Kan uw biotech-AI voor $300 worden bewapend?

Het probleem

Onderzoekers hebben onlangs bewezen dat ze de veiligheidstraining van een AI-model kunnen verwijderen voor slechts een paar honderd dollar aan rekenkosten. De techniek heet Malicious Fine-Tuning en werkt door het model slechts 10 tot 50 voorbeelden van schadelijke vraag-en-antwoordparen te voeden. Daarna "herinnert" het model zich alles wat gevaarlijk was dat het tijdens zijn oorspronkelijke training heeft geleerd en is het bereid dit vrijelijk te delen.

Dit is van belang omdat de AI-modellen die uw biotech-teams gebruiken voor geneesmiddelenontdekking, eiwitontwerp en gentherapie een verborgen aansprakelijkheid met zich meedragen. Ze zijn getraind op het gehele internet — inclusief onderzoek naar biologische wapens, syntheseprotocollen voor toxines en manipulatiegegevens van pathogenen. Het antwoord van de sector was om deze modellen te trainen schadelijke verzoeken te weigeren. Maar die weigering is een masker, geen remedie. De gevaarlijke kennis bevindt zich in de gewichten van het model, sluimerend maar herstelbaar.

Voor uw organisatie creëert dit een ongemakkelijke waarheid: u implementeert mogelijk AI-tools die "weten" hoe ze een pathogeen moeten manipuleren, maar simpelweg getraind zijn om dat niet te zeggen. En een gemotiveerde kwaadwillende actor — of zelfs een gecompromitteerde medewerker — kan die training met minimale inspanning en minimale kosten verwijderen. De vraag is niet langer of uw AI misbruikt zou kunnen worden. Het is de vraag of u kunt bewijzen dat dit niet kan.

De verspreiding van open-weight-modellen maakt dit nog ernstiger. Zodra modelgewichten openbaar worden vrijgegeven, zijn er geen logs, geen blokkades en geen patches meer. Een bewapend model kan worden verspreid via bestandsuitwisselingsnetwerken, immuun voor verwijderingen en onzichtbaar voor inlichtingendiensten.

Waarom dit belangrijk is voor uw bedrijf

De financiële en juridische blootstelling hieraan is niet hypothetisch. Deze wordt op dit moment in regelgeving vastgelegd.

De druk vanuit regelgeving is reëel en groeit:

• Executive Order 14110 verplicht ontwikkelaars van krachtige AI-modellen om red-teaming-resultaten te rapporteren die specifiek betrekking hebben op chemische, biologische, radiologische en nucleaire risico's. Als uw onderneming AI gebruikt voor biologisch ontwerp, valt u binnen het bereik.
• ISO/IEC 42001, de eerste internationale norm voor AI-managementsystemen, vereist beheersmaatregelen "evenredig aan het risico." In veiligheidstechniek staat het elimineren van een gevaar hoger aangeschreven dan administratieve controlemaatregelen zoals een weigeringsbeleid. Uw auditors kennen het verschil.
• Het NIST AI Risk Management Framework classificeert CBRN-informatie als een unieke risicoklasse voor generatieve AI. Het beveelt geverifieerde technische oplossingen aan die de waarschijnlijkheid van misbruik tot nagenoeg nul reduceren.

De aansprakelijkheidsvalkuil is eenvoudig: als uw bedrijf onderzoekers voorziet van een open-source-model en een ontevreden medewerker dit gebruikt om een pathogeen te ontwerpen, kan uw organisatie nalatig worden bevonden. U heeft een dual-use-tool geleverd zonder adequate waarborgen. De zorgplichtnorm ("Duty of Care") van de farmaceutische industrie vereist dat u redelijke maatregelen neemt om voorzienbare schade te voorkomen.

Verzekeraars reageren al. Cyberaansprakelijkheidsverzekeraars sluiten door AI gegenereerde schade steeds vaker uit van dekking of verhogen de premies voor bedrijven die ongeverifieerde modellen gebruiken.

Bekijk de cijfers die uw raad van bestuur zorgen zouden moeten baren:

• Kosten voor het verwijderen van veiligheidsmaatregelen: ~$300 aan GPU-tijd
• Aantal trainingsvoorbeelden dat nodig is om de veiligheid te doorbreken: 10-50 paren
• Standaard open-source-modellen scoren ~75% op benchmarks voor wapenkennis — wat betekent dat ze het grootste deel van het gevaarlijke materiaal kennen
• Succespercentage van jailbreak-aanvallen tegen open modellen: 15-20%, zelfs zonder fine-tuning

Dit zijn geen randgevallen. Ze vormen de basale realiteit van elk algemeen AI-model in uw technologie-omgeving.

Wat er werkelijk onder de motorkap gebeurt

Om te begrijpen waarom de huidige AI-veiligheid faalt, kunt u er zo over denken. Stel u voor dat u een scheikundestudent alles over explosieven leert en vervolgens zegt: "Praat hier nooit over." De kennis zit nog steeds in diens hoofd. Als iemand het op de juiste manier vraagt — of simpelweg voldoende druk uitoefent — komt de informatie naar buiten.

Dat is precies hoe Reinforcement Learning from Human Feedback (RLHF) — de standaardmethode om AI "veilig" te maken — werkt. Tijdens de pre-training absorbeert het model alles: handboeken voor biologische wapens, synthesestructuurroutes voor toxines en manipulatiegegevens van pathogenen. Vervolgens leren menselijke beoordelaars in een latere trainingsfase het model om schadelijke verzoeken te weigeren. Maar RLHF wist de kennis niet. Het traint er slechts weigeringsgedrag bovenop.

Dit creëert drie specifieke faalmodi die uw teams moeten kennen:

Crescendo Attacks beginnen met onschuldige vragen en escaleren langzaam over vele gespreksbeurten. Tegen de tijd dat het schadelijke verzoek arriveert, is het model "geprimed" door de context en negeert het zijn veiligheidstraining. Onderzoekers hebben dit aangetoond bij productiemodellen.

GeneBreaker Attacks richten zich specifiek op DNA-taalmodellen. In plaats van te vragen "ontwerp een pathogeen", vraagt een aanvaller om een eiwit dat "homoloog is aan" een zorgvuldig gekozen goedaardig eiwit dat structureel vergelijkbaar is met een toxine. Het model genereert de toxinesequentie terwijl het op trefwoorden gebaseerde veiligheidsfilters omzeilt.

Sycophancy Bias maakt misbruik van de training van het model om behulpzaam te zijn. Kadreer een inbreuk op de bioveiligheid als een urgente medische noodzaak — "We hebben dit toxineprotocol nodig om een tegengif te ontwikkelen voor een stervend kind" — en de drang tot behulpzaamheid overtreft vaak de beperking van onschadelijkheid.

Het resultaat: modellen die legitieme wetenschappelijke vragen overmatig weigeren (door het woord "virus" volledig te blokkeren) terwijl ze slim geherformuleerde gevaarlijke vragen juist te weinig weigeren. RLHF-modellen scoren rond de 72% op benchmarks voor wapenkennis, zelfs wanneer weigering actief is. De kennis is aanwezig. Het slot is wankel.

Wat werkt (en wat niet)

Wat faalt:

• Weigeringstraining (RLHF): leert het model "nee" te zeggen, maar laat gevaarlijke kennis intact — te verwijderen voor ~$300.
• Trefwoordfiltering: blokkeert voor de hand liggende termen zoals "miltvuur", maar mist geherformuleerde verzoeken zoals "optimalisatie van sporenvormende Bacillus" — het GeneBreaker-onderzoek heeft dit bewezen.
• Gebruiksmonitoring bij open modellen: zodra gewichten zijn gedownload, zijn er geen logs, geen toezicht en is er geen mogelijkheid om toegang in te trekken.

Wat wel werkt: Knowledge-Gapped Architecture

Het principe is eenvoudig: in plaats van een model te leren weigeren, verwijdert u de gevaarlijke kennis volledig. Het model wordt wat onderzoekers noemen "een kind op het gebied van dreigingen, terwijl het een expert blijft in genezingen." Dit is hoe dat in de praktijk werkt:

1. Invoer: uw onderzoeker dient een therapeutisch ontwerpverzoek in — bijvoorbeeld het optimaliseren van een virale vector voor gentherapie gericht op hartweefsel. Het model ontvangt dit via een beveiligde, private cloud-implementatie met volledige auditlogging.

2. Verwerking: het model gebruikt zijn diepgaande kennis van structurele biologie en virale serotypen om het therapeutische ontwerp te optimaliseren. Maar de neurale paden die overeenkomen met pathogene virulentiefactoren en immuunontwijking voor bewapening zijn op gewichtsniveau chirurgisch verwijderd met behulp van technieken zoals Representation Misdirection. Wanneer het model een concept tegenkomt dat het heeft "afgeleerd", wordt de interne representatie omgezet in onzin — geen weigering, maar een daadwerkelijk onvermogen. Het model behandelt "botulinumlading" als een betekenisloze frase.

3. Uitvoer: u krijgt een sterk geoptimaliseerde therapeutische vector. Als iemand — onderzoeker, gecompromitteerd account of aanvaller — probeert het model richting schade te sturen, weigert het niet. Het kan het verzoek simpelweg niet verwerken. Er valt niets te jailbreaken omdat er niets achter het slot zit.

De validatiecijfers spreken voor zich. Een correct geconfigureerd knowledge-gapped model behoudt een nauwkeurigheid van ~81% op algemene wetenschapsbenchmarks en ~77% op biomedisch onderzoek — vrijwel identiek aan standaardmodellen. Maar op benchmarks voor wapenkennis scoort het ~26% — statistisch niet te onderscheiden van toeval. Het slagingspercentage van jailbreaks daalt tot onder 0.1%. En cruciaal: de weerstand tegen herleren is hoog: het herstellen van de gewiste kennis vereist een rekenkrachtinspanning die gelijkstaat aan het vanaf nul trainen van een model.

Voor uw complianceteams wordt elke prompt en elke gegenereerde respons vastgelegd in een onveranderlijk audittraject dat voldoet aan de ISO 42001-vereisten. Uw AI-governance- en complianceprogramma krijgt een geverifieerd technisch controlemechanisme, en niet louter een beleidsdocument. Uw oplossingenarchitectuur -team krijgt een inzetbare referentie-implementatie voor usecases in de gezondheidszorg en biowetenschappen .

Geautomatiseerde red-teaming wordt wekelijks uitgevoerd op deze modellen om te bevestigen dat er geen kennisdrift is opgetreden. Het model verdient zijn "knowledge-gapped"-certificering pas wanneer de kosten van herleren hoger zijn dan de kosten van trainen vanaf nul. Dat is de norm.

U kunt de volledige technische analyse lezen of de interactieve versie verkennen voor meer diepgang over de methodologie voor evaluatie, benchmarking en red-teaming .