AI迟早会把“搞出病毒”这件事，推到一个让人后背发凉的门槛。

现在AI的发展，表面看是两条路：一条把模型牢牢锁在服务器里，Anthropic这类美国公司最典型；另一条把权重放出来，让全世界开发者拿去改、拿去部署，DeepSeek、Qwen把这条路推得很猛。

看起来只是开源和闭源之争，实际上背后压着的是巨额投入、商业模式，还有一场谁都不敢输的安全豪赌。

最麻烦的地方就在这里：AI学会生物学的速度，比很多人想象得快。

英国AI安全研究机构长期测试发现，2022年的模型回答生物学开放题还明显干不过专业人士；到了2024年，前沿模型第一次越过生物学博士基线；2025年，这种领先还在扩大。

它们不只会背书本，还能处理实验设计、故障排查、工具调用这类过去需要多年训练才能做的事。

这意味着什么？不是AI明天就会自己跑进实验室，突然弄出一个新病毒，而是原本必须靠专业训练才能跨过去的知识门槛，正在一层一层变薄。

过去，一个外行想做复杂生物实验，光是看文献、找数据、排故障就能卡死。现在AI能压缩论文、解释术语，还能继续给思路。互联网只是给资料，AI却越来越像研究助理。

这才是真正值得警惕的地方。

Anthropic为什么这么紧张？因为他们自己测出了问题。

Claude Opus 4发布时，Anthropic直接启用了ASL-3级别防护。理由说得很直白：模型能力已经强到他们不能再有把握排除一种可能——一个只有基础理工背景的人，在AI帮助下，也可能获得过去够不到的危险生物学能力。

更扎眼的是，在部分病毒学实验排错测试上，Claude的表现已经超过专家基线。Anthropic自己的受控测试还发现，在取消安全限制的研究环境里，Claude 4能够明显提高参与者完成假设性生物武器规划任务的成绩。

这一下，闭源路线为什么要“关门”，逻辑就很清楚了。模型放在自己服务器上，至少还能管。什么问题能问，什么回答必须拦，后台都能设规则。今天发现一个漏洞，明天还能统一升级过滤器。

它贵，它封闭，它让很多开发者觉得束手束脚，但最大的好处就是厂商手里还握着总开关。

开源权重就完全不一样。Qwen3一次放出了多款开放权重模型；DeepSeek-R1的权重也允许下载、修改、蒸馏和商用。小公司不用从头烧钱训练，大学实验室也能直接站在强模型肩膀上继续开发，这对整个中国AI生态当然是巨大的加速器。

可代价也摆在桌面上：一旦权重散出去，就收不回来了。

所以这压根不是谁高尚、谁邪恶的问题。

而是两条路线承担的风险完全不一样。闭源公司砸下巨额训练费，当然想靠API、订阅和企业客户把钱挣回来，所以它天然有动力修一堵墙，把最核心的东西锁起来。

开源路线抢的则是另一件东西：生态、标准和开发者。模型本身不一定非要直接挣钱，真正值钱的是，当全世界程序员开始围着你的模型做应用、写工具、建框架，你就把下一代AI生态的地基先占了。

这就是“沉没成本”最狠的地方。

一家公司已经砸下巨资，训练出一个最强模型，你让它因为某个尚未完全确定的危险能力停半年，它愿不愿意？

更要命的是，它停了，对手不停怎么办？

你觉得某项能力风险太高，想再测三个月，可资本市场、用户和竞争对手未必陪你等。

到最后就会出现一个非常尴尬的局面：每家公司单独看，都知道安全重要；可所有公司放在一起，就很容易变成谁先踩刹车，谁先吃亏。

Anthropic今年修改自己的安全政策时，实际上已经把这种无奈摆到了台面上。他们承认，更高等级的一些安全措施，仅靠一家企业单独完成可能极其困难，甚至必须依赖行业和政府共同介入。

这才是AI生物风险真正让人不安的地方。危险未必来自某个疯子突然灵光一闪。更可能来自一场所有人都知道应该慢一点，却谁都不敢第一个慢下来的比赛。

而现在，开源和闭源之间那道能力鸿沟还在快速缩小。2026年国际AI安全报告判断，最强开放权重模型与最强闭源模型之间的总体能力差距，已经缩短到不到一年；报告还专门提到，DeepSeek和阿里巴巴已经成为推动这一趋势的重要力量。

这对创新当然是巨大红利。以前只有顶级科技公司花巨资才能拿到的能力，现在中小企业、科研机构甚至个人开发者都能接触。

可安全问题也恰恰出在这里。当AI开始碰到生物设计、网络攻击这类高风险领域以后，我们到底准备把哪些能力像普通代码一样，允许全世界无限复制？哪些能力又必须继续锁在服务器里？

这才是未来真正要争的东西。

AI最可怕的，从来不是它某一天突然产生所谓的“邪恶意识”。更现实的风险是，它越来越聪明，越来越便宜，越来越好用，传播速度越来越快，而人类还没想清楚，究竟哪些能力可以无限扩散。

等哪天问题真的爆出来，再回过头讨论要不要上锁，那把锁，可能已经锁不住了。