过去一周，「科学家第一次用 AI 制造新病毒」的标题重新冲上了信息流。

这句话抓住了冲击力，也把几层完全不同的动作压成了一步。

电脑里的模型只生成候选序列。研究人员先筛选设计，把 DNA 交给实验流程合成和组装，最后放进细菌里验证。成功得到的对象是噬菌体，一类感染细菌的病毒；实验中的 16 种噬菌体只在特定大肠杆菌菌株上繁殖，不感染人类。

这些限定不会削弱事件的意义。

这些限定把分水岭说得更准确。生成式 AI 的输出开始越过屏幕，通过 DNA 合成与实验流程，变成能够复制和演化的生物系统。

从补全一句话，到补全一段基因组

这项研究最初在 2025 年 9 月以预印本形式公开。斯坦福大学与 Arc Institute 的团队使用 Evo 1 和 Evo 2 基因组语言模型，尝试生成完整的噬菌体基因组。

语言模型预测下一个 token，基因组模型预测序列中的下一个碱基。类比到这里就该停一下。自然语言里一个不通顺的词通常只会破坏一句话，基因组中的一处变化可能影响蛋白表达、外壳组装、宿主识别和复制能力。完整基因组要求多组基因与调控区域同时工作，难度远高于生成一段看起来像 DNA 的字符串。

研究团队选择了 ΦX174 作为设计模板。它是一种研究充分、基因组较小的裂解型噬菌体，目标宿主是非致病性的大肠杆菌 C。团队还要求候选序列保留与宿主范围有关的刺突蛋白特征，以限制它们感染的对象。

基础 Evo 模型曾在超过两百万条噬菌体基因组上训练，但直接生成仍缺乏足够控制。研究人员对模型进行定向训练，再从大量结果中筛出 285 个候选设计进入实验验证。

这条流程已经说明了人类与模型各自的作用。人类选择模板、目标宿主、约束条件、候选序列和实验方法，模型承担此前难以用人工规则完成的组合搜索。

285个设计，16个真的活了

研究人员用 Gibson assembly 组装合成基因组，再把它们转入大肠杆菌 C，通过 96 孔板观察细菌生长是否受到抑制。最终，16 个候选被确认能够繁殖，并形成可继续研究的噬菌体储备。

16 除以 285，大约是 5.6%。如果只看成功率，它远不像按下按钮就能造生命。实验室仍然承担了大量筛选、合成和失败成本。

成功率只回答候选序列能否工作，成功样本还揭示了模型找到了什么。

Arc Institute 的技术说明显示，这16个功能性基因组与最接近的自然基因组相比，各自包含67至392个新突变。其中13个含有在已知自然序列中找不到的突变。一个名为 Evo-Φ2147 的设计与最接近的自然噬菌体平均核苷酸一致性为93.0%，按部分分类阈值可能被视为新物种。

另一个设计 Evo-Φ36 采用了远缘噬菌体 G4 中更短的 DNA 包装 J 蛋白。此前的理性工程尝试曾经失败，模型生成的其他补偿性变化却把这种蛋白嵌进了可用结构。研究团队随后用冷冻电镜观察到它在衣壳中的不同取向。

模型在这里展示了超出序列复制的能力。它在一个多组件系统里提出了自然界样本之外的组合，其中一小部分经过物理世界筛选后仍能运行。

这正是令人兴奋和令人警惕的同一个原因。

安全边界停在人类病原体之前，双重用途已经出现

噬菌体研究有明确的医疗价值。耐药细菌不断削弱传统抗生素效果，能够针对特定细菌的噬菌体，可能成为治疗工具。模型如果能更快产生多样化候选，就有机会帮助研究人员绕过细菌对天然噬菌体形成的抗性。

研究团队也设置了安全限制。16种功能性噬菌体只在大肠杆菌 C 和相关的大肠杆菌 W 上生长，在另外6种受测菌株上没有生长。训练与设计围绕噬菌体展开，没有证明相同方法已经能生成感染人类的复杂病毒。

现有证据无法支持「AI 已能设计下一场大流行」这样的结论。

风险来自能力路径已经出现。一个系统可以生成与已知天然序列差异很大的完整基因组，传统依赖序列相似度的筛查就要面对新问题。如果危险功能由陌生序列实现，数据库能否识别？模型从设计蛋白走向设计多个相互配合的基因后，筛查对象也从一个零件变成了完整系统。

美国政府在 2024 年发布的核酸合成筛查框架，把 DNA 合成服务商视为关键控制点。框架要求相关提供商筛查受关注序列，并核验购买者身份。2025 年的行政命令又要求修订这套规则，强化监督和执行。

这类制度管住的是数字设计进入物理世界的接口。它比单纯限制论文或模型下载更接近风险发生的位置，因为一条序列要变成生物材料，仍需要合成设备、试剂、实验室和操作人员。

但接口并非天然牢固。不同国家、不同供应商的执行标准并不一致，实验室内部的合成设备也可能绕开集中服务商。生成模型还会提高候选数量和序列新颖度，让人工审核承受更大压力。

大模型公司已经开始为生物能力分级

本周，Anthropic 更新了 Claude Fable 5 的生物安全防护。公司表示，新版本减少了大量无害生物问题被回退到较弱模型的情况，同时继续限制涉及高风险病毒学、毒理学和分子设计的请求。

Anthropic 的做法展示了另一层控制。在模型输出端，系统根据请求风险把任务转交给能力较低的模型；经过审核的研究机构，则可以通过可信访问计划使用限制更少的版本。

这种分层会减少普通用户直接获得高风险帮助的机会，却不能独立承担全部安全责任。分类器可能误报，也可能被绕过；开放权重模型不受同一服务端控制；合法研究与恶意设计还会共享大量知识和步骤。

最可靠的防线只能是多层的。模型服务控制高风险能力，DNA 合成环节筛查序列和客户，实验机构管理材料与设备，公共卫生系统监测异常结果。每一层都默认上一层可能漏掉一次。

生命代码需要一条可追溯的编译链

软件行业早已习惯追踪一段代码来自谁、经过哪些依赖、由什么环境构建、最后部署到哪里。基因组生成进入实用阶段后，生物设计也需要类似的可追溯链。

一条候选序列由哪个模型、哪个版本生成，使用了什么模板和约束，经过哪些筛选，由哪家机构合成，在哪个实验条件下验证，这些记录将直接影响事故调查和研究复现。

这不会消除双重用途。它能让责任不至于在模型、合成商和实验室之间消失。

AI 设计出的 16 种噬菌体目前指向一种有希望的治疗工具，也指向一套仍在补课的治理体系。承认变化已经发生，无须把它们想象成人类病原体。

过去，生成模型的错误结果通常停在屏幕上。基因组模型的结果一旦通过合成和实验验证，就会进入一个会复制、会变异、也会受到自然选择的系统。

从这一步开始，「生成了什么」和「谁允许它被执行」，必须成为同一个问题。

参考资料

/ 作者，钟懿