.0%。

这些是公司报告的基准测试结果，并不能证明实验室生产力。Anthropic 还表示，在该评估中每个模型的标准误差为 3.5 至 4.5 个百分点。

不过，这些结果有助于解释为何访问政策如今更加重要。如果模型能够处理更长的科学任务，每一次不必要的干预都会打断更长的研究工作链。

设想一个智能体审阅实验文献、规划分析、编写代码并检查输出。即使周围每一步都是正当的，中间一次拒答也可能破坏整个流程。

因此，经验证访问带来的不只是减少令人烦扰的提示。它还可能决定一个多智能体工作流程——即完成多个相互关联步骤的流程——能否从头到尾保持可用。

Anthropic 在最新测试版之前便开始构建这一布局。今年 1 月，该公司扩展了 Claude 的医疗和科学集成，包括用于临床试验和监管工作流程的工具。

其生命科学扩展公告将 Claude 定位为连接专业系统的研究伙伴。验证计划旨在解决这些工作流程触及敏感生物学内容时产生的访问阻力。

这一顺序很重要。Anthropic 先推动 Claude 更深入地参与科学工作，随后推出更强的模型，如今又为经验证专业人士提供绕开相关限制的途径。

这一路径迫使竞争实验室明确自身的访问模式。通用聊天机器人的政策或许不足以满足制药公司、生物技术初创企业和学术实验室的需求。

企业买家将询问提供商是否支持领域特定权限、项目边界、机构管理员和可审计访问。原始基准分数无法回答这些问题。

他们还会比较中断率。如果一款稍弱的模型能够在不反复重定向请求的情况下完成获批的科学工作流程，它可能更有用。

因此，Anthropic 在治理层面的竞争不亚于模型质量。它的承诺是，验证机制可以为正当机构保留更多能力，同时维持面向更广泛公众的防护措施。

这一承诺在大规模应用下仍有待验证。身份检查能减少匿名滥用，但经验证机构仍可能面临账户被入侵、内部人员恶意行为或自主智能体控制不当的问题。

生命科学验证计划正是围绕这些失效模式设计的。它能否比提示词层面的拦截更好地应对这些问题，将决定该计划的可信度。

核心权衡是减少拦截与加强监控

研究人员获得更少的实时中断，而 Anthropic 则获得对其活动和申报用途更长期的观察。

该计划以离线监控取代部分即时执行机制。Anthropic 不再孤立地判断每项请求，而是可以审查跨越多个请求和会话的行为模式。

这是机制上的重要变化。一场可疑行动可以将工作拆分为许多看似无害的提示词。单独审查这些提示词可能掩盖更大的意图。

离线分析可以连接相关行为，并将活动与机构申请时描述的使用场景进行比较。

每个获批实体都必须提供对其预期工作的高层描述。Anthropic 表示，这些描述应类似职位招聘信息中的内容，并排除敏感知识产权。

公司会持续检查计划流量，以发现超出申报范围的活动。当检测到潜在问题时，它可以按照约定的事件响应时间线提醒机构管理员。

这形成了一种共同责任模式。Anthropic 负责模型和监控层，客户则负责用户、内部权限和补救措施。

这也改变了隐私考量。与监控相关的计划流量会被保留 30 天，使 Anthropic 有时间识别跨会话的模式。

公司表示，这些数据会被隔离处理，不能用于模型训练，也不能被进行生命科学研究的 Anthropic 员工访问。

这项保护很重要，但并未消除所有担忧。科学机构处理未发表结果、专有靶点、实验方法和受监管信息。

数据保留政策会影响法务和安全团队批准哪些工作负载。即使经过隔离的数据，对某些项目而言仍可能过于敏感。

该 beta 版本还有另一项重大限制。Anthropic 表示，它不面向签署商业伙伴协议（通常称为 BAA）的组织提供服务；这类协议涉及受保护健康信息。

BAA 是依据美国医疗保健规则，规范特定服务提供商如何处理受保护健康信息的合同。缺少该协议，使许多患者数据工作流无法纳入该计划。

Anthropic 建议持有受保护健康信息的客户使用独立的组织，这些组织既未启用 BAA，也不以 HIPAA 为导向。这种隔离明确了边界，但也可能增加运营复杂性。

研究团队必须判断其数据是否适合进入经验证环境。临床开发用户还必须区分科学工作与涉及可识别患者信息的活动。

这削弱了有关该 beta 版本覆盖整个生命科学流程的任何说法。它支持许多研究和运营任务，但尚不是适用于受监管生物医学数据的通用环境。

第三方平台支持也是另一项约束。通过云市场统一进行模型访问的组织，目前尚无法在那里使用该计划。

这一限制可能延缓大型公司的采用进程。其采购、访问管理、日志记录和计费系统可能已经依赖于某个首选云平台。

不同界面的授权选择也有所不同。API 和 Claude Science 用户可原生切换授权，而 Claude.ai 和 Claude Code 起初使用预先选定的默认授权。

这应能满足仅需 Standard Use 的团队。管理多个高风险项目的组织，则需要更强的控制措施，以防选择错误的适用范围。

潜在收益仍然很具体。药物发现团队可使用 Claude 综合文献、检查生物数据、开发分析代码，并准备监管材料。

制造团队可审查工艺偏差或质量文档。研究团队可以对实验结果进行推理，而不会因技术词汇触发一刀切的限制。

这些工作流取决于组织背景。由知名实验室运营的安全账户，与提出相同请求的匿名账户存在实质差异。

然而，验证并不等于免疫。Anthropic 将账户被攻破、内部人员滥用和非预期的代理行为列为三大主要威胁。

账户被攻破可能使外部攻击者获得合法机构所取得的权限。因此，强有力的身份控制必须在初始批准后继续发挥作用。

内部人员滥用更难解决。持有凭据的员工已经了解该机构、相关工作以及可用的控制措施。

代理滥用带来了另一层不确定性。长时间运行的系统可能采取运营者未曾预料的行动，尤其是在工具将模型输出连接到软件或实验室流程时。

离线监控或许能在某种模式开始后发现它，但无法保证在有害行动发生前加以阻止。

因此，根本性的交换关系十分明确：Anthropic Life Sciences Verification Program 让符合条件的用户在干预前拥有更大的自由度，但它要求人们对监控和机构治理给予更高信任。

Anthropic 仍需证明这道关卡有效

该计划的成功与其说取决于申请量，不如说取决于 Anthropic 能否验证用户、保护敏感工作，并在滥用升级前作出响应。

Anthropic 尚未公布详细的准入评估标准。其公告提到了研究资质、安全实践和伦理监督，但未说明这些因素的权重。

学术实验室、生物技术初创企业、制药公司、合同研究组织和投资者的结构差异很大。单一验证流程必须兼顾这些差异，同时避免变得武断。

较小的实验室可能拥有很强的科研资质，但安全人员有限。大型公司可能具备成熟的控制体系，却申请更广泛的运营访问权限。

地域带来了另一项挑战。Anthropic 最初将 Mythos 5.1 限于部分美国组织，同时正与政府协调，以扩大其可用范围。

这一限制可能割裂国际研究团队。一个跨国项目可能在多个国家拥有符合条件的科学家，却只能获得对目标模型的部分访问权限。

该问题已经在生命科学领域之外受到审视。根据英国安全报道，英国 AI Security Institute 在发布前未获得 Mythos 5.1。

报道指出，这是该机构首次被排除在 Anthropic 的发布前评估之外。Anthropic 曾向其提供此前 Mythos 模型的访问权限。

这一案例并不能证明新的验证计划存在缺陷。但它表明，国家层面的访问边界可能使有关独立安全审查和国际合作的主张变得复杂。

生命科学访问也提出了类似问题。谁来验证 Anthropic 的筛查标准？哪些外部专家可以测试监控系统是否能识别现实中的滥用行为？

客户背书证明的是需求，而非独立验证。Xaira Therapeutics、Edison Scientific 和 Manifold Bio 在 Anthropic 的公告中欢迎将访问权限与问责机制结合起来的做法。

这些组织显然有理由希望获得干预更少的强大模型。它们的参与能够产生有价值的运营反馈。

然而，早期用户无法证明这些保障措施能够抵御蓄意攻击者。他们也无法代表因地域、合规规则或验证要求而被排除在外的实验室。

基准测试证据同样存在局限。Terminal-Bench-Science 衡量的是代理式科学任务的表现，但并不能说明 Claude 能否在真实实验室中产出可靠发现。

它也不衡量经验证模型提供有害协助的频率。能力评估和安全评估回答的是不同问题。

Anthropic 先前的报告说明了访问政策为何会影响测得的表现。当生产环境中的安全保障措施干预某些基准任务时，该公司给出了零分。

对于其他被阻止的生物学工作，较早的 Claude 模型完成了替代任务。这种方法有助于估算实用性能，但也将模型能力与路由政策混合在一起。

因此，买方不应将单一分数视为完整的产品比较。他们需要基于自身数据、工具、失败成本和审查流程的评估。

科学准确性构成另一项风险。更少的安全拒答并不会减少幻觉、引用错误或有缺陷的因果推理。

模型可以在获批范围内给出答案，但答案仍可能是错误的。实验设计、医学解读、质量决策和监管申报仍离不开人工审查。

生成的代码同样如此。看似合理的分析流程可能包含统计错误、数据泄漏，或使输出失效的假设。

组织应将权限与可靠性区分开来。验证回答的是用户是否可以访问某项能力，而不是认证该能力产生的结果。

数据治理也需要同样的区分。30 天保留期可能有助于威胁检测，但隔离机制必须覆盖存储、访问日志、事件响应和删除等环节。

Anthropic 表示，公司内部的生命科学研究人员无法访问该计划留存的数据。客户仍会希望获得支持这一说法的技术文档和明确的合同条款。

他们还会希望看到有关离线监控误报的证据。过于敏感的系统可能通过反复调查，在事后重现原本的问题。

不够敏感的系统则会造成相反风险。它可能让被攻破或恶意的用户活动过久，直到管理员收到警报。

Anthropic 必须在服务更多组织的同时平衡这两类错误。随着 beta 版本从与公司关系密切的小群体扩展出去，这项任务会愈发困难。

这才是真正的压力测试。精品式访问计划可以依赖人工判断和直接沟通；广泛的系统则需要一致标准、自动化、申诉机制和可衡量的响应时间。

该公司快速招募的目标使这种转变迫在眉睫。获批组织的数量不如批准后验证和监控的质量重要。

三个信号将显示该计划能否扩展

下一阶段将通过实际的访问扩展、有关保障措施表现的证据，以及对受监管或第三方环境的支持来评判。

第一个信号是 Anthropic 能否在不削弱验证的情况下实现既定招募目标。该公司预计首周将有数百家组织加入，并在此后不久提供更广泛的覆盖。

后续若能分别披露申请者、获批者、活跃用户和续约者，将比单一总数更具参考价值。高申请量本身只能说明需求旺盛。

使用模式会揭示更多信息。Anthropic 可以报告哪些工作流获得 Standard Use 访问权限、团队申请 High-risk 授权的频率，以及审查所需时间。

这些数字将表明两级结构是否符合实际研究需求。频繁的高风险申请可能意味着 Standard Use 对高级工作而言仍过于严格。

申请较少可能意味着标准授权已足够，也可能反映行政摩擦或对数据保留的担忧，因此仍需要结合背景判断。

第二个信号是涵盖监控结果的安全报告。有价值的披露应包括超出范围的警报、账户被攻破事件、管理员响应时间和执法措施。

汇总报告可以保护客户机密性，同时向外界提供有关该系统的证据。它还可以将离线监控与面向普通用户模型采用的干预措施进行比较。

独立测试会让这些证据更有说服力。安全研究人员可以评估恶意活动能否分散在多个会话中进行而不触发审查。

他们还可以测试相反的问题。合法团队不应仅因其技术请求看起来像危险工作，就面临反复调查。

Anthropic 的 Mythos 文档已经介绍了该模型的双重用途担忧及有限可用性。验证计划现在需要同样具体的运营证据。

第三个信号是向 beta 版本排除的环境扩展。启用 BAA 的组织、个人研究人员、国际机构和第三方云客户仍是重要缺口。

支持 BAA 将表明其朝着受监管医疗保健和临床工作流迈出进展。但这也要求 Anthropic 在监控需求与更严格的数据处理承诺之间取得协调。

第三方可用性将表明，该计划能够通过企业云控制机制运行，而不仅限于 Anthropic 自身的界面。

国际 Mythos 访问将检验验证模式能否跨司法管辖区运作。它也将回应有关先进能力正按国家分割的担忧。

对个人的支持则面临不同问题。机构监督有助于 Anthropic 评估问责能力，而独立研究人员可能缺乏同等的行政结构。

因此，扩展至个人计划将需要另一套信任机制。专业资质本身未必能替代组织级安全、事件响应和伦理审查。

模型发布将提供另一项实际检验。Anthropic 表示，Standard Use 授权将延续至未来模型，从而减少反复协商访问权限的需要。

当新模型推出时，这一承诺才会显现意义。研究人员将关注已获批的访问权限是否能迅速转移，还是会因再次安全审查而暂停。

竞争对手的回应同样重要。其他模型提供商可能推出自己的已验证访问计划、更广泛的通用可用性，或专门的科学产品。

比较时应聚焦已完成的工作流，而不应只看拒绝次数。一个很少拦截、却产出不可靠结果的系统，并没有解决科研问题。

同样，拥有强大科学推理能力的模型，若访问审查耗时过长或排除常见数据环境，商业表现仍可能疲弱。

对于研究负责人而言，眼下的问题是：获批部署 Claude 是否符合现有治理体系。他们应在申请前梳理用户、数据类型、项目、工具和人工审查流程。

他们还应明确哪些内容不应纳入该计划。受保护健康信息、高度敏感的知识产权或自动化实验室控制，可能需要不同的环境。

随着模型使用扩展至各个研究团队，知识管理将变得重要。组织需要保留记录，说明哪些证据、文件和假设为每一项由模型辅助的决策提供了依据。

结构化的 AI knowledge base 可以支持这种可追溯性，但无法取代实验室控制或科学审查。

因此，Anthropic Life Sciences Verification Program 不只是一个特殊访问渠道。它检验的是，AI 提供商能否以更精细、基于身份的治理取代广泛拒绝。

如果 Anthropic 能报告可靠的监控结果、谨慎扩大访问范围，并支持受监管环境，该模式可能成为其他敏感领域的范本。

如果验证流程变得不透明，或监控引发未解决的隐私担忧，研究人员可能会更倾向于边界更清晰、限制更严格的系统。

未来几个月应会提供证据。应关注审批与续期数据、独立的保障措施测试，以及对受监管和国际组织的支持情况。

这些信号将揭示，经验证的访问是否能突破严密管理的 beta 阶段并实现规模化。它们也将决定 Anthropic 的方法能否在科学效用与生物风险之间提供持久平衡。