白宫 AI 生物安全政策从监测转向可执行的研究管控

Google News 上重新出现的白宫警告指出了一个真实冲突，但相关联邦政策最早可追溯至 2024 年 4 月。该报告警告称，人工智能可能帮助制造新型毒素，或增强传染病的毒力。报告呼吁在高风险生命科学工作中推行筛查、监测和快速响应机制。

这项警告依然具有现实意义，但已不再代表美国政策的最新表述。唐纳德·特朗普总统重返白宫后，取代了此前的监管框架。他在 2025 年 5 月发布的行政命令暂停了部分联邦资助研究，并要求加强执法、审计、报告和资金使用条件。

这一演变构成了真正的新闻重点。华盛顿的关注点已从 AI 如何改变生物风险，转向更直接地管控研究、采购和资金。然而，两种方式都未能完全解决核心问题：如何衡量一个 AI 系统是在提供危险的生物能力，还是仅仅提供常规科研协助。

白宫报告实际改变了什么

2024 年的报告将 AI 纳入政府的生物威胁模型，而不再仅将其视为软件安全问题。

该报告源自乔·拜登总统于 2023 年 10 月签署的安全、可靠 AI 行政命令。该命令要求国土安全部审查 AI 可能如何助长化学、生物、放射性或核威胁。

国土安全部与能源部、白宫科学技术政策办公室及外部专家共同开展了这项工作。各机构在行政命令发布六个月后的 2024 年 4 月提交了调查结果。

最终发布的 AI 风险报告并未宣布全面禁止生物 AI 工具。它描述了一个双重用途问题，即同一种能力既可支持有益研究，也可能被用于蓄意伤害。

能够帮助科学家理解蛋白质相互作用的模型，可能促进药物研发。类似能力也可能帮助他人识别有害分子特性，或改进生物制剂。

报告警告称，滥用行为可能是无意的，也可能是恶意的。报告特别指出，保障措施不足可能导致新型毒素的制造，或增强传染病的毒力。

这一表述之所以重要，是因为它将政策关注范围扩展到了大型语言模型之外。聊天机器人可以检索信息或协助排查操作流程，但专用生物模型能够直接处理分子和基因组数据。

这类系统包括蛋白质预测模型、序列设计工具、实验室自动化软件，以及基于生物数据库训练的模型。它们的风险不能只通过提交给公开聊天机器人的有害提示词来衡量。

因此，报告强调了分层应对措施。筛查用于识别可疑输入、请求或采购活动；监测用于审查系统行为及用户使用方式；快速响应流程则用于在预警信号演变为更大事件之前加以处理。

报告也列举了显著益处。它预计 AI 将推动医疗保健、农业、能源、可持续发展、生物监测以及医疗对策研发等领域的进步。

这种平衡使该文件区别于单纯的技术警报。官员们并非主张将 AI 排除在生物研究之外，而是认为安全实践需要跟随 AI 进入实验室和科研工作流程。

该警告还反映了人们对获取门槛的实际担忧。AI 能将复杂的科学知识打包成更易查询、组合和应用的形式。这可能同时降低合法研究人员和恶意用户面临的部分知识门槛。

不过，知识只是生物研究的一部分。制造危险生物制剂可能还需要材料、设备、隐性实验室知识、安全设施和反复实验。

报告并未声称聊天机器人能够独立制造大流行病原体。它将 AI 定义为一种潜在的能力放大器，其重要性将随着模型、自动化和生物技术的发展而提升。

这一区别依然至关重要。该政策将 AI 辅助的生物伤害视为需要提前准备的严重情景，而不是已经得到证实的自主攻击链条。

如今在 Google News 上看到这一标题的用户，应将其理解为一个历史性的政策节点。该报告确立了监测逻辑，但后续政府改变了应对这一担忧所采用的机制。

为什么 AI 生物安全风险难以衡量

最棘手的政策问题并非 AI 能否讨论生物学，而是它是否赋予用户造成大规模伤害的实质性优势。

生物能力评估试图衡量这种优势。评估人员可能会比较人们在获得和未获得 AI 系统支持时，完成敏感任务的表现差异。

一项有效测试必须区分多个因素：事实知识、实验规划、问题解决、错误纠正以及获取专业工具的能力。它还必须避免通过测试本身披露危险细节。

这使得 AI 生物安全评估格外困难。一个模型可能在生物学笔试中表现优异，却无法在实验室中提供多少实际帮助。另一个系统在学术问题上得分一般，却可能擅长整合工具或分析新型序列。

2024 年白宫的分析认识到了这种不确定性。它呼吁加强评估，并促进 AI 专家、生命科学研究人员、国家安全官员和公共卫生专家之间的合作。

此后，研究人员指出，测试应聚焦于高后果能力。这些任务与潜在的大规模伤害相关，而非模型展现出生物学知识的每一个场景。

一项关于 生物评估的已发表分析提出，应从数十年的双重用途生命科学治理中吸取经验。其作者认为，评估应优先关注与大流行规模后果相关的能力。

这种方法可以减少噪声。模型能够总结一篇关于流感的论文，并不能证明它可以协助制造危险病原体。反过来，通用基准测试也可能漏掉能够改进关键设计步骤的专用工具。

评估人员还面临一个不断变化的目标。开发者会更新模型、将其连接到外部工具、调整安全控制措施，并发布专用版本。当周边系统发生变化时，测试结果就可能过时。

访问条件同样重要。具备严格防护措施的公开聊天机器人，与本地运行的无限制模型带来的风险不同。能够访问数据库、模拟工具和自动化设备的实验室智能体，则属于另一类风险。

这也是为什么监测不能在发布前模型测试后停止。组织需要审查部署环境、用户权限、连接工具、可疑活动以及绕过防护措施的尝试。

但监测本身也存在取舍。科学工作常常涉及异常查询、新型生物体、危险病原体或失败的实验设计。即使研究服务于公共卫生，这些特征也可能与恶意行为相似。

过于宽泛的检测系统可能阻碍合法工作，或暴露机密研究。过于薄弱的系统则可能漏掉将有害项目拆分成看似普通请求的复杂用户。

虚假的安全感也构成风险。模型可能拒绝明显有害的请求，却仍会在不那么直白的多轮对话中提供有用片段。它也可能生成看似可信、实则不准确的指导。

现实世界中的物理限制构成了障碍，但这些障碍并非永久保障。实验室自动化、合同研究服务、商业 DNA 合成和改进的设计软件，都可能改变用户能够完成的事情。

核酸合成筛查针对的是这条链条中的一个环节。供应商可以在履行订单前，根据风险标准比对所请求的基因序列和客户信息。

筛查之所以有价值，是因为它贴近实体交易环节。然而，它无法覆盖所有生物材料、所有供应商或所有国际渠道。它也依赖一致的技术标准和供应商参与。

因此，2024 年报告支持纵深防御。没有任何单一基准、聊天机器人拒答机制、供应商筛查或机构审查能够单独确保安全。

这种模式更接近网络安全，而非一般产品合规。防御方会监测多个层面，随着威胁变化更新控制措施，并假设有决心的行为者会寻找漏洞。

这种类比也有局限。生物实验可能造成不可逆后果，而合法研究人员可能需要使用在消费级软件中看来不可接受的能力。

核心挑战在于归因。监管机构必须识别出究竟是哪种模型能力、用户行为或采购事件实质性增加了风险。缺少这种关联，政策就可能沦为象征性措施，或变得过度限制。

Google News 在新的监管时代呈现旧政策

标题中的警告得以延续，但联邦应对措施已从协作式保障转向资金控制和可执行的研究条件。

日期之所以重要，是因为总统政策在 2025 年 1 月后发生了变化。将 2024 年的报告视为一项新的白宫公告，会掩盖这一转变。

特朗普总统在重返白宫的第一天撤销了拜登更广泛的 AI 行政命令。他的政府认为，联邦政策应减少 AI 开发障碍，并保护美国竞争力。

生物研究很快受到更严格的对待。2025 年 5 月 5 日，特朗普签署了一项针对危险功能获得研究的行政命令。

功能获得是一个宽泛的科学术语，但该命令采用了更狭义的政策定义。它涵盖可能提高传染性病原体或毒素的致病性、传播性、稳定性、宿主范围或耐受性的研究。

该命令指示各机构停止资助由指定关注国家实体开展的受涵盖研究。它还针对在其他地点进行、且政府认为监管不足的研究。

对于国内及获得联邦支持的研究，该命令要求加强独立监督、审计、执法和公众透明度。它还要求修订有关合成核酸采购的规则。

拨款和合同条件成为核心执法工具。研究机构可能面临立即撤销资金支持，而违规行为可能导致数年内失去申请联邦生命科学资助的资格。

这种做法改变了压力由谁承担。在 2024 年的监测模式下，AI 开发者、评估人员、实验室和政府机构共同承担理解新兴能力的责任。

2025 年的命令对资助机构、受赠方、研究机构和证据综合提供方提出了更严格的义务，并将合规要求直接与联邦付款决策挂钩。

即使该命令的核心议题是功能获得性研究，AI 在这一监管框架中仍然重要。先进模型可以影响实验设计、序列分析、风险评估和实验室自动化操作。

然而，新命令并未回答早先 AI 报告提出的所有问题。它没有建立一种通用方法，用于衡量商业模型和开放模型的危险生物能力。

政策转向也在私人资助研究方面留下了空白。该命令要求官员制定战略，对联邦资助之外的危险工作进行治理、限制和追踪。

这项任务承认了一项基本限制：联邦拨款规则可以对大学和实验室施加强大的影响力，但并不会自动涵盖所有公司、投资者资助的实验室或独立项目。

政府还要求修订核酸合成筛查框架。资助生命科学工作的机构必须确保采购采用遵循更新后规则的供应商。

这种物理层面的控制可以补充 AI 监测。有害的模型输出本身不会产生生物材料，而经过筛查的采购请求则提供了干预机会。

不过，两者之间的关系并非自动成立。单独看时，一个序列可能显得无害；而一个合法序列也可能在特定实验环境中变得具有风险。

因此，两届政府代表了通往同一未解决目标的不同路径。

拜登时期的报告强调能力评估、协作、自愿实践和持续监测。特朗普命令则强调受涵盖的研究类别、机构问责、采购规则和财务执法。

两条路径都无法无限期忽视对方。没有技术评估的执法，可能会针对与实际 AI 赋能风险不相符的类别；没有可执行后果的监测，则可能沦为一项报告工作。

这正是 Google News 标题背后的主要逆转。美国并未放弃对 AI 辅助生物危害的关注，而是改变了权力归属，以及机构如何感受到这种关注。

能力与风险是政策的核心权衡

AI 可以通过许多相同的底层能力，同时加速防御性科学和危险实验。

这并非创新与安全之间的简单较量。生物安全依赖科学能力，包括识别病原体、设计应对措施、监测疫情以及改进生产制造的能力。

能够预测蛋白质结构的系统可以支持疫苗或疗法研究。基因组模型可以帮助科学家解读变异、设计实验或理解生物学功能。

AI 还可以帮助公共机构处理大规模监测数据。美国国土安全部曾描述其在货物筛查、生物监测、检测和应急响应等领域的潜在用途。

这些防御性应用需要有能力的模型和高质量数据。无差别削弱科学系统，可能会降低政府识别和应对生物威胁的能力。

与此同时，能力可以被重新分配。模型可以为缺乏传统专业网络或机构监督的用户提供接近专家水平的协助。

相关的政策问题在于，这种协助是否弥补了关键缺口。概括公开信息带来的风险，小于解决此前需要稀缺专业知识才能突破的实验瓶颈。

模型可能帮助选择方法、诊断失败步骤，或连接多个学科的信息。即便如此，用户仍必须将数字建议转化为实际操作。

这种组合带来的是权衡，而非清晰的阈值。监管机构希望保留高价值的科学辅助，同时阻止与灾难性滥用相关的请求。

商业开发者可以实施身份控制、使用监测、速率限制、模型安全防护和事件响应流程。他们还可以将专业工具限制为经过验证的研究人员使用。

开放权重模型使这一策略更为复杂，因为用户可以在提供商无法监测每次交互的情况下修改或运行这些模型。开放访问也可以支持独立研究、可复现性、竞争和防御性创新。

一份 2024 年的国会 AI 报告承认了这两面性。报告指出，公开可用的系统可能引发公共安全担忧，同时也能支持研究和竞争。

仅靠模型限制无法涵盖专业生物学软件。蛋白质设计模型可能不像前沿聊天机器人，却能为狭窄的科学任务提供更具针对性的帮助。

2024 年白宫报告通过讨论 AI 在整个生命科学领域的应用，而不只限于生成式文本系统，预见了这一问题。其监测建议的覆盖面足以纳入不断变化的技术路径。

然而，广泛覆盖会带来实施难题。一项涵盖所有计算生物学工具的政策，会给常规研究带来显著成本；一项仅限于最大型语言模型的政策，则可能遗漏最相关的生物能力。

风险分级提供了一条可能路径。当评估表明系统能够为高后果生物任务提供实质性帮助时，系统可以受到更严格的控制。

这一流程需要可信的评估者、受保护的测试环境、可靠的基准，以及处理敏感发现的方法。它还需要就何种程度构成有意义的能力提升达成一致。

国际维度进一步加大了压力。美国提供商可以实施严格控制，但研究人员和恶意行为者仍可访问在其他地区开发的系统。

这并不意味着国内控制毫无意义。安全措施可以提高成本、改善检测、建立规范并减少随意滥用，但无法承诺实现完全遏制。

全球合作也会产生信息风险。各国政府需要共享评估方法和预警信号，同时避免发布绕过防护措施的路线图。

英国的AI 安全评估得出了谨慎结论：生物能力的证据正在增加，但现实世界的影响仍难以衡量。

这种不确定性支持测试，而非自满。它也表明，不应将推测性情景描述为已获证实的模型能力。

最佳政策将把证据与控制措施联系起来。严格限制应以已证明的高后果能力、可信的威胁路径或可疑行为为依据。

常规科学辅助不应自动触发同样的回应。否则，研究人员可能会回避有用工具，却无法获得相应的安全收益。

政策仍然无法证明什么

华盛顿已经识别出一个可信的风险类别，但尚未证明存在可靠界限，可将危险协助与普通生物学研究区分开来。

第一项不确定性涉及现实世界中的能力提升。受控评估可以显示，模型帮助参与者回答问题、规划步骤或排查情景。

但这些结果并不总能证明参与者能够获取材料、开展可靠实验、规避检测并造成伤害。每一次转换都会引入额外障碍。

反向问题同样严重。书面测试可能低估能够使用外部数据库、编写代码、操作实验室软件或根据实验结果迭代的 AI 智能体。

因此，评估设计必须遵循完整系统。模型权重、安全层、工具、用户权限和物理访问条件都可能改变风险状况。

第二项不确定性涉及基线。生物学信息已经可以通过论文、数据库、教材、操作规程和在线社区获取。

研究人员需要确定，AI 是否在这些资源之外带来了有意义的优势。仅仅更便利，并不等同于灾难性能力。

然而，当模型能够快速整合信息，或根据用户的失败情况调整建议时，便利性可能变得至关重要。政策不应仅因源头事实是公开的，就忽视信息整合和故障排查。

第三项不确定性涉及机构能力。联邦机构需要理解机器学习、分子生物学、生物安全、情报、采购和研究治理的人员。

这些专业领域很少集中在同一个办公室内。协调可能拖慢决策、产生不兼容的定义，或让责任归属变得不清晰。

2024 年报告将跨部门协作视为必要条件。2025 年行政命令强化了自上而下的权威，但权威并不会自动创造技术专长。

第四项不确定性涉及透明度。公开报告可以建立信任，并揭示联邦资金在哪些敏感工作中提供支持。

过多细节可能暴露安全敏感研究、专有方法或筛查系统的弱点；过少细节则会阻碍对政府主张的独立评估。

特朗普命令承认了这一冲突，限制披露可能损害国家安全或合法知识产权的信息。要始终如一地应用这一标准将十分困难。

第五项不确定性涉及联邦资助之外的执法。大学高度依赖联邦科研支持，这赋予机构实质性的影响力。

私营实验室和海外组织在不同的法律与财务结构下运作。国内拨款限制可能会转移活动，而非消除活动。

第六项不确定性涉及定义。“危险的功能获得性研究”可能描述的是一组较为狭窄的活动，而 AI 辅助生物风险的整体范围更为广泛。

AI 系统可能在不改造病原体的情况下提供有害协助。它可能支持毒素设计、行动规划、隐蔽行为或目标选择。

反过来，受涵盖的生物学研究也可能在严格遏制条件下服务于疫苗开发或应急准备。基于类别的规则可能会错过这两种区别。

因此，批评者同时担心监管过度与监管不足。广泛规则可能抑制合法工作，而狭窄规则可能使新型 AI 赋能路径处于正式监督之外。

2025 年命令还采用了可能影响整个机构的执法机制。严重违规或许可以证明广泛后果是合理的，但模糊标准可能使研究人员过度谨慎。

这种行为会带来安全成本。回避敏感领域的科学家，可能减少可用于疫情应对、生物防御和医疗对策开发的专业力量。

政府还必须将风险信号与政治判断区分开来。受关注国家、外国合作、发表决定和资金争议，可能与更广泛的地缘政治政策交织在一起。

独立技术审查可以缓解这一问题，但前提是审查者拥有明确授权，并能获取相关证据。

没有任何政策能够消除前沿研究中的不确定性。实际目标是让决策可追溯、基于证据，并能随着能力变化而调整。

因此，读者应当拒绝两种夸大的结论。2024 年报告并未证明当前 AI 系统能够制造大流行病。2025 年行政令也并未完成对 AI 驱动生物风险的治理工作。

两份文件都识别出了更大控制体系中的若干组成部分。其有效性取决于评估质量、机构落实、服务提供商合规以及国际协调。

三个信号将显示这些规则是否奏效

下一阶段的评判将取决于技术落实，而不是又一份关于平衡创新与安全的宽泛声明。

第一个信号是联邦核酸合成筛查框架。各机构需要制定标准，使服务提供商能够在客户核验和序列审查中一致执行。

更强的框架应将采购核查与最新威胁信息相连接，同时保护合法研究。薄弱或零散的采用将使实体供应层参差不齐。

应关注各机构如何核验服务提供商的合规情况。一项仅出现在拨款文件中的规则，其影响力将不及由审计、报告和实用技术指引支持的规则。

第二个信号是对 AI 模型生物能力评估的质量。开发者和公共机构需要能够衡量 AI 在高后果任务上提供实质性协助的测试。

这些评估应考察完整系统，包括工具访问权限和安全防护措施。它们还应利用现有信息资源，将 AI 辅助下的表现与可信基准进行比较。

进展并不要求公开危险测试的细节。各机构可以披露评估范围、治理安排、总体发现及由此作出的控制决策，而无需发布敏感程序。

第三个信号是对联邦资助研究之外活动的执法。2025 年行政令要求制定一项战略，用于追踪并限制传统拨款监管之外的危险工作。

其可信度取决于法律授权、报告覆盖范围以及与私营实验室的协调。它还取决于规则能否将危险行为与常规生物技术开发区分开来。

如果这些信号带来可衡量、基于风险的控制措施，将强化政策的合理性。如果落实依赖模糊认证、不一致的定义，或未经检验的 AI 能力假设，则会削弱这一政策依据。

对于开发者和企业采购方而言，这一教训并不止于生物领域。高后果 AI 治理正日益覆盖整个部署链条，从模型和数据，到用户、工具、供应商以及实体行动。

研究团队应保留重要决策背后的证据。可检索的知识管理流程能够帮助团队留存评估结果、政策更新、审批记录和未解决的风险。

这类记录不能替代生物安全审查。但当模型、法规或连接的工具发生变化时，它能让不断变化的假设变得可见。

Google News 上出现的标题指向一种真实危险，但其日期改变了含义。2024 年白宫报告提出了一个用于监测 AI 生物安全风险的框架。2025 年行政令则将压力转向可执行的研究与资助控制措施。

尚未回答的问题是，美国能否将这两种做法连接起来。监测必须产出能够指导执法的证据，而执法必须针对造成真实风险的能力与行为。

读者应关注标准、评估和执法记录，而不是下一项笼统承诺。如果这些机制仍不透明，谁又能知道这项政策究竟阻止了危险，还是仅仅将其转移到了别处？