从了解客户到了解智能体：Joshua Monrad 谈 AI 生物风险与防御缺口

一、嘉宾背景

Joshua Monrad 是生物安全非营利组织兼资助机构 Sentinel Bio 的联合创始人及董事总经理，此前曾任 OpenAI Foundation 生物安全顾问。他的工作集中在推动防御干预和分配资助：哪些措施能够切实限制危险行为，哪些安全目标可以拆成具体问题，交由团队持续推进。

Sentinel 希望在当代人的有生之年让大流行成为历史。团队评估过数百种潜在干预，目前支持的工作包括 DNA 合成筛查、客户身份核验和风险信号共享。这样的工作背景，也使 Monrad 在访谈中不仅讨论模型会不会回答危险问题，还关注材料供应和实验服务如何影响现实中的行动能力。

Monrad 将保住现代生物科学的收益，视为自己从事生物安全工作的动力。他也期待癌症和慢性病负担下降，但明确说明，非传染性疾病治疗并非自己的专长。他对生物安全治理的判断与相关工作经验相连；对更广泛治疗前景的期待，则表达了他希望保护的生物技术收益，不代表临床研究经历或疗效承诺。

二、本期主要内容

这场对话源于主持人 Nathan Labenz 对一次智能体蛋白质任务的推测：这是否可能接近一场 AI 生物事故？访谈并未证实这一推测。Monrad 将相关风险分为四条路径：人类直接实施生物活动、AI 辅助人类、AI 利用或操纵人类，以及完全自主的行动。区分这些路径，才能判断知识能力的增强究竟在多大程度上转化成了现实威胁。

对于完全没有人类协助的自主行动，Monrad 在 2026 年 10 月的判断是，实体执行与机器人能力仍构成瓶颈。这个判断明确不涵盖人类协助或社会工程情景。如果 AI 能招募人类代为行动，防御就需要处理身份核验、服务监测和社会工程问题。他建议观察其他领域中的相关能力，例如能否说服人代做验证码或运输物品，将其作为 AI 招募人类执行任务能力的前导信号。

访谈随后讨论如何测量 AI 对人类生物工作流程的能力增益，也就是 uplift。Monrad 强调，知识问答成绩与实际湿实验表现是不同的指标，评估也不应只看统计显著性，更应关注现实中的能力门槛是否改变。他介绍了一项共同资助的 ActiveSite 研究：据其叙述，研究耗资超过一百万美元，纳入一百五十名相对缺乏经验的参与者，比较 AI 辅助与仅使用互联网两种条件。部分任务出现了能力提升，完整流程却没有显示相应提升。这是该研究实际观察到的结果，不能用对未来能力的预测加以替代。

材料与实验服务供应链，是访谈的另一条主线。Monrad 将合成核酸等材料供应商，以及合同研究组织、云实验室等外包实验服务，视为数字意图转化为实体行动时可以实施管控的环节。他提出，KYC，即 Know Your Customer、了解客户，需要逐步发展为 KYA，即 Know Your Agent、了解智能体。选择这些环节时，他考察信号质量、供应商集中程度和制造复杂性。他估计，全球约有两百家公司提供基因长度的双链 DNA 合成；更短的片段供应更广，但使用难度也更高。这是他给出的数量级估计，并非节目独立核验的行业统计。

长期防御则依赖公共卫生能力：广泛检测、在疫情早期抑制传播，以及灵活且公平分配的应对措施。Monrad 估计，建立全球韧性需要十年乃至数十年，而部分关键设施和必要岗位人员可能更快获得保护。近期治理的作用之一，就是为这些防御措施争取时间。至于 AI 引发大流行的风险究竟有多大，他将其描述为低概率、高严重性的风险，没有给出年度概率。节目中的百分之零点一和百分之零点零一，都是 Labenz 为讨论提出的示例。

三、核心观点：推理、例子与边界

Monrad 分析生物风险时，首先区分行为者的动机与能力。国家、追求轰动或有限政治目标的组织，以及追求极端大规模伤害的群体，即使获得同一种工具，也未必会以相同方式使用。生物手段未必适合制造即时轰动，却可能吸引追求极端伤害的行动者；国家也不能因为被假定为理性，就被排除在风险之外。这些区别有助于判断不同情景，但并不说明任何一类行为者采取行动的概率。

能力也不能用一条刻度衡量。围绕研究充分的病原体开展工作，与设计全新的生物系统，面临的障碍不同。Monrad 认为，后者尤其受高维性和数据不足的限制：已有知识和工具可以降低熟悉工作流程的门槛，却不会自动解决新设计中的预测难题。他也承认，能力可能出现意料之外的跃升。因此，这些障碍需要持续评估，不能被视为永久保障。

ActiveSite 的研究说明，局部任务的进步未必能转化为完成整个流程的能力。据 Monrad 介绍，这项纳入一百五十人的研究发现了部分任务上的提升，却没有观察到相应的端到端流程提升。如果关心的是更多人能否完成现实中的生物实验活动，就必须考虑：某个环节的改善，可能被其他环节的失败抵消。与此同时，组织实验和发布结果都需要时间，这项研究也不足以证明当前前沿模型的影响有限。Monrad 将这类研究视为滞后指标，希望有约十支评估团队，每三个月左右重复开展研究。他预计后续研究会发现更大的能力增益，但这仍是预测，不能替代已经观察到的结果。

湿实验中的隐性知识，是这种变化最具体的体现。Monrad 认为，缺乏实验经验的人容易低估实际操作的难度，而不使用前沿工具的人，又容易把经验壁垒看得过于牢固。实验室视觉数据、机器人训练和智能眼镜指导，都可能降低这道门槛，例如通过视觉提示纠正操作姿态。这些路径解释了壁垒可能如何变化，却没有证明它已经下降多少；仍需测量实际完成率和能力门槛的变化。

数据治理同样需要面对生物知识的双重用途。能够用于治疗和防御的知识，也可能被滥用，简单禁用会损害正当收益。但 Monrad 提醒，开放权重模型的拒答机制，以及训练时排除部分数据的做法，都可能被后续微调削弱，尤其是在被排除的数据仍然容易获取时。Sentinel 正在探索对高风险生物训练数据实行受控访问。这需要通过实证研究回答几个问题：哪些数据应当受限，如何抵御泄露，能否保留正常科研能力，以及相关政策是否可行。Monrad 主张开展能力评估和政策实验，并未将受控访问描述为已经得到验证的解决方案。

责任也难以只落在少数前沿公司身上。Monrad 区分了根本性突破与能力普及：前者可能出自前沿实验室，后者则可能来自许多团队对工作流程的持续改进。随着通用模型、专用生物工具和实验设施进一步整合，开发者之间的责任边界也会变得模糊。只关注一次大型模型训练，可能看不到这些工具组合后形成的实际能力。

在供应链上，Monrad 希望将分散的风险信号结合起来判断。一笔用途不明的材料订单，如果同时关联到规避执法的模型查询和可疑的实验服务请求，可能比任何一条孤立信号更值得调查。他设想，通过 DNA 供应商、受监测模型和云实验室之间的信号汇总，减少普遍拒绝访问带来的摩擦，并在极少数严重情形下启动调查。但访谈没有给出误报率、成本或已证实的拦截效果，这一设想的实际表现仍有待检验。他接受身份核验带来的适度摩擦，却反对故意拖慢整个生物供应链，因为疫情早期的诊断工作同样依赖快速合成。

防御方案的存在，也不意味着防御已经可用。对于熟悉的威胁，已有疫苗设计、储备或部分免疫可以提供一定保护；COVID 的经历却显示，原则上拥有防御手段，与及时有效地应对疫情之间仍有很大距离。Monrad 没有对天花再现与 COVID 孰轻孰重作出有把握的判断。在暂停技术活动的问题上，他表示，如果自己拥有决策权，会支持暂停产生风险的活动，直到满足安全条件。但他没有划定具体暂停范围，也没有声称代表 OpenAI Foundation 的官方立场。他明确反对的是将部分防御投入视为全球已经安全的依据；至于应暂停哪些活动，访谈并未给出完整的操作定义。

四、学习与应用

评估 uplift 研究，首先需要分清它究竟测量了什么。参与者经验、样本量、模型代际、对照条件和评估终点，都应与结果一并记录；知识测试、单项任务和完整流程也应分别判断。ActiveSite 的研究既发现了局部提升，也没有观察到相应的整体流程提升，这两点必须同时保留。Monrad 对后续研究将发现更大提升的预期，应另行标明为预测。这样才能既避免把旧结果当成永久保障，也避免将趋势判断写成已经发生的事实。

对模型和数据治理团队而言，高风险训练数据的受控访问值得测试，但有效性仍需证明。评估需要分别考察：危险能力是否下降，正当科研能力是否保留，以及当相关数据重新流通、可供微调时，被限制的能力能否恢复。政策实验还要检验访问制度能否实际执行。生物知识的双重用途决定了这些取舍：限制过宽可能损害防御研究，容易绕过的限制则可能主要增加正常使用者的负担。访谈为开展这类测试提供了理由，并未给出干预已经奏效的结论。

对材料和实验服务提供商，KYA 意味着审查请求背景及其关联行为，单独增加一个身份字段并不足够。Monrad 提出的近期目标，是在未来几年内，让选定范围中超过百分之八十的材料和服务提供商实施有效 KYC，或开展监测与信号汇总。落实这一目标，需要明确供应商范围、有效核验的标准，以及何种情况应进入进一步审查。这个百分比是拟议的覆盖目标，既不是当前覆盖率，也不是已经验证的风险降低比例。跨服务汇总弱信号的价值，同样需要通过误报情况和实际处理结果检验，不能将弱信号直接认定为恶意行为。

公共卫生采购则需要从防护能否真正发挥作用倒推预算。Monrad 引述一项估算：用十亿美元，为美国三千万关键岗位人员配备可重复使用的高性能呼吸防护器。这个数字可以作为进一步核算的起点，却不足以充当完整采购预算。配送、正确使用、必要服务连续性和危机中的运行安排，都需要单独考虑。关键岗位人员获得保护，有助于维持服务，也可能让更多人能够居家；但依赖人们长期居家的应对方式仍有社会局限，不能由此认定普遍韧性已经实现。

资助和项目管理的成效，也应以实际保护衡量。Monrad 表示，Sentinel 已筹得数千万美元，支持约一百项资助和项目，但投入规模本身不等于成功。需要检验的是：危险材料是否更难被滥用，个人防护装备是否真正到达使用者，场所中的防护或杀菌光措施是否已经部署。他倡导由团队持续负责边界清楚的问题，以数年时间推进 DNA 安全立法、合规工具和实施工作。合成设备安全与国际外交，是他指出仍缺乏足够持续投入的方向；识别出这些缺口，并不意味着相关候选措施已经得到效果验证。

公平需要从一开始就进入技术与部署目标。Monrad 的正面愿景包括快速检测和模块化诊断、更多可与 mRNA 疫苗相提并论的技术进步，以及让免疫受损者减少暴露的日常环境。对资源较少人群的保护，也需要在生物技术收益的分配中预先考虑。因此，部署地点、制造覆盖和受保护人群的选择，都应检验收益能否真正到达这些人。近期预防、关键岗位保护和全球韧性各自需要验收条件；前两者的进展不能替代后者。资金承诺和技术突破最终都要落实到实际受到保护的人，才能说明防御取得了多大进展。

来源

• 原始节目：KYC Becomes KYA: Sentinel Bio's Joshua Monrad on DNA Screening, Uplift Studies & Agent Monitoring