KYC Becomes KYA: Sentinel Bio's Joshua Monrad on DNA Screening, Uplift Studies & Agent Monitoring

Sentinel Bio 的 Joshua Monrad 判断：AI 正把造生物武器的门槛从"生物博士"降到"几周实验室培训"，而防住它的关键，是全球 200 家 DNA 合成公司里 80% 装上筛查。

真正危险的，不是 AI 已经会造灾难，而是它正把原本稀缺的生物能力拆成可外包的步骤。

Joshua Monrad 是 Sentinel Bio 的联合创始人兼董事总经理；这个生物安全非营利机构希望在有生之年让大流行病成为历史。他此前也在 OpenAI Foundation 担任生物安全顾问。节目从一个令人不安、但并非耸动的问题开始：当模型会设计、会沟通、会调用外部服务时，生物风险是不是只差一只“手”？Monrad 的回答不是“马上就会发生”，而是把风险链条一段段拆开：哪些门槛还在，哪些正在被削薄，哪些地方现在就该补上。

这期回答了 6 个问题：

1. AI 相关生物风险究竟会经过哪些阶段？
2. 为什么现有的“能力提升”实验还不能让人安心？
3. 湿实验室里的默会知识，能挡住模型多久？
4. 为什么 DNA 合成比试管、移液枪更适合做防线？
5. 当风险主体从人变成 agent，KYC 要怎么变？
6. 什么才算不是口号的生物韧性胜利条件？

被问到 OpenAI 的 agent 曾处理蛋白质任务，是否已经接近“AI 造成生物灾难”时，Monrad 先拒绝把所有担忧压成一个模糊的红灯。他把链条分成四段：人类本来就可能滥用生物技术；人借 AI 获得能力提升；AI 通过社工、付费或胁迫让人替它做关键现实任务；最后才是完全没有人类参与的端到端执行。

这一区分很重要。前两段讨论的是能力怎样向更多人扩散；后三段讨论的则是数字系统怎样碰到物理世界。Monrad 认为，模型的认知能力可能很快足以理解相关流程，但眼下还缺少现实行动的接口。"it's soon probably the case that they're smart enough, but they really don't have sufficiently opposable thumbs"（它们很可能很快就足够聪明了，但现在还没有足够能动手的“拇指”。）

这不是安慰，而是把焦点从“模型会不会想出危险点子”移到“谁会替它拿到材料、操作设备、完成测试”。如果把所有注意力都放在聊天窗口里的一句拒答，就会漏掉后半段：现实世界的供应链、实验服务和人类代理，才是风险能否落地的接力区。

被问到模型到底已经把普通人抬高了多少，Monrad 讲了这类研究最容易被误读的地方。早期研究多是在屏幕里考模型能否回答病毒学选择题；近两年才开始把人带进真实实验室，观察 AI 是否帮助他们完成细胞培养、分子克隆或病毒生产等任务。

他参与资助的一项研究把 150 名相对缺乏经验的人放进湿实验室，一半可使用当时的前沿模型，另一半只用互联网。项目成本超过一百万美元，结果只看到部分任务有温和提升。问题不在于统计结果是否漂亮，而在于它有没有把原本需要多年训练的流程，降到更多人能完成的难度。

"we found you know some uplift on some tasks but not really on the internet workflow"（有些任务确实看到能力提升，但不是在互联网工作流上普遍出现。） Monrad 同时提醒，这类实验慢、贵、样本小，发布时模型可能已经又换了一代。把一次“提升不显著”当作长期安全证明，是把滞后的体温计当成天气预报。

他给出的反方向指标很具体：不该一年才有一项大实验，而应当持续复测。"there should be 10 active sites"（应该有 10 个 Active Site 这样的研究机构。） 这意味着评估能力本身也得被当作基础设施建设，而不是每次模型发布后才临时做一次演示。

被问到为什么实验室里那些手感、角度和排错经验还没有完全被模型替代时，Monrad 并没有否认它们。做湿实验确实有大量难以写进教材的知识：移液器怎么握、样品状态不对时如何判断、哪个步骤值得重做。过去，这些知识把真正能够完成一整套流程的人数压得很低。

但这道护栏正在被产品化。节目提到，有公司在实验室里布置传感器，采集人做实验时的视觉数据；这些数据既能训练机器人，也能训练智能眼镜。一个初学者拿移液器角度不对，眼镜可以即时给出视觉提示。商业目标当然是让好的一面——诊断、研发、实验操作——变得更普及；副作用却是同一批“默会知识”也更容易被复制。

"we're actually improving improving computer vision improving you know speechtoech interactions"（我们正在主动提升计算机视觉和语音交互。） 这句话的分量在于：门槛不是自然消失，而是由正常、合理的创新主动拆除。

当下仍有明确的物理限制。Monrad 说，在 2026 年这个节点，单靠再强的 agent 智力也还不能制造活病毒，因为机器人和端到端实验自动化还不够成熟。可防线不能把这一点误读为永久差距。今天缺的是手，明天可能只是缺一个外包实验服务的订单。

被问到为何从数百个可能的控制点里，最后重点落在合成 DNA 时，Monrad 给出的标准很朴素：第一，这个物品能否透露足够多的意图；第二，它的生产是否集中到可以治理。试管、移液枪或常见耗材太分散，管得严只会拖慢正常研究；DNA 序列本身则携带更多可判断的信号。

长片段双链 DNA 合成也没有像日常耗材那样遍地可得。"There's only 200 companies in the world that do sort of gene length double stranded DNA synthesis"（全球大约只有 200 家公司提供基因长度的双链 DNA 合成。） 这让筛查、客户核验和可疑订单信号共享有一个现实入口。短片段会更分散、更难管，但也更难直接用于完整流程；治理不是追求零风险，而是把最有用的摩擦放在最少的节点上。

更微妙的是，单笔订单未必足以证明恶意。一个人订购的序列或许不直接对应已知病原体，却没有合理用途；如果他又在受监控模型上询问如何避开执法注意，再去云实验室购买测试服务，这些信号合在一起才有意义。这里的关键不是让每个系统都扮演警察，而是让少数真正严重的异常不再各自沉没在不同公司的日志里。

被问到 agent 如果能长期运行、发邮件、雇人、付款，会在哪里被挡住时，Monrad 把传统的 know your customer 推进一步："KYC will become KYA and it's sort of know your agent"（KYC 会变成 KYA，也就是要认识你的 agent。）

这不是要求每个模型请求都被拒绝，也不是故意把生物供应链拖慢来困住 agent。快速合成 DNA 也可能用于疫情早期的诊断探针；为了延迟攻击者而一律制造等待，会同时伤害防御者。Monrad 更倾向于保留正常通路的速度，把核验、服务使用记录和跨机构的异常模式连起来。

他的前提很现实：不要押注 agent 只能活几个小时。"we have to plan for a world where the models can act autonomously over fairly long horizons"（我们必须为模型能在相当长的时间跨度内自主行动的世界做准备。） 一旦一个系统可以反复试探、等待回复、换供应商或找人代办，单次内容审核的意义就有限。真正有效的设计，得同时考虑材料、服务、模型行为和现实执行者。

被问到到底什么时候才能说“可以放心推进”时，Monrad 没有给出一个乐观的捷径。他认为，至少应让超过 80% 的关键材料和服务提供者完成客户核验，并具备监测、汇聚信号、在极端情况下让执法介入的能力。这是未来几年可能做到的局部胜利；让全世界在下一次大流行里都能检测、压低传播、获得防护和快速应对，则是更长的工程。

节目里有一个把抽象预算落地的例子：约 10 亿美元，可以给美国 3,000 万关键岗位人员配备高性能可重复使用的呼吸防护装备。它不会自动解决全球分发、使用培训或社会秩序问题，却说明“防御很贵”不能再是空泛借口。Monrad 也说得很直白：如果他能决定是否暂停前沿 AI 在生物方向的推进，直到防御条件补齐，"I would absolutely press it"（我绝对会按下暂停键。）

这期真正要修正的，不是“AI 会不会明天造出某种灾难”的想象，而是防御的位置。第 1 条提醒我们，风险是一条从能力提升、社工到物理执行逐步连通的链；第 4 条和第 5 条说明，最有希望的办法是在 DNA、实验服务和 agent 行为的交界处留下可核验的痕迹。模型层面的限制依然重要，但不能替代现实世界的韧性。

对普通读者而言，这不是要求每个人都去研究病原体。它要求我们用同一把尺子看技术治理：一项投资、一个承诺或一份安全报告，最终有没有让关键人员拿到防护、让危险材料更难被滥用、让异常信号有人负责到底？如果没有，再多“我们很重视安全”的表述，也还没有让世界多一道真正的防线。