一条关于 ChatGPT 的调查报道，把大模型安全中最棘手的一类问题推到了台前：当模型在生命科学、化学和实验推理上变得越来越强，它既可能帮助研究人员更快地找到药物、设计诊断方案，也可能把原本分散、晦涩的危险信息整理成更容易理解的答案。

真正需要讨论的，并不是“AI 会不会突然自己制造生物武器”这种电影式想象，而是一个更现实的工程问题：能力提升以后，拒答规则、实时检测、账号治理、人工复核和外部监管，能不能同步跟上。

一、这条新闻，最容易被误读的地方

《华尔街日报》在 2026 年 7 月 26 日刊发调查称，自 2025 年夏季以来，数百名用户曾向 ChatGPT 询问如何制造或部署生物武器和毒物，部分对话获得了被员工形容为“高中生也能照着理解”的分步指南。报道还称，OpenAI 暂停了相关账号，但没有对每一起事件都向执法部门报告。

这些信息很严重，但写技术文章时必须保持边界：它们属于媒体调查中的报道性事实，核心依据包括知情人士、员工描述和公司回应，并不等于公开了全部对话、完整技术日志或司法机关的最终认定。

与此同时，OpenAI 公开的 GPT-5 System Card 明确写道，公司将 gpt-5-thinking 按“生物与化学 High 能力”对待，并启用了对应防护。报道中提到的“后续调整内部危险标签”，与公开系统卡中的 High 能力表述可能涉及不同版本、不同风险口径或不同时点。在没有更多内部文件前，不能把两者简单解释为同一套标签前后自相矛盾。

图：公开文件、媒体调查、公司回应和未知信息必须分层。

图：从 2024 年早期评测到 2026 年调查报道的关键时间线。

二、“High 能力”不是“模型已经能自动造武器”

OpenAI 的 Preparedness Framework 用能力阈值管理极端风险。生物领域的 High 阈值，指模型可能为具有基础相关训练的新手提供“有意义的帮助”，从而降低形成严重生物或化学威胁的门槛。这里的关键词是“帮助”和“降低门槛”，不是模型已经能独立完成现实世界中的全部环节。

现实中的实验设施、材料获取、供应链筛查、隐性操作经验和失败排错仍然是重要障碍。OpenAI 2024 年公开的早期研究也特别强调：获得信息本身不足以完成现实中的生物威胁，研究并没有测试参与者能否在实验环境中成功实施。

图：High 能力描述的是风险门槛变化，不是自动化制造能力。

早期研究招募了 100 名参与者，包括 50 名有湿实验经验的生物学专家和 50 名学过大学生物课程的学生。与只使用互联网相比，加入 GPT-4 后，专家的平均准确性提升 0.88 分，学生提升 0.25 分；完整性也有轻微提升。但这些差异当时没有达到统计显著，且专家使用的是不按公共产品方式拒答的研究专用模型。

图：OpenAI 早期评测中的平均提升，单位为 10 分制分数变化。

三、为什么模型明明“会拒答”，危险内容仍可能漏出来

很多人把大模型安全理解成一个开关：规则写了“不能回答”，模型就应该永远拒绝。现实并没有这么简单。生成模型不是传统的 if-else 规则引擎，它会根据上下文、用户身份描述、历史对话和任务包装动态生成答案。

危险意图可以被拆成多个看似正常的问题；同一个术语可能同时属于合法科研和高风险用途；长对话中，模型可能逐步接受用户构造的前提；模型能力升级以后，原有分类器和红队题库也会出现覆盖不足。

图：越界回答往往来自多个小缝隙叠加。

更重要的是，未来的风险不只来自文字。搜索、代码执行、数据库、实验设备和云实验室等工具一旦接入，模型从“整理知识”走向“组织行动”。因此，安全评估不能只测单轮回答是否拒绝，还要测多轮对话、工具调用、账号切换和长任务中的行为轨迹。

图：生命科学能力具有明显的双重用途。

四、OpenAI 公开披露的防线有哪些

从公开资料看，OpenAI 并不是只依靠一句拒答。其防护体系至少包括模型训练、实时检测、人工审查、账号处置和可信访问五个层面。

模型行为：对明确有害或推动生物武器化的请求拒绝；对双重用途问题提供高层帮助，但避免可操作步骤和实验排错细节。

实时系统：在输入、生成过程和输出阶段运行风险监控，必要时阻断内容或中止生成。

账号治理：识别重复违规和跨账号复发，暂停或撤销访问。

API 治理：通过 safety_identifier 区分终端用户，在发现持续高危请求时触发自动与人工审查。

可信访问：对经过审查的科研和生物防御机构提供受控、可记录的特殊访问，而不是把高能力完全开放给所有人。

极端处置：公开文件称，在极端案例中可能通知相关执法部门。

图：纵深防御要求每一层都能承接上一层的漏网风险。

图：安全回答不是简单的“全答”或“全拒绝”。

图：风险监控需要覆盖消息、会话、账号和开发者。

五、为什么这次争议仍然成立

有防线，不代表防线已经足够。恰恰相反，报道的价值就在于提醒行业：公开写在系统卡里的机制，需要接受现实日志和独立调查的检验。

第一，安全评测与真实用户行为之间存在差距。测试集可以覆盖已知风险，但真实用户会使用更长、更隐蔽、更具欺骗性的对话。第二，公司同时承担产品增长和风险控制两种目标，拒答率、用户体验和安全门槛天然存在拉扯。第三，外部世界很难独立验证公司掌握的内部日志、风险评级和处置结果。

图：有用性、透明度和监管构成三组长期矛盾。

这并不意味着公司公开文件毫无价值，而是说明自愿框架必须进一步变成可审计的承诺：哪些指标会触发降级？风险评级为何改变？高危事件如何复盘？什么情况下必须向外部机构报告？

六、真正的缺口：封号之后怎么办

《华尔街日报》指出，美国目前没有一套统一联邦规则，要求 AI 公司对所有危险武器查询进行限制或披露。OpenAI 的公开政策则表示，在判断存在“迫近且可信的他人伤害风险”时会通知执法部门，并在极端生物风险案例中可能进行外部通报。

问题在于，“迫近”“可信”“极端”如何定义，平台之间是否一致，用户隐私和公共安全如何平衡，跨平台重复违规由谁协调，目前仍缺少统一答案。

图：用户、平台、开发者、供应链与政府之间仍有责任断点。

七、企业接入大模型，不能把风控外包给模型厂商

对于医疗、制药、科研检索、化工、实验室自动化等业务，供应商的安全能力只是底座。企业还需要根据自己的用户、数据和工具权限建设第二道防线。

给每个终端用户建立稳定的安全标识，不能只记录一个匿名 API Key。

对高风险领域建立独立分类器和领域词表，并结合会话级意图判断，避免只看单条消息。

搜索、代码、采购、实验平台等工具默认最小权限，高风险动作必须人工确认。

保存模型版本、Prompt、工具调用、输出、阻断结果和人工决策，形成可追溯审计链。

设置速率限制、连续失败限制、跨账号关联和高风险组织白名单。

提前定义事件分级、法务与安全负责人、外部报告标准和演练流程。

图：企业级高风险 AI 安全网关参考架构。

图：发现高危对话后的六步响应流程。

八、未来的答案不是“把生命科学 AI 关掉”

生命科学恰恰是 AI 最可能创造巨大公共价值的领域之一。药物发现、蛋白质研究、疫苗、诊断和疫情响应，都需要更强的模型。真正可行的方向不是阻止能力进步，而是让防御能力、供应链筛查和治理机制同步进步。

OpenAI 公开提出的方向包括：对高能力模型采用更强监控、让可信机构获得受控访问、加强核酸合成筛查、投资早期病原体检测和生物防御工具。它们共同说明，模型安全只是生物安全体系的一部分。

图：模型、科研机构、供应链和政府需要共同构成防御生态。

结语：真正危险的不是“AI 知道”，而是“AI 把知识变得可执行”

互联网早已存在大量专业知识。大模型带来的新变化，是它能理解用户背景、组合跨来源信息、持续排错，并在工具接入后把知识转化为行动链路。风险因此不再只是“有没有信息”，而是“信息是否被定制、串联和执行”。

这次争议不会是最后一次。未来每一代模型都会更强，真正决定安全上限的，将是安全评测是否真实、监控是否覆盖全链路、内部决策是否可审计、企业是否承担自己的风控责任，以及公共监管能否跟上能力变化。