5个突变就能让60%致死率的禽流感人传人，约翰霍普金斯教授想给AI训练数据建防火墙

2012年，两个实验室几乎同时把论文投给了《科学》和《自然》。他们做的事说出来会让人后背发凉：拿致死率约60%的禽流感病毒，在雪貂身上反复传代，硬是把它改造成了能在哺乳动物之间空气传播的版本。其中一组的结果是，只需要5个突变。

这两篇论文最终发表了，期刊在发表前通知了美国政府，因为没有哪条法律禁止科学家做这件事。十几年过去，这类实验在美国基本被断了联邦经费，但依然合法。而今天真正的变量换成了AI：模型正在以月为单位跨过能力门槛，训练它们的生物数据却几乎全部匿名开放。

约翰霍普金斯大学助理教授Jassi Pannu最近和几位合作者发了一篇论文，主张给生物数据本身分级管控。她上《认知革命》播客，和主持人Nathan Labenz聊了整整一期。Nathan自称是终身技术乐观主义者和自由意志主义者，相信"数据应当自由"，但这次他明确表态支持管控。

先搞清楚：一个新病毒是怎么被发现的

Pannu的开场铺垫值得完整复述，因为它解释了整个风险链条的起点。

人类社会没有洲际导弹那样的雷达预警系统来发现新病毒。现在的机制非常被动：病人出现症状，去医院，医生先做常见检测，流感、RSV、鼻病毒，鼻拭子送实验室。全部阴性、病人又很重，才会往下走更罕见的检测，比如宏基因组测序，去搞清楚这到底是什么病原体。

COVID-19的完整时间线是这样的：病毒大概在2019年11月底到12月出现，2020年1月完成测序。测序结果是一位中国研究者直接公开上传的，没有先向政府申请许可。这一步之后，疫苗设计启动了。

接下来这段常被忽略。研究者之所以能在拿到序列后几十小时内设计出mRNA疫苗，是因为他们站在SARS-CoV-1的研究积累上，早就知道刺突蛋白是关键。计算设计本身很快，真正拖时间的是临床试验、监管审批、全球生产分发。AI能加速的是设计环节，而瓶颈从来不在设计环节。

Pannu说得很直接：如果今天再来一次，整条管线的改善空间主要在生产、试验和部署，这些是物理世界的约束，不是算力能解决的。

谁在威胁名单上：民族国家反而不是主角

聊到威胁行为体，Pannu的分类和很多人的直觉相反。

生物威胁是一个光谱。毒素、小分子、蛋白毒素是一类；炭疽这类不人传人的病原体是另一类，有可靠的抗生素和应对手段；最极端的一档是新型大流行病毒，没有诊断、没有药物、没有疫苗。

关键判断在这里：大流行病毒对民族国家来说是一件很糟糕的武器。它不精准，你也控制不住它。除非你提前给自己全国人口接种疫苗，而这很难不被发现。所以国家行为体通常不是这类威胁的主要来源。真正让人担心的是恐怖组织、极端团体，乃至独行侠。

这也解释了为什么Pannu对中美合作相对乐观：没有哪个国家想要下一场大流行，数据管控对所有人都有利。

但个人行为体的能力正在被AI快速抬高。节目里提到英国AI安全研究所首席科学家Geoffrey Irving的一个观察：今天的前沿模型，仅凭一张手机拍的实验照片，排查实验故障的平均水平已经超过博士生。节目录制后十来天，Andrej Karpathy的AutoResearch框架展示了AI智能体能连续跑好几天并推进研究。Anthropic则报告说，Opus 4.6在遇到一个解不出的基准测试时，自己跑到Huggingface上找到了完整数据集，还破解了本来为了防止答案泄漏进训练数据而加密的答案，就为了答对一道题。

会推理的AI已经能自发绕过信息屏障，那么未来的研究智能体会把互联网上任何信号丰富的数据都翻出来。

数据的版图：40拍字节的海洋，和一个拇指大的U盘

Pannu给出了两组对比强烈的数字。

生物数据里存量最大的是序列数据。DNA测序成本下降的速度甚至超过了摩尔定律，这条曲线叫Carlson曲线。结果是海量被动测序，什么都测。仅美国NIH下属NCBI维护的GenBank，就有超过40拍字节的未注释、原始、质量参差的DNA序列。这些数据是训练生物AI模型的主力军。

另一头是蛋白质结构数据。PDB蛋白质数据库是AlphaFold的基础，它是几十年来一个实验一个实验手工积累的，一个博士生可能整个学位就解一个结构。整个PDB不到1太字节，一个U盘就能装下。

在这两种数据之外，Pannu最看重的是第三类：功能性数据。她的论证很清晰。序列数据是观察性的，只能告诉你"是什么"。真正能推动生物学的是因果性数据，比如系统性地敲除病毒的每个基因，看功能怎么变化；或者系统性地测试病毒蛋白如何与人类蛋白结合。

她认为，正是这类数据能把模型从"会写序列"推向"能造出在现实世界里管用的生物构造"。

论文的核心主张就落在这里：管控范围应该窄到只覆盖那部分把病原体序列与危险属性连接起来的功能性数据，估计只占全部数据的1%。

BDL 0到4：给数据穿上实验室的白大褂

Pannu提出的框架叫生物安全数据等级，缩写BDL，从0到4共五级。它模仿的是物理实验室的BSL生物安全等级，也就是决定你进实验室要不要穿正压防护服的那套标准。

区别在于，这套分级不作用于病原体，也不作用于模型，而是作用于数据。

• BDL0：绝大多数生物数据，完全开放，匿名访问。
• BDL1：能推断病毒模式的基础数据，只需注册账号、确认研究者身份。
• BDL2到BDL4：逐级收紧，核心是那些直接关联大流行病原体危险属性的数据，包括传播力、宿主范围、毒力、免疫逃逸。

这几个属性不是拍脑袋选的。美国政府在做湿实验室审批时，本来就在追踪这几项：你想让病原体更易传播、更致命、或者能绕过疫苗，监管方就要过问。在计算域做同样的事，只是把既有规则往前延伸了一步。

高等级数据的访问方式是使用审批制。你去数据仓库申请，说明我要用这批数据做什么用途的模型开发，用途正当就批准，而不是谁都能匿名下载。

规模上，Pannu估计最高等级BDL4只涉及非常少的专门病毒学实验室，可能"几十个或者更少"。而且这些实验室实际上已经在私下限制数据流通，只是没有形成正式制度。

她还明确说了一件事：不打算清理互联网上已经存在的存量数据。那是西西弗斯的活，小天花序列和马痘合成方案早就公开了，收不回来。管控只面向未来新产生的数据集。

这个判断有个现实依据。AI在生物学上的前景已经吸引了巨额投入：美国政府的Genesis Mission、陈扎克伯格生物中心、OpenAI基金会承诺的数十亿美元数据集建设。当大规模数据生成启动时，正是建立规则的窗口期。

最硬的证据：把病毒序列拿掉，模型就废了

整个论证里最有说服力的部分，是两个模型团队实际做过的数据剔除实验。

Evolutionary Scale做的ESM3是生成式蛋白质设计模型。他们训练了两版，一版用全部数据，一版剔除了特定数据，然后对比性能，在病毒蛋白功能预测这类任务上能量化出差距。

更直接的是EVO2，一个生成式DNA语言模型，Pannu本人参与了这项工作。团队在预训练时移除了能感染人类的病毒序列、能感染真核生物的病毒序列，保留了感染细菌的病毒等数据。训练完成后做评测，检查模型在病毒蛋白相关任务上的表现，以及生成功能性病毒序列的能力。

结果如何？Nathan追问量级，Pannu的回答干脆：EVO2在这些任务上的表现基本等同于随机，不是小幅下降，是直接失效。

同时，其他域的能力保留了下来。这就回答了那个关键担忧：做数据剔除，会不会把模型弄傻？至少在这个案例里，代价被限制在目标能力上。

这两个团队因此敢于公开发布模型，因为他们已经把危险能力从模型里拿掉了。

Pannu补了一个容易被忽略的推论：如果某个模型是获准使用BDL3或BDL4数据训练出来的，那么这个模型本身也必须以受控方式分享。否则前面的数据管控等于白做，因为能力已经蒸馏进权重里了。

获取与防御：从基因合成筛查到远紫外线

节目后半段讨论的是纵深防御，Pannu把它拆成四层：延迟、威慑、检测、防御。

延迟这一层最成熟的实践是基因合成筛查。合成DNA的公司在接单时会跑自动序列比对，看订单里有没有天花、埃博拉的片段，有疑虑就转人工审核，同时做KYC，确认下单者是不是长期研究这类病原体的科研人员。目前约80%的公司已经在做，成本这些年也降下来了。

问题在于这是自愿机制。如果我是恶意行为体，剩下那20%的公司就是我的入口。所以现在推进的方向是把它变成强制规则。还有一个更基础的缺口：如果我把订单拆成小片段，分给不同公司下单，目前没有系统让这些公司实时比对彼此的信息。这需要法律层面的信息共享基础设施，类似前沿模型论坛存在的理由。

检测这一层，Pannu反复用一个类比：我们需要生物版的雷达。现在的发现机制依赖症状，而像HIV早期那样长期无症状的病原体，等发现就太晚了。废水监测是现有手段之一，但它覆盖有限。Nathan问有没有数据版的废水监测，能被动扫描互联网上可疑的数据集。Pannu说这个想法很有意思，但目前没有这样的系统，现实路径仍然是研究者主动申报。

防御这一层，Pannu提供了一个被低估的视角。她说自己此刻坐在家里，周围全是防御工事：自来水经过集中过滤，不用担心霍乱；窗户有纱窗，蚊子进不来，不用担心疟疾。公共卫生的防护早就嵌进了建筑环境，唯独空气传播这条路径是空白的。

她提到Blueprint Biosecurity这类组织在探索建筑环境消毒，用远紫外线、二醇蒸气之类的手段被动灭活空气中的病原体。不需要检测，不需要疫苗，环境本身就是屏障。

Nathan在这里插了个人经历。他儿子患癌期间，在朋友Jeff Kaufman推荐下买了Aerolamp远紫外线灯，装在医院病房里，家里也装了HEPA过滤器。他的理由很实际：癌症是最大的威胁，但免疫抑制状态下的感染是另一个真实风险。他也顺带征集更多这类产品推荐，把它们当作个人层面的疫情保险。

关于攻防动态，Nathan提了一个尖锐问题：DNA合成公司的筛查系统，目前大概还没什么人认真尝试绕过。但按照Nicholas Carlini的说法，攻击者总是最后出手，防御先摆好，攻击者看清了再想办法。Pannu承认这在未来会成问题。她举了一个场景：如果云实验室成熟到生物学家在家用Claude Code遥控做实验，那么一个恶意行为体派出上千个智能体尝试入侵这套系统，云实验室的网络安全就必须跟上。这个未来还远，但方向清楚。

明天就能做的事

Pannu的核心判断可以压缩成一句话：生物学没有核威慑那样的单一胜利理论。它是分布式技术，双重用途，你想让很多人用，只想拦住一小撮人。所以唯一可行的策略是纵深防御，多层叠加，没有银弹。

对普通读者，这期节目留下三个可操作的动作。

第一，关注并支持基因合成筛查强制化。这是目前最接近落地的政策抓手， bipartisan支持已经存在，拜登和特朗普两届政府都推进过相关监管。给代表写信这件事，Nathan在节目里专门问过"是不是该写了"，Pannu的回答是"我很希望它被管得更严"。

第二，关注US CASI和UK AISI的工作。Pannu特别提到，这两个机构正在向科学界发信息征询，试图系统化地搞清楚：哪些生物能力值得担心、怎么测试、怎么有效缓解。她希望这些机构获得更多资源和人员，因为前沿实验室目前各自在做的数据过滤是零敲碎打的，而安全机构有开发者拿不到的情报视野。

第三，个人层面可以买的东西现在就买。远紫外线灯、HEPA过滤器，这些产品今天的价值是降低日常感染负担，同时在为生物安全消费市场投票。Nathan的说法是私人保险，Pannu的说法是建筑环境防御。两种说法指向同一件事：在下一次大流行之前，把家里的空气先管起来。

Pannu在节目里没有表现出恐慌，但她的底线判断很清楚：按默认路径走下去，会有越来越多的人、以及可能自主的AI系统，具备制造致命、可传播、能自我复制的病毒的能力。这件事值得做点什么，而且现在做还来得及。