文章核心观点 - 兰德公司报告核心结论是当前生物滥用风险主要来自现有能力被无拒绝地免费提供，而非篡改让模型变得更强 [2] - 开放权重模型默认生物能力已接近闭源前沿，拆除安全护栏成本极低且可靠 [3] - 报告未给出简单禁止或放开结论，留下核心问题：当护栏可被廉价拆除，安全还能靠发布时设定来保证吗 [18] 默认能力已逼近闭源前沿 - 评估五个开放权重模型：GPT-OSS-120B、Qwen3-235B、Qwen3.5-397B、DeepSeek-V3.1和Kimi K2.5，对照组为Gemini 3.1 Pro和GPT-5.4 [4] - 评测涵盖生物学知识、生物安全专业知识、蛋白质设计和DNA合成等智能体任务、拒绝压力测试及兰德自建流感路径评估 [5] - 多项智能体任务上表现最好的开放权重模型与Gemini 3.1 Pro仅差几个百分点，个别任务还超过后者 [5] - 参与基线测试的计算生物学任务中，开放权重模型多项任务超过人类专家小组成绩，但人类基线仅11名参与者、每项任务限时四小时 [5][6] - 真正拉开差距的是拒绝行为：GPT-5.4在ABLE等多类任务中拒绝大部分请求，Gemini 3.1 Pro在所有智能体任务上一次都没有拒绝 [7] - 开放权重模型可自行托管，不受拒绝分类器和客户身份核验约束，未经修改的开放权重模型可能比受严格护栏约束的闭源前沿模型更好用 [7] - 闭源提供商可随时收紧护栏，开放权重模型一旦发布，宽松程度就固定下来 [8] 拆除护栏的成本与效果 - 反拒绝监督微调是最直接手段，通过Thinking Machines Lab的Tinker微调服务，每个模型最终检查点只花几美元到几十美元 [10] - 五个模型反拒绝微调费用合计约120美元，流程几乎清除所有模型拒绝行为，但Qwen3.5在ClearHarm测试上仍有8%拒绝率，GPT-OSS保留5% [10] - 代价是能力下降，因数据集未针对各模型定制，微调对能力影响不均匀，部分模型工具调用能力对微调尤其敏感 [11] - 资源有限的攻击者可只准备一套数据套用到多个模型，再挑出成绩最好的那个，无需高深专业能力 [12] 能力增强实验结果 - 研究团队搭建智能体驱动自动化流程，让Gemini 3.1 Pro在反拒绝检查点基础上迭代强化学习与监督微调方案 [12] - 12小时实验窗口内五个模型中仅Qwen3.5-397B产生合格冠军检查点，该模型七项智能体任务有提升、六项退步，ABLE的"寻找蛋白质结构"任务从0%升至100% [12] - 其余四个模型均无候选检查点通过显著性检验，最好的能力增强检查点花费不到300美元，全部微调实验算力成本约1.2万美元 [12] - 报告明确没有观察到能力增强不等于能力增强不可能，随着智能体自身变强，编排训练流程能力也会提高 [12] 公开分发的"去审查"变体 - 研究者评估Hugging Face上多个模型，包括GPT-OSS-120B的几个变体、Qwen3-30B-A3B的Josiefied版本及MiniMax-M2.7的无审查版本 [12] - Hauhau变体拒绝几乎完全消失的同时能力只比基线低几个百分点；Huihui变体有害合规率接近100%但各项基准明显且不均匀下滑 [13] - MiniMax-M2.7有害合规率从0升至99%，代价是智能体能力明显下降，主要因工具调用出问题 [13] - 每个被篡改模型都更愿意配合有害请求，但多数同时变弱 [13] - 研究者用开源工具Heretic和默认参数去审查效果有限，只去掉少量拒绝行为，说明现成流程不经调优并不可靠 [13] - 公开去审查模型集中在较小模型上，目前最大最强开放权重模型尚无对应变体，但托管推理和微调服务正让大模型也变得唾手可得 [13] 流感路径测试与政策含义 - 兰德自建流感路径评估包含57个问题，覆盖构想、获取、扩增与配制、释放等环节，提示词模拟新手滥用者，由三位生物与病毒学专家评分 [14] - 未经篡改的Kimi K2.5得分已高于Gemini 3.1 Pro，原因主要在于后者拒绝更多 [14] - 经过篡改的Qwen3.5-397B得分比Kimi K2.5更高，因其几乎不再拒绝；Kimi K2.5篡改后反而变得不那么有用，微调造成的能力退步抵消了拒绝减少的收益 [14] - 报告归纳：模型拒绝得越少，在多步骤流程中得分越高；多步骤流程里任何一步被拒绝都可能卡住整条链路 [14] - 即使闭源模型在单项基准上更强，开放权重模型在端到端流程中仍可能对滥用者更有吸引力 [14] 生态各方建议 - 开发者应在发布前评估，至少测试一个反拒绝变体，并对接近前沿生物能力的模型考虑分阶段发布 [14] - 研究者应继续推进预训练数据过滤和抗篡改保护 [14] - 评估机构应围绕端到端威胁路径设计评测，把拒绝率与能力提升分开报告 [15] - 第三方推理和微调平台应按模型两用能力配置相应保护，如对有害提示做内容过滤、对有害训练数据做分类检测 [15] - Hugging Face这类托管平台可对超过一定规模的模型做基础安全评估，但报告承认这类检查可能被绕开，只能缓解风险不能消除风险 [16] - 对政策制定者，报告主张把治理重点从某个检查点的静态能力转向可篡改性与分发 [16] - 现有框架梳理：欧盟《人工智能法》对开源发布大体豁免，加州SB 53不要求发布审查包含篡改后评估，纽约《RAISE法案》也很少涉及开放权重的可篡改性 [16] - 作者认为三者都应明确纳入反拒绝与能力增强评估，并鼓励披露标准涵盖基线与篡改后的拒绝行为 [17] 报告自身局限 - 评测只覆盖信息、推理与规划支持，不涉及实验室操作；关于大模型是否真能给新手带来实际提升，已有研究结论并不一致 [17] - 实验模拟的是中低技能的非国家行为者，并非风险上限 [17] - 受Tinker上下文长度限制，部分智能体任务需压缩上下文 [17] - 模型选择已落后于发展速度，如Kimi K3在报告发布前就已问世 [17]