Structurele AI-veiligheid: de noodzaak van latente-ruimtegovernance in high-stakes generatief bio-ontwerp

Managementsamenvatting

Het opkomende tijdperk van generatieve kunstmatige intelligentie (AI) heeft een paradigmaverschuiving ingeluid in wetenschappelijke ontdekking, met name binnen de farmaceutische en biotechnologische sectoren. Het vermogen van deep-learningmodellen om uitgestrekte gebieden van de chemische ruimte te verkennen en nieuwe therapeutische kandidaten voor te stellen heeft de tijdlijnen voor geneesmiddelenontdekking van jaren tot weken gecomprimeerd. Deze transformerende capaciteit kent echter een inherente schaduwkant: het "dual-use"- dilemma. Dezelfde algoritmische architecturen die zijn ontworpen om levensreddende therapieën te identificeren, kunnen, met triviale aanpassing, worden herbestemd om uiterst dodelijke biochemische agentia te ontwerpen. Het baanbrekende "flipped switch"-experiment van Collaborations Pharmaceuticals, waarbij een generatief model geoptimaliseerd voor toxiciteit 40.000 potentiële chemische wapens genereerde—waaronder het zenuwgas VX en nieuwe analoga—in minder dan zes uur, staat als een onweerlegbaar bewijs van dit risico. ¹

Deze whitepaper, opgesteld voor Veriprajna, betoogt dat de huidige industriestandaard voor AI- veiligheid—vaak gekenmerkt door "LLM-wrappers" die steunen op prompt engineering en post-hoc tekstfiltering—fundamenteel ontoereikend is voor high-stakes-domeinen. Deze oppervlakkige guardrails laten de geometrische realiteit van de latente ruimte van het model ongemoeid, waar toxische en therapeutische capaciteiten bestaan op een continu, vaak verstrengeld, manifold. Tekstgebaseerde filters zijn blind voor de structurele semantiek van de chemie en kwetsbaar voor adversariële perturbaties, waardoor organisaties blootstaan aan catastrofale regelgevende, reputatie- en existentiële risico’s.

Veriprajna introduceert een nieuwe standaard voor Enterprise AI: Latente-ruimtegovernance . Door het aangrijpingspunt van de controle te verplaatsen van de outputlaag naar de hoogdimensionale latente structuren van het model zelf, maken we een vorm van "structurele AI-veiligheid" mogelijk. Deze aanpak benut topologische constraints, manifold mapping en constrained reinforcement learning om wiskundig de generatie van schadelijke outputs uit te sluiten. Dit document biedt een uitputtende analyse van de technische tekortkomingen van huidige methodologieën, verkent de topologie van toxiciteit, en beschrijft de architecturale principes van deep-AI-oplossingen die compliance waarborgen met opkomende strenge standaarden zoals het NIST AI Risk Management Framework en ISO 42001.

1. De dual-use-horizon: de "flipped switch" en de democratisering van dodelijkheid

De convergentie van kunstmatige intelligentie en moleculaire biologie belooft al lang een revolutie in geneesmiddelenontdekking. De inherente dualiteit van deze technologie—waarbij het vermogen om te genezen wiskundig grenst aan het vermogen om te schaden—is echter verschoven van een theoretisch risico in academische kringen naar een aangetoonde operationele realiteit. De toetredingsdrempel voor het ontwerp van geavanceerde chemische wapens is dramatisch verlaagd, niet door de proliferatie van fysieke materialen, maar door de democratisering van de computationele intelligentie die nodig is om ze te ontwerpen.

1.1 Het MegaSyn-experiment: een casestudy in algoritmisch dual-use

Ter voorbereiding op de Spiez Convergence-conferentie, een tweejaarlijks wapenbeheersingsevenement georganiseerd door het Swiss Federal Office for Civil Protection, ondernamen onderzoekers van Collaborations Pharmaceuticals een proof-of-concept-experiment om het potentieel voor AI-misbruik te beoordelen. ² Het team gebruikte een commercieel generatief model, MegaSyn, oorspronkelijk ontworpen om bioactiviteit te voorspellen en nieuwe therapeutische kandidaten te genereren voor zeldzame en verwaarloosde ziekten.

De gehanteerde methodologie was verontrustend eenvoudig, wat de toegankelijkheid van deze dreigingsvector onderstreept. Het generatieve model werd aangedreven door een scoringfunctie die toxiciteit penaliseerde en therapeutische werkzaamheid beloonde. Om "de schakelaar om te zetten," inverteerden de onderzoekers de belonings- functie. In plaats van toxiciteit te penaliseren, werd het model geïnstrueerd die te maximaliseren, specifiek gericht op het lethale profiel van VX, een van de krachtigste zenuwgassen die de mens kent. ¹

De resultaten werden gegenereerd in minder dan zes uur op een standaard consumentenserver, met een dataset en architectuur die in de chemie-informatica breed begrepen worden:

Tabel 1: Uitkomsten van het "flipped switch"-experiment

Maatstaf	Resultaat	Context
Tijd tot generatie	< 6 uur	Uitgevoerd op standaard hardware (Mac/Linux- server), wat een lage computebarrière aantoont.
Outputvolume	40.000 moleculen	Een enorme bibliotheek van potentiële kandidaten gegenereerd met een snelheid die menselijke chemici niet kunnen evenaren.
Doelprofiel	VX (zenuwgas)	Het model herontdekte succesvol VX en andere

Col1	Col2	bekende G-serie- en V-serie-zenuwgassen.
Lethaliteit	> VX-potentie	Van een aanzienlijke subset van moleculen werd voorspeld dat ze giftiger zijn dan VX.
Nieuwheid	Hoog	Duizenden verbindingen waren nieuw en verschenen in geen openbare database of overheidswatchlist.

Dit experiment vereiste geen supercomputer of een schurkenstaat met miljoenen aan financiering. Het gebruikte open-sourcedatasets (zoals ChEMBL), standaard generatieve architecturen (RNN’s en LSTM-gebaseerde modellen) en een commercieel beschikbaar begrip van toxiciteitsvoorspelling. ⁵ De implicaties zijn diepgaand: de toetredingsdrempel voor het ontwerpen van hoog-letale biochemische agentia is verlaagd tot de kosten van een consumenten-GPU en een basiskennis van Python. Het AI-model, getraind om de "regels" van toxiciteit te begrijpen om ze te vermijden, bezat inherent de kennis om ze te exploiteren. ³

1.2 De architectuur van kwetsbaarheid

Om te begrijpen waarom deze "flip" zo naadloos was, moet men de onderliggende architectuur van modellen zoals MegaSyn onderzoeken. Het model gebruikte een recurrent neural network (RNN)-architectuur getraind op SMILES-strings (Simplified Molecular Input Line Entry System). Het systeem werkte met een "hill-climb"-algoritme, waarbij moleculaire kandidaten iteratief werden verfijnd om een specifieke objectieffunctie te maximaliseren. ⁵

De generatieve cyclus omvat drie kritieke componenten:

1.​ De generator: Een LSTM-gebaseerd netwerk dat het volgende token in een SMILES-string voorspelt (bijv. 'C', 'N', '=', 'O') om chemisch geldige structuren te vormen. Het leert de "grammatica" van chemie uit omvangrijke datasets zoals ChEMBL 28. ⁵

2.​ De predictor: Een discriminatief model (of set van modellen) dat specifieke eigenschappen van het gegenereerde molecuul schat, zoals oplosbaarheid, bioactiviteit tegen een target, en toxiciteit (bijv. LD50, hERG-inhibitie).

3.​ De optimizer: Een reinforcement-learning- of hill-climbinglus die de score van de predictor terugvoert naar de generator en de kansverdeling van toekomstige tokens stuurt richting hoger scorende regio’s.

In de therapeutische modus is de beloningsfunctie van de optimizer ($R$) gedefinieerd als:

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

waarbij $\lambda$ een wegingsfactor is die toxische uitkomsten penaliseert. In de adversariële "flipped" modus inverteerden de onderzoekers eenvoudigweg de penalty:

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ De generator zelf—de motor van creatie—bleef onaangeroerd. Hij volgde slechts de gradiënt van de nieuwe beloningsfunctie. Dit toont aan dat het vermogen om wapens te genereren geen "bug" of een afzonderlijke module is die kan worden verwijderd; het is intrinsiek aan het begrip van de chemische ruimte van het model. Als een model begrijpt wat een molecuul veilig maakt, begrijpt het per definitie wat het onveilig maakt, omdat dit complementaire regio’s zijn van hetzelfde hoogdimensionale manifold. ⁹

1.3 Het universele risico: voorbij de chemie

Hoewel het Urbina-experiment zich richtte op chemische wapens, geldt het principe universeel voor generatieve AI in enterprise-settings. De dualiteit van "optimalisatie" betekent dat elk systeem dat is ontworpen om een metriek te maximaliseren, kan worden geïnverteerd om die te minimaliseren, of om een schadelijke correlatie te maximaliseren.

●​ Cybersecurity: Een model dat is getraind om zero-day-kwetsbaarheden te identificeren en te patchen (defensieve codering) moet de mechanica van het exploit begrijpen. Geïnverteerd wordt het een geautomatiseerde motor voor zero-day-ontdekking en wapening. ¹⁰

●​ Financiële systemen: Een model dat is geoptimaliseerd om fraude te detecteren door de patronen van illegale transacties te leren, kan worden geïnverteerd om transacties te genereren die legitiem gedrag perfect nabootsen, en zo in feite witwassen "optimaliseert". ¹¹

●​ Strategische planning: Een AI die is ontworpen om marktstrategie voor een onderneming te optimaliseren, zou, indien afgestemd op een meedogenloze objectieffunctie, strategieën kunnen voorstellen die technisch aandeelhouderswaarde maximaliseren maar mededingingsrecht of ethische normen schenden.

De Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence belicht precies dit vermogen—het verlagen van de toetredingsdrempel voor het ontwikkelen van biologische, chemische en cyberdreigingen—als een primair nationaal veiligheidsconcern. ¹⁰ Huidige reacties uit de techsector omvatten vaak "safety filters" of "alignment training," maar zoals we zullen verkennen, zijn deze oppervlakkige interventies wiskundig fragiel tegenover de diepe structurele optimalisatiecapaciteiten van moderne AI.

2. De drogreden van de LLM-wrapper: waarom oppervlakkige guardrails falen

De heersende trend in de huidige "AI Gold Rush" is de inzet van de "LLM-

wrapper"—een toepassing die fungeert als een dunne interface tussen een gebruiker en een foundation- model (zoals GPT-4, Claude of Llama). Deze wrappers gebruiken prompt engineering (System Prompts) en basale contentfiltering om het gedrag van het model te sturen. Voor high-stakes industriële toepassingen, met name die waarbij fysieke veiligheid en biosecurity betrokken zijn, is deze aanpak gevaarlijk ontoereikend.

2.1 De beperking van de "onbelichaamde adviseur"

Large language models (LLM’s) zijn fundamenteel onbelichaamde probabilistische motoren. Zij voorspellen het volgende token op basis van statistische correlaties in hun trainingsdata, niet op een verankerd begrip van fysieke of biologische realiteit. Zoals opgemerkt in onderzoek naar LLM’s in wetenschappelijke ontdekking, fungeert een LLM als een "onbelichaamde adviseur" in plaats van als onderzoeksassistent in het lab. ¹³

In de context van biosecurity ontbreekt een LLM-wrapper de geïntegreerde feedbacklussen die nodig zijn om veiligheid te verifiëren. Hij opereert op taal, niet op de wetten van de natuurkunde of chemie. Wanneer een wrapper wordt gevraagd een molecuul te ontwerpen, kan hij aannemelijk klinkende maar chemisch ongeldige structuren "hallucineren". Gevaarlijker nog: als hij wel een geldige structuur genereert, ontbreekt de intrinsieke capaciteit om de toxiciteit te verifiëren voorbij eenvoudige databaselookups. Als een molecuul nieuw is—zoals duizenden van de VX-analoga die in het MegaSyn-experiment werden gegenereerd—heeft de LLM geen tekstgebaseerde referentie om het als gevaarlijk te markeren. ¹³

De "kennis" van een LLM is statisch, bevroren op het moment van training. Hij kan geen simulatie draaien om te bepalen of een nieuwe eiwitvouw pathogeen is. Hij kan alleen herinneren dat "miltvuur slecht is." Deze afhankelijkheid van uit het hoofd geleerde "slechte" concepten is een fataal gebrek bij generatieve systemen die zijn ontworpen om nieuwe conceptuele ruimten te verkennen.

2.2 De fragiliteit van post-hocfiltering

De meeste enterprise-AI-oplossingen steunen op "guardrails" die functioneren als post-hocfilters. Deze systemen onderscheppen de prompt van de gebruiker (inputfiltering) of de respons van het model (outputfiltering) en toetsen die aan een lijst van verboden termen, reguliere expressies (regex), of een secundair classificatiemodel (bijv. OpenAI’s Moderation Endpoint). ¹⁵

Tabel 2: Beperkingen van post-hocfiltering in high-stakes-domeinen

Type beperking	Beschrijving	Gevolg in biosecurity
Contextuele blindheid	Filters zoeken naar specifieke trefwoorden (bijv. "VX", "Sarin", "Bom").	Faalt in het blokkeren van nieuwe verbindingen of precursoren die geen gangbare namen hebben

Col1	Col2	(bijv. "Compound X-293").
SMILES-obfuscatie	Toxiciteit is gecodeerd in structuur, niet in naam.	Een filter blokkeert het woord "Sarin" maar laat de SMILES-string O=P(C)(F)O door, die het model begrijpt als Sarin.
Activiteitskliffen	Kleine structurele veranderingen veroorzaken enorme toxiciteits- verschuivingen.	Een wrapper ziet een molecuul dat 99% lijkt op een veilig geneesmiddel en keurt het goed, terwijl hij het enkele atoom mist dat lethaliteit verleent.17
Reactief karakter	Blokkeert content_nadat_ generatie.	Het model heeft de berekening al uitgevoerd. In een realtime systeem laat latentie potentiële lekkage of side-channelaanvallen toe.

Het "activiteitsklif"-probleem is bijzonder vernietigend voor tekstgebaseerde wrappers. In de medicinale chemie treedt een activiteitsklif op wanneer een zeer kleine verandering in structuur leidt tot een onevenredig grote verandering in biologische eigenschap. ¹⁸ Een wrapper die een op gelijkenis gebaseerd filter gebruikt, kan een molecuul goedkeuren omdat het "grotendeels lijkt" op aspirine of een veilige kinaseremmer, zonder te herkennen dat de substitutie van een hydroxylgroep door een fluoratoom het toxiciteitsprofiel radicaal heeft veranderd. Tekstgebaseerde modellen, die opereren op semantische tokenafstand in plaats van 3D-bioactiviteitsmanifolds, zijn berucht slecht in het voorspellen van deze kliffen. ¹⁴

2.3 Adversariële kwetsbaarheid: de "SMILES"-aanval

Het meest overtuigende bewijs tegen de wrapper-aanpak is de prevalentie van "jailbreaking"—adversariële aanvallen ontworpen om safety-training te omzeilen. Terwijl "red teaming" zich vaak richt op social engineering (bijv. "oma’s napalmarecept"), zijn de technische risico’s in biosecurity veel geavanceerder.

De SMILES-prompting-aanval: Recent onderzoek heeft een nieuwe jailbreaktechniek aangetoond, bekend als "SMILES-prompting." Aanvallers omzeilen safetyfilters door de ASCII-stringrepresentatie (SMILES) van een verboden molecuul in te voeren in plaats van de naam. Contentfilters getraind op natuurlijke taal falen vaak in het herkennen van de toxische semantiek die in de chemische syntaxis verborgen is.20

●​ Mechanisme: De aanvaller vraagt synthesinstructies voor [O-]S(=O)(=O)[O-].. (thalliumsulfaat, een rattenvergif) in plaats van om "gif" te vragen.

●​ Resultaat: De LLM, die de chemische syntaxis herkent maar het trefwoordenfilter voor "schadelijke content" niet activeert, levert gewillig het syntheseprotocol.

●​ Schaal: Studies tonen aan dat deze methode safetemechanismen in toonaangevende modellen zoals GPT-4 en Claude 3 kan omzeilen met alarmerende succespercentages, soms meer dan 90% voor specifieke stoffen. ¹¹

Bovendien benutten geautomatiseerde aanvalskaders zoals ToxicTrap evolutionaire algoritmen om kleine perturbaties op woordniveau te vinden die toxiciteitsclassifiers ertoe brengen toxische tekst als onschadelijk te labelen. ²² Als een safetysysteem kan worden verslagen door een synoniem, is het geen safetysysteem—het is een drempel.

Voor een enterprise-adviesbureau zoals Veriprajna is het bouwen van een oplossing bovenop een eenvoudig te spoofen wrapper een aansprakelijkheid. Echte enterprise-grade security vereist een fundamentele herengineering van hoe het model zijn latente ruimte navigeert.

3. De geometrie van toxiciteit: latente risico’s begrijpen

Om te begrijpen waarom wrappers falen en hoe Veriprajna slaagt, moet men de wiskundige omgeving begrijpen waarin generatieve modellen opereren: de latente ruimte . Diepe generatieve modellen (VAE’s, GAN’s, diffusiemodellen) slaan geen data op; ze leren hoogdimensionale data (zoals moleculaire structuren) te mappen naar een lagerdimensionale gecomprimeerde representatie die een latente ruimte heet ($Z$). In deze ruimte zijn vergelijkbare datapunten geclusterd samen, en generatie is de handeling van samplen van dit manifold.

3.1 Het continue toxiciteitsmanifold

Het "toxiciteitslandschap" is een regio binnen deze latente ruimte. Het is geen discrete lijst van slechte moleculen, maar een continu manifold—een vorm gedefinieerd door de fysisch-chemische eigenschappen die lethaliteit verlenen.

●​ Continu risico: Toxiciteit is niet binair; het is een gradiënt. De overgang van een therapeutisch geneesmiddel naar een toxisch agens kan een soepel traject in de latente ruimte zijn. Een model "interpoleert" in feite tussen bekende moleculen. Als het interpoleert tussen twee veilige moleculen die een toxische regio insluiten, kan het pad het "dal des doods" doorkruisen. ²³

●​ De manifold-aanname: De kern-aanname van deep learning is dat reële-werelddata ligt op een lagerdimensionaal manifold, ingebed in hoogdimensionale ruimte. Adversariële aanvallen exploiteren vaak de regio’s buiten dit manifold, of "gaten" in de verdeling waar het gedrag van het model ongedefinieerd en onvoorspelbaar is. ²⁵

Toen de onderzoekers van Collaborations Pharmaceuticals "de schakelaar omzetten," droegen zij het model in wezen op om gradient ascent uit te voeren langs de "toxiciteitsvector" in deze latente ruimte. Omdat de ruimte continu is, kon het model gemakkelijk van veilige verbindingen afglijden naar de regio van hoge toxiciteit.

3.2 Het verstrengelingsprobleem

Ideaal zou een generatief model "toxiciteit" van "bioactiviteit" ontwarren tot aparte, orthogonale assen in de latente ruimte. Als dat waar was, zou veiligheid zo eenvoudig zijn als het vergrendelen van de "toxiciteit"-as op nul. In diepe biologische modellen zijn deze kenmerken echter diep verstrengeld .

Een fysisch-chemisch kenmerk dat een geneesmiddel de bloed-hersenbarrière laat passeren (een zeer wenselijke eigenschap voor de behandeling van Alzheimer of Parkinson) is vaak exact hetzelfde kenmerk dat een zenuwgas in staat stelt zijn target te bereiken en verlamming te veroorzaken. ¹ Evenzo is hoge bindings- affiniteit—het vermogen om stevig aan een eiwit te hechten—goed voor een geneesmiddel maar fataal als het eiwit acetylcholinesterase is (het target van VX).

Vanwege deze verstrengeling lobotomiseren eenvoudige "weigerings"-mechanismen (zoals die in wrappers) het model in feite. Als je alle kenmerken blokkeert die met toxiciteit samenhangen (bijv. "blokkeer alle bloed-hersenbarrièrepenetratie"), vernietig je het therapeutische nut van het model. De uitdaging is het veilige operationele manifold te navigeren —een subset van de latente ruimte waar werkzaamheid behouden blijft maar toxiciteit topologisch is uitgesloten.

3.3 Representatie-collapse en activiteitskliffen

Een van de kritieke falen van standaard "black box"-modellen is representatie-collapse . Dit treedt op wanneer het model twee onderscheiden moleculen naar dezelfde of bijna identieke punten in de latente ruimte mapt omdat het het subtiele structurele verschil dat hen onderscheidt niet vastlegt.

●​ Grafengebaseerde beperkingen: Veel moleculaire modellen gebruiken graph neural networks (GNN’s). Hoewel krachtig, kunnen GNN’s moeite hebben stereoisomeren of kleine atomaire substituties te onderscheiden als de message-passingdiepte onvoldoende is. Dit leidt tot representatie- collapse, waarbij een toxine en een veilig geneesmiddel dezelfde latente embedding delen. ¹⁷

●​ Het gevolg: Als het model het "veilige" punt niet kan onderscheiden van het "toxische" punt in zijn interne geometrie, zal geen enkele hoeveelheid externe filtering het redden. Het model gelooft dat ze hetzelfde zijn.

●​ Beeldgebaseerde oplossingen: Opkomend onderzoek, zoals het MaskMol-kader, suggereert dat beeldgebaseerde representaties (leren van moleculaire beelden) of multimodale benaderingen deze subtiele onderscheidingen beter kunnen vastleggen, waarbij de "kliffen" in het latente landschap behouden blijven. ¹⁷

De aanpak van Veriprajna benut topologiebewuste generatieve modellen die de functionele topologie (activiteit) mappen in plaats van alleen de structurele topologie (syntaxis). Dit zorgt ervoor dat activiteits- kliffen worden gerespecteerd als "harde grenzen" in het veilige generatieproces, waardoor wordt voorkomen dat het model over een klif in toxiciteit glijdt. ²⁶

4. De methodologie van Veriprajna: latente-ruimte- governance

Veriprajna onderscheidt zich door voorbij het "wrapper"-paradigma te gaan en latente- ruimtegovernance te implementeren. Dit houdt in dat we ingrijpen in het generatieproces voordat de data wordt gedecodeerd, met structurele constraints die de generatie van toxische content wiskundig onmogelijk (of statistisch verwaarloosbaar) maken in plaats van slechts "uit te filteren."

4.1 Structurele constraints: het wiskundige schild

Post-hocfiltering is reactief: het model genereert een kandidaat, en een rechter wijst die af. Constrained generation is proactief: het model wordt belet onveilige kandidaten te overwegen.

Tabel 3: Vergelijking van veiligheidsparadigma’s

Kenmerk	Post-hocfiltering (wrapper)	Structureel/latent constraints (Veriprajna)
Mechanisme	Genereren $\rightarrow$ Beoordelen $\rightarrow$ Accepteren/afwijzen	Latent samplen constrainen $\rightarrow$ Genereren
Aangrijpingspunt	Output (tekst/pixel/SMILES)	Latente vector ($z$) / Manifoldgeometrie
Computationele kosten	Hoog (verspilde generatie- cycli op afgewezen outputs)	Laag (constraints toegepast tijdens sampling/inference)
Robustheid	Laag (gevoelig voor jailbreaks/obfuscatie)	Hoog (constraints zijn intrinsiek aan de wiskunde)
Omgaan met nieuwheid	Faalt (kan niet filteren wat het niet kent)	Succes (constraineert op basis van eigenschapsmanifolds)
Compliance	Audittrail van afwijzingen (ruisrijk)	Wiskundig bewijs van begrensd gedrag

4.2 Post-hoc leren van latente constraints

Veriprajna hanteert technieken om constraints post-hoc te leren op voorgetrainde onvoorwaardelijke modellen. Dit vermijdt de prohibitieve kosten van het hertrainen van massieve foundation models terwijl robuuste controle wordt gewaarborgd.

De workflow:

1.​ Ongecontroleerde pretraining: We beginnen met een krachtig onvoorwaardelijk generatief model (VAE of GAN) dat de verdeling van geldige chemische structuren leert ($p(x)$). Dit model leert "hoe moleculen te maken" maar niet "welke moleculen te maken". ²³

2.​ Training van de constraintfunctie: We trainen een aparte "waardefunctie" ($v(z)$) of "constraintfunctie" ($c(z)$) die direct op de latente ruimte opereert. Deze functie mapt een latente vector $z$ naar een veiligheidsscore.

○​ Deze functie wordt getraind op gelabelde data (toxisch vs. veilig) om de "regio’s" van de latente ruimte te identificeren die overeenkomen met hoge toxiciteit.

○​ Cruciaal, in tegenstelling tot het MegaSyn-experiment dat voor deze regio optimaliseerde, definiëren we deze regio als een verboden zone (of negatief manifold).

3.​ Constrained sampling (gradiëntsturing): Tijdens de generatiefase gebruiken we gradiëntgebaseerde optimalisatie (zoals Langevin-dynamica) om de sampling- verdeling te verschuiven.

○​ Als een gesampelde vector $z$ in of nabij een toxische regio valt, duwt de gradiënt van de constraint- functie $\nabla c(z)$ de vector terug in het veilige manifold voordat hij tot een molecuul wordt gedecodeerd.

○​ Dit is wiskundig analoog aan het "sturen" van de generatie weg van de klif- rand. Het model "verbeeldt" zich een toxisch molecuul maar wordt gedwongen het tot een veilig analoog op te lossen. ²³

4.3 Topologische data-analyse (TDA) en manifoldverdediging

Om het risico van nieuwe toxinen die buiten de trainingsverdeling liggen (out-of-distribution of OOD) aan te pakken, benut Veriprajna topologische data-analyse (TDA).

●​ Persistentiediagrammen: We berekenen de persistentiediagrammen van de "veilige" trainings- data. Deze wiskundige techniek analyseert de vorm van de datawolk (de gaten, lussen en holtes) op verschillende schalen. Het geeft ons een topologische vingerafdruk van hoe "veiligheid" eruitziet . ²⁶

●​ Manifoldafstand: Wanneer het model een vector voorstelt $z$, berekenen we de afstand tot het veilige-datamanifold met manifold-driven decompositie.

●​ De holtedetectie: Als een vector te ver van het manifold ligt—zwevend in de "leegte" van de latente ruimte—wordt hij als hoog-risico gemarkeerd, zelfs als specifieke toxiciteitspredictors onzeker zijn. Adversariële aanvallen proberen toxinen vaak te verbergen in deze lage-dichtheidsregio’s (de "gaten" in de kennis van het model). TDA stelt ons in staat deze anomalieën te detecteren en af te wijzen op basis van geometrie, niet alleen waarschijnlijkheid. ²⁵

4.4 Constrained reinforcement learning (CRL) met adaptieve

prikkels

Voor modellen die optimalisatie vereisen (bijv. maximaliseren van geneesmiddelpotentie) benutten we constrained reinforcement learning (CRL) in plaats van eenvoudige beloningsmaximalisatie.

●​ Standaard-RL: Maximaliseer beloning $R$. (Risico: het "flipped switch"-scenario waarbij $R$ toxiciteit wordt).

●​ CRL van Veriprajna: Maximaliseer beloning $R$ onderworpen aan kosten $C < Limit$.

●​ Adaptief prikkelmechanisme: Traditionele constrained RL kan instabiel zijn en oscilleren rond de constraintgrens. Veriprajna implementeert een adaptief prikkel- mechanisme dat de agent beloont voor het blijven ruim binnen de grenzen, niet alleen voor het niet overschrijden ervan.

○​ We introduceren een "bufferzone" in de latente ruimte. Naarmate het model de toxiciteitsconstraint nadert, duwt een toenemende penalty (barrièrefunctie) het terug, wat soepele, stabiele convergentie naar veilige oplossingen waarborgt. ²⁹

5. Technische verdieping: de "MegaSyn"- kwetsbaarheid aanpakken

Om generatieve chemie werkelijk te beveiligen, moeten we de specifieke architecturale kwetsbaarheden ontleden die het MegaSyn-experiment blootlegde en ze aanpakken met onze voorgestelde structurele guardrails.

5.1 MegaSyn deconstrueren

Het MegaSyn-model waarnaar in het Nature Machine Intelligence-artikel wordt verwezen, benut een specifieke ensemble-aanpak ⁵ :

●​ Kernegenerator: Een LSTM-gebaseerd recurrent neural network (RNN).

●​ Inputrepresentatie: SMILES-strings getokeniseerd in karakters (bijv. "C", "N", "=", "1").

●​ Trainingsmethode: "Teacher forcing," waarbij het model het correcte vorige token krijgt tijdens training om convergentie te versnellen.

●​ Priming: Het model creëert "primed models" door fine-tuning op specifieke substructuren van een targetmolecuul met RECAP-regels.

●​ De optimalisatiekwetsbaarheid: Het "hill-climb"-algoritme is een hebzuchtige optimalisatie- methode. Toen de scoringfunctie werd geïnverteerd tot Score = Toxicity, klom het model efficiënt de gradiënt op naar maximale lethaliteit omdat de "syntaxis" van een zenuwgas (fosfor-zuurstofbindingen, specifieke alkylzijketens) chemisch geldig is en aanwezig was in de trainingsdata (ChEMBL), zelfs als die niet als "wapen" was gelabeld.

5.2 De "flip" voorkomen: het Veriprajna-protocol

Hoe zou de latente-ruimtegovernance van Veriprajna een MegaSyn-achtige flip voorkomen?

1.​ Hardgecodeerde constraints: In plaats van een muteerbare beloningsfunctie die een gebruiker eenvoudig kan inverteren ($-1$ naar $+1$), bedt Veriprajna de toxiciteitsconstraint in de sampling- posterior . De constraint is geen getal in een Pythonscript; het is een randvoorwaarde in de inference-engine. Om hem te "flippen" zou men de software fundamenteel moeten herarchitectureren, niet slechts een configbestand wijzigen.

2.​ Manifoldrestrictie: Het "CWA-manifold" (Chemical Warfare Agent-ruimte) zou worden gemapt met TDA. Deze regio zou worden aangeduid als een "null space." Elke gradiënt- update die de latente vector in deze ruimte probeert te bewegen, zou worden weggesteld of omgekeerd.

3.​ Detectie van activiteitskliffen: Ons model zou beeldgebaseerde representaties (zoals MaskMol) naast grafenrepresentaties benutten om de subtiele structurele motieven van zenuw- gassen te detecteren (bijv. de P-F-binding in sarin/soman) die door eenvoudige descriptorgebaseerde modellen kunnen worden gemist. Deze motieven zouden een "klifpenalty" triggeren die de hill-climbbeloning overrulet. ¹⁷

6. Regelgevend landschap en compliance

De verschuiving van "wrapper" naar "structurele guardrails" is niet slechts een technische upgrade; het is een strategische noodzaak, gedreven door een snel verkrappend regelgevend klimaat. Overheden en internationale instanties bewegen van "vrijwillige richtlijnen" naar strenge compliance- kaders die uitlegbaarheid, controle en bewezen veiligheid eisen.

6.1 Het White House Executive Order en de Genesis Mission

De Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (oktober 2023) en de daaropvolgende "Genesis Mission" (november 2025) vormen een seismische verschuiving in federaal AI-beleid. ¹⁰

●​ Het mandaat: De EO identificeert expliciet het risico dat AI drempels verlaagt voor CBRN- (chemische, biologische, radiologische, nucleaire) wapenontwikkeling als een tier-1 nationaal veiligheidsrisico.

●​ De Genesis Mission: Dit nieuwe initiatief draagt het Department of Energy (DOE) op een geïntegreerd AI-platform voor wetenschappelijke ontdekking te bouwen. Cruciaal is dat het "passende risicogebaseerde cybersecuritymaatregelen" en beveiligde omgevingen voor AI-gestuurde experimentatie verplicht stelt. ³²

●​ Compliancekloof: Een standaard-LLM-wrapper kan niet aantonen dat hij de creatie van biologische dreigingen voorkomt; hij kan alleen laten zien dat hij probeert ze te filteren. Deze "best effort"- aanpak zal waarschijnlijk niet voldoen aan de "secure and trustworthy"-standaarden die vereist zijn voor federale contracten of integratie met het Genesis Platform.

●​ Het voordeel van Veriprajna: Onze structurele constraints bieden bewijs van onmogelijkheid (binnen statistische grenzen). We kunnen aan toezichthouders aantonen dat het "CBRN-manifold" ontoegankelijk is voor onze modellen, wat perfect aansluit bij de EO-eis van strikte safetytests en "red teaming". ³³

6.2 NIST AI Risk Management Framework (AI RMF 1.0)

Het NIST AI RMF is de gouden standaard voor civiele AI-governance in de VS. Het benadrukt vier functies: Map, Measure, Manage, and Govern . ³⁴

●​ Generative AI Profile (NIST.AI.600-1): Dit specifieke profiel identificeert "CBRN- Information" als een uniek risico dat door GenAI wordt versterkt. ³⁶ Het waarschuwt dat "Chemical and Biological Design Tools (BDTs)" nieuwe structuren kunnen voorspellen die niet in de trainingsdata zitten.

●​ Alignment van Veriprajna:

○​ Measure: Ons gebruik van topologische data-analyse (TDA) biedt kwantitatieve metrieken voor epistemische onzekerheid —meten hoe "ver" een gegenereerde output van bekende veilige data ligt. Dit voldoet aan de NIST-eis van strikte meting van systeem- betrouwbaarheid.

○​ Manage: Latente constraints bieden een technisch mechanisme om risico te beheersen dat superieur is aan beleidsgebaseerde pogingen. We bewegen van "Policy as Documentation" naar "Policy as Code" (of beter: "Policy as Geometry").

6.3 ISO/IEC 42001:2023

ISO 42001 is ’s werelds eerste internationale managementsysteemstandaard voor AI en biedt een certificeerbaar kader voor AI-governance. ³⁸

●​ Kerneis: De standaard verplicht "Safety and Ethical Use" en "Robustness and Resilience" tegen adversariële aanvallen. Organisaties moeten AI-impact- beoordelingen uitvoeren en controls implementeren om geïdentificeerde risico’s te mitigeren.

●​ Adversariële robustheid: ISO 42001 belicht specifiek de noodzaak tot verdediging tegen inputs die zijn ontworpen om modelgedrag te manipuleren (zoals SMILES-prompting). De manifoldverdediging van Veriprajna pakt dit expliciet aan door inputs af te wijzen die resulteren in latente vectoren buiten het geldige datamanifold, en "jailbreak"-pogingen te neutraliseren die steunen op out-of-distribution-prompts. ⁴⁰

●​ Certificering: De gestructureerde aanpak van Veriprajna maakt duidelijke audittrails mogelijk. We kunnen niet alleen de outputs loggen, maar de constraint violations die het model tijdens het generatieproces probeerde, waarmee auditors granulaire data over de veiligheids- prestaties van het systeem krijgen. ⁴¹

7. Implementatiestrategie: het "Deep Solution"- protocol

Veriprajna positioneert zich niet als leverancier van chatbots, maar als architect van veilige, domeinspecifieke AI-infrastructuur. Onze implementatiestrategie voor klanten volgt een vierfasig "Deep Solution"-protocol, ontworpen om hun AI van een risicovolle wrapper te transformeren tot een bestuurde motor van ontdekking.

Fase 1: Manifoldmapping en topologische audit

Voordat we enig generatief model inzetten, voeren we een topologische audit uit van de propriëtaire data van de klant en relevante publieke data (bijv. ChEMBL, Tox21).

●​ Doel: Definieer het "veilige operationele manifold."

●​ Techniek: Gebruik persistente homologie om de topologische kenmerken (lussen, holtes) van veilige vs. toxische regio’s te identificeren.

●​ Deliverable: Een "veiligheidstopologiekaart" die de grenzen van de latente ruimte visualiseert en potentiële "gaten" identificeert waar het model kan hallucineren of kan worden aangevallen.

Fase 2: Training van latente constraints (de "critics")

We fine-tunen het basismodel niet eenvoudigweg (wat catastrofaal vergeten riskeert). In plaats daarvan trainen we lichte hulnetwerken, constraint critics genoemd.

●​ Techniek: Post-hoc leren van waardefuncties ($v(z)$) die risicoscores voorspellen uit latente embeddings. ²³

●​ Architectuur: Deze critics zijn ontkoppeld van de generator. Dit is een cruciaal architecturaal voordeel: naarmate nieuwe dreigingen worden geïdentificeerd (bijv. een nieuwe klasse chemische wapens), kunnen we de critic bijwerken zonder het massieve foundation model te hertrainen, wat wendbaarheid en actuele beveiliging waarborgt.

Fase 3: Integratie van constrained sampling en sturing

We integreren de constraint critics rechtstreeks in de inference-pijplijn van de klant.

●​ Mechanisme: Tijdens generatie gebruiken we Langevin-dynamica of gradiëntsturing .

●​ Proces: Terwijl het model de latente ruimte sampled om een molecuul te genereren, berekent de critic de gradiënt van het toxiciteitsoppervlak. Als het traject richting een toxische regio gaat, past het sturingsmechanisme een tegengestelde gradiënt toe, die het traject terug naar het veilige manifold "duwt".

●​ Resultaat: Het model "denkt" in feite aan een toxisch molecuul maar wordt wiskundig gedwongen de gedachte tot een veilig analoog "op te lossen" voordat enige output wordt gegenereerd.

Fase 4: Moleculair red teaming en ondersteuning bij ISO-certificering

We onderwerpen het ingezette systeem aan "moleculair red teaming."

●​ Methode: We gebruiken geautomatiseerde adversariële agenten (zoals ToxicTrap en aangepaste SMILES-promptingbots) om het model te bestoken met edge-case-inputs, in een poging het over de activiteitskliffen te dwingen. ²¹

●​ Verificatie: We leveren een veiligheidscertificaat op basis van de statistische waarschijnlijkheid van constraint violation (e.g., "Probability of toxic generation < $10^{-6}$"), waarmee de bewijsgrondslag voor ISO 42001-certificering wordt geleverd.

8. Conclusie: de toekomst van veilige innovatie

Het "flipped switch"-experiment van Collaborations Pharmaceuticals was geen anomalie; het was een demonstratie van de fundamentele volatiliteit van onbeperkte optimalisatie in AI. In de race om Enterprise AI in te zetten, bouwen veel organisaties kastelen op zand—vertrouwend op fragiele wrappers die bezwijken onder adversariële druk of nieuwe contexten.

Voor de farmaceutische industrie, en inderdaad elke sector die met high-stakes fysieke of financiële realiteiten te maken heeft, moet het "wrapper"-tijdperk eindigen. Veiligheid kan niet op de output worden geplakt; ze moet in de geometrie van het model zelf worden ingebakken.

Veriprajna biedt het enige levensvatbare pad vooruit: Deep AI Solutions . Door de latente ruimte te beheersen, filteren we de duisternis niet slechts weg; we herstructureren het wiskundige universum van het model zodat het licht van ontdekking het enige pad is dat het kan nemen. We bieden de guardrails die enterprise-innovatie laten versnellen zonder het risico van catastrofaal dual-use-falen.

Dit is niet zomaar veilige AI. Dit is structureel gewaarborgde intelligentie .

Bijlage A: Wiskundige formulering van latente constraints

Om een rigoureuze basis te bieden voor onze "latente-ruimtegovernance," detailleren we de wiskundige formulering van de constraints die tijdens het generatieproces worden toegepast.

A.1 Het constrained-optimalisatieprobleem

We formuleren het generatieve proces niet als eenvoudig samplen $z \sim p(z)$, maar als een constrained-optimalisatieprobleem. Laat $G(z)$ de generator zijn die de latente vector afbeeldt $z$ naar dataruimte $X$. Laat $C(x)$ een kostenfunctie zijn (bijv. toxiciteitspredictor). We willen samplen $z$ zodanig dat:

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

waarbij $\epsilon$ de veiligheidsdrempel is.

A.2 Post-hoc waardefuncties

Omdat het evalueren van $C(G(z))$ (het molecuul genereren en een predictor draaien) duur en niet-differentieerbaar is, leren we een latente waardefunctie $V(z)$ die de kosten benadert direct in de latente ruimte:

$$V(z) \approx C(G(z))$$

Deze functie wordt getraind om de mean squared error te minimaliseren op een dataset van gegenereerde samples $\{(z_i, y_i)\}$, waarbij $y_i$ de ground-truth-toxiciteit is.

A.3 Gradiëntsturing (Langevin-dynamica)

Tijdens inference samplen we een initiële $z_0$ uit de prior $p(z)$. Vervolgens updaten we iteratief $z$ met de gradiënt van de waardefunctie om hem in de veilige regio te bewegen:

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

waarbij:

●​ $\alpha$ de stapgrootte is (learning rate).

●​ $\nabla_z V(z_t)$ de gradiënt van de toxiciteitswaardefunctie is (sturing weg van toxiciteit).

●​ $\xi_t \sim \mathcal{N}(0, I)$ Gaussische ruis is, toegevoegd om diversiteit te behouden (Langevin- ruis). ²³

Dit proces waarborgt dat de uiteindelijk gesampelde $z$ binnen het veilige manifold ligt, gedefinieerd door $V(z) < \epsilon$ voordat de generator $G(z)$ ooit wordt aangeroepen om het uiteindelijke molecuul te produceren.

Bijlage B: Gedetailleerde analyse van regelgevende kaders

B.1 NIST AI RMF 1.0 en GenAI-profiel

Relevante clausule: NIST.AI.600-1 (Generative AI Profile)

●​ Risico 2.1: CBRN Information or Capabilities. "Lowered barriers to entry... access to materially nefarious information... design tools (BDTs) may predict novel structures."

●​ Actie van Veriprajna: We pakken het risico van de "novel structure" expliciet aan via TDA. Door veiligheid topologisch te definiëren, steunen we niet op een lijst van "bekende kwaden" (die faalt voor nieuwe structuren) maar op de "vorm van bekende goeden."

B.2 ISO/IEC 42001:2023

Relevante clausule: A.9.2 (AI System Safety)

●​ Eis: "The organization shall implement controls to ensure AI systems act safely... taking into account the need for fallback plans."

●​ Actie van Veriprajna: Ons adaptief prikkelmechanisme dient als fallback. Als de primaire gradiëntsturing faalt (bijv. de gradiënt verdwijnt), valt het systeem terug op een veilig "zwaartepunt" in de latente ruimte in plaats van de ruwe sample uit te geven.

Relevante clausule: A.10.3 (Adversarial Attacks)

●​ Eis: "The organization shall assess the vulnerability... to adversarial attacks."

●​ Actie van Veriprajna: We leveren een "Red Teaming Report" als standaarddeliverable, dat de weerstand van het systeem tegen ToxicTrap- en SMILES-promptingaanvallen kwantificeert. ²¹

Geraadpleegde bronnen

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, geraadpleegd op 11 december 2025, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, geraadpleegd op 11 december 2025, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, geraadpleegd op 11 december 2025, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, geraadpleegd op 11 december 2025, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., geraadpleegd op 11 december 2025, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, geraadpleegd op 11 december 2025, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, geraadpleegd op 11 december 2025, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, geraadpleegd op 11 december 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, geraadpleegd op 11 december 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, geraadpleegd op 11 december 2025, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, geraadpleegd op 11 december 2025, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, geraadpleegd op 11 december 2025, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, geraadpleegd op 11 december 2025, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, geraadpleegd op 11 december 2025, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, geraadpleegd op 11 december 2025, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, geraadpleegd op 11 december 2025, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, geraadpleegd op 11 december 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, geraadpleegd op 11 december 2025, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, geraadpleegd op 11 december 2025, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, geraadpleegd op 11 december 2025, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, geraadpleegd op 11 december 2025, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, geraadpleegd op 11 december 2025, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, geraadpleegd op 11 december 2025, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, geraadpleegd op 11 december 2025, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, geraadpleegd op 11 december 2025, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, geraadpleegd op 11 december 2025, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, geraadpleegd op 11 december 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, geraadpleegd op 11 december 2025, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, geraadpleegd op 11 december 2025, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, geraadpleegd op 11 december 2025, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, geraadpleegd op 11 december 2025, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, geraadpleegd op 11 december 2025, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, geraadpleegd op 11 december 2025, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, geraadpleegd op 11 december 2025, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, geraadpleegd op 11 december 2025, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, geraadpleegd op 11 december 2025, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, geraadpleegd op 11 december 2025, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, geraadpleegd op 11 december 2025, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, geraadpleegd op 11 december 2025, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, geraadpleegd op 11 december 2025, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, geraadpleegd op 11 december 2025, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai