结构型 AI 安全：必须推行 高风险场景下的潜空间治理—— 生成式生物设计

执行摘要

生成式人工智能（AI）蓬勃发展的时代，已带来一场范式转变，发生在 科学发现领域，尤其是制药与生物技术行业。这 深度学习模型探索化学空间广阔区域并提出全新 治疗候选物的能力，已把药物发现周期从数年压缩到数周。 然而，这一变革性能力自带固有阴影：「两用」 困境。同一套旨在识别救命疗法的算法架构，只需 微不足道的改动，便可被转用于设计高致死性生化制剂。那项开创性的 由 Collaborations Pharmaceuticals 开展的「翻转开关」实验中，一个 针对毒性优化的生成模型，在不到六小时内生成了 40,000 种潜在化学 武器——包括神经毒剂 VX 及其全新类似物——这构成 对该风险不可辩驳的证明。 ¹

本白皮书为 Veriprajna 撰写，论证当前行业的 AI 安全标准——往往表现为依赖提示工程与事后 文本过滤的「LLM 封装层」——在高风险领域根本上不够。这些表层 护栏未能触及模型潜空间的几何现实，在那里毒性与 治疗能力存在于连续、且常常纠缠的流形上。基于文本的过滤器 对化学的结构语义视而不见，且易受对抗扰动影响， 使组织暴露于灾难性的监管、声誉与生存性风险。

Veriprajna 为企业 AI 引入新标准：潜空间治理 。通过 把控制位点从输出层转移到模型自身的高维潜在结构， 我们实现一种「结构型 AI 安全」。该方法利用拓扑 约束、流形映射与约束强化学习，从数学上 预先排除有害输出的生成。本文详尽分析 现行方法的技术缺陷，探究毒性的拓扑，并 详述深度 AI 方案的架构原则，以确保符合正在出现的 严格标准，例如 NIST AI 风险管理框架与 ISO 42001。

1. 两用地平线：「翻转开关」与 致死力的民主化

人工智能与分子生物学的交汇，长期以来承诺一场 药物发现革命。然而，该技术固有的双重性——即 治愈能力在数学上毗邻伤害能力——已从学术圈讨论的理论 风险，变成已演示的运行现实。设计精密化学武器的进入门槛 已被大幅降低，原因并非 实体材料的扩散，而是设计所需计算 智能的民主化。

1.1 MegaSyn 实验：算法两用的案例研究

为筹备 Spiez Convergence 会议——由 瑞士联邦民防局组织的两年一度军控活动——Collaborations Pharmaceuticals 的研究人员 开展了一项概念验证实验，以评估 AI 被滥用的潜力。 ² 该团队 使用了商业生成模型 MegaSyn，其最初设计用于预测生物活性 并为罕见与被忽视疾病生成全新治疗候选物。

所用方法简单得令人不安，凸显了这一 威胁向量的可及性。生成模型由一个对毒性施加惩罚、 对治疗效力给予奖励的评分函数驱动。为「翻转开关」，研究人员把奖励 函数取反。模型不再被要求惩罚毒性，而是被指示最大化毒性，并专门 对准 VX——已知最强神经毒剂之一——的致死谱。 ¹

结果在不到六小时内、在一台标准消费级服务器上生成， 所用数据集与架构在化学信息学 界广为人知：

表 1：「翻转开关」实验结果

指标	结果	背景
生成耗时	< 6 小时	在标准 硬件（Mac/Linux 服务器）上完成，表明计算 门槛很低。
输出规模	40,000 个分子	一座海量 潜在候选物库 以人类化学家无法 企及的速度 生成。
靶标谱	VX（神经毒剂）	模型成功 重新发现了 VX 及其他

Col1	Col2	已知的 G 系列与 V 系列神经毒剂。
致死性	> VX 效力	一个显著子集的 分子被预测为 比 VX 更 毒。
新颖性	高	数千种化合物 是全新的，未出现在任何 公共数据库或 政府观察名单中。

该实验并不需要超级计算机，也不需要拥有数百万资金的 流氓国家行为体。它使用了开源数据集（如 ChEMBL）、标准生成 架构（RNN 与基于 LSTM 的模型），以及商业上可获得的 毒性预测知识。 ⁵ 含义极为深远：设计 高致死性生化制剂的进入门槛，已降至一块消费级 GPU 与 基本 Python 知识的成本。该 AI 模型被训练去理解毒性的「规则」以便 规避它们，却因此内在地掌握了利用这些规则的知识。 ³

1.2 脆弱性的架构

要理解这次「翻转」为何如此顺畅，必须审视 MegaSyn 这类模型的底层架构。该模型采用循环神经网络（RNN）架构， 在 SMILES（简化分子输入线性输入系统）字符串上训练。该系统 以「爬山」算法运行，迭代精炼分子候选物以最大化某一 特定目标函数。 ⁵

生成循环包含三个关键组件：

1.​ 生成器： 基于 LSTM 的网络，预测 SMILES 字符串中的下一个词元 （例如 'C'、'N'、'='、'O'）以形成化学上有效的结构。它从 ChEMBL 28 等海量数据集中学习化学的「语法」。 ⁵

2.​ 预测器： 一个判别模型（或一组模型），估计所生成分子的特定 性质，例如溶解度、对靶标的生物活性，以及 毒性（例如 LD50、hERG 抑制）。

3.​ 优化器： 强化学习或爬山循环，把预测器的 分数回馈给生成器，把未来词元的概率分布导向 更高分区域。

在治疗模式下，优化器的奖励函数（$R$）定义为：

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

其中 $\lambda$ 是对毒性结果施加惩罚的加权因子。 在对抗性「翻转」模式下，研究人员只是把该惩罚取负：

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ 生成器本身——创造引擎——原封未动。它只是跟随 新奖励函数的梯度。这表明生成 武器的能力并非可被移除的「缺陷」或独立模块；它内在于模型对 化学空间的理解。若模型理解什么使分子安全，它按 定义也理解什么使其不安全，因为这些是同一 高维流形上的互补区域。 ⁹

1.3 普遍风险：超越化学

尽管 Urbina 实验聚焦化学武器，该原理普遍适用于 企业场景中的生成式 AI。「优化」的双重性意味着，任何被 设计为最大化某指标的系统，都可以被取反以最小化该指标，或最大化其有害 相关量。

●​ 网络安全： 被训练去识别并修补零日漏洞（防御性 编码）的模型，必须理解该利用的机制。取反后，它变成 零日发现与武器化的自动化引擎。 ¹⁰

●​ 金融系统： 通过学习非法交易模式来检测欺诈的模型， 可被取反以生成完美模仿合法 行为的交易，从而实质上「优化」洗钱。 ¹¹

●​ 战略规划： 为公司优化市场战略而设计的 AI，若 与冷酷的目标函数对齐，可能提出在技术上最大化 股东价值、却违反反垄断法或伦理标准的策略。

关于人工智能安全、可靠与可信开发与使用的行政 命令，正把这一能力——降低发展 生物、化学与网络威胁的进入门槛——列为首要国家安全关切。 ¹⁰ 当前 科技界的应对往往涉及「安全过滤器」或「对齐训练」，但正如我们将 探讨的，这些表层干预在面对现代 AI 的深度 结构优化能力时，在数学上十分脆弱。

2. LLM 封装层的谬误：为何表层 护栏会失败

当前「AI 淘金热」的主流趋势，是部署「LLM

封装层」——在用户与基础 模型（如 GPT-4、Claude 或 Llama）之间充当薄接口的应用。这些封装层利用提示工程（系统 提示）与基本内容过滤来引导模型行为。对于高风险工业 应用，尤其涉及人身安全与生物安保者，该方法 危险地不足。

2.1 「无具身顾问」局限

大语言模型（LLM）本质上是无具身的概率引擎。它们 根据训练数据中的统计相关预测下一个词元，而非基于对 物理或生物学现实的扎根理解。正如关于 LLM 用于 科学发现的研究所指出的，LLM 充当「无具身顾问」，而非研究助手 在实验室中。 ¹³

在生物安保语境下，LLM 封装层缺乏核验安全所需的集成反馈回路。 它运行于语言之上，而非物理或化学定律。当 封装层被要求设计分子时，它可能「幻觉」出听起来合理但化学上 无效的结构。更危险的是，若它_确实_生成了有效结构，它缺乏内在 能力在简单数据库查询之外核验其毒性。若分子是全新的——正如 MegaSyn 实验中生成的数千种 VX 类似物——LLM 没有 基于文本的参照可将其标记为危险。 ¹³

LLM 的「知识」是静态的，冻结于训练时刻。它无法运行模拟 以判断新的蛋白质折叠是否致病。它只能回忆「炭疽很坏」。这种 对「坏」概念死记硬背的依赖，在面对旨在探索_新_ 概念空间的生成系统时，是致命缺陷。

2.2 事后过滤的脆弱性

多数企业 AI 方案依赖作为事后过滤器运作的「护栏」。这些 系统拦截用户提示（输入过滤）或模型响应（输出过滤）， 并对照禁用词列表、正则表达式（Regex）或二级 分类模型（例如 OpenAI 的 Moderation Endpoint）进行检查。 ¹⁵

表 2：事后过滤在高风险领域的局限

局限类型	描述	后果，见于 生物安保
语境盲	过滤器寻找特定 关键词（例如「VX」、 「沙林」、「炸弹」）。	无法拦截全新 化合物或前体 因其缺乏常用名

Col1	Col2	（例如「化合物 X-293」）。
SMILES 混淆	毒性编码于 结构，而非名称。	过滤器会拦截单词 「沙林」，却放行 SMILES 字符串 O=P(C)(F)O， 而模型 将其理解为沙林。
活性悬崖	微小结构变化 导致毒性的巨大 偏移。	封装层看到一个分子 与安全药物 99% 相似 便予以批准，却漏掉 那单个原子，其 赋予致死性。17
事后反应性	拦截_之后_的内容 生成。	模型已经 完成了 计算。在实时 系统中，延迟允许 潜在泄漏或 侧信道攻击。

「活性悬崖」问题对基于文本的封装层尤为致命。在药物 化学中，当结构上极小的变化导致生物性质发生 不成比例的巨大改变时，即出现活性悬崖。 ¹⁸ 使用基于相似性的 过滤器的封装层，可能因分子「大体像」阿司匹林或安全的激酶抑制剂而批准它， 却未能识别羟基被氟原子取代已彻底 改变其毒性谱。基于文本的模型运行于语义词元距离 而非三维生物活性流形，预测这些悬崖的能力出了名地差。 ¹⁴

2.3 对抗脆弱性：「SMILES」攻击

反对封装层方法最有力的证据，是 「越狱」——旨在绕过安全训练的对抗攻击——的普遍存在。尽管「红队测试」 往往聚焦社会工程（例如「奶奶的凝固汽油弹配方」），生物安保中的技术风险 要复杂得多。

SMILES 提示攻击： 近期研究展示了一种称为「SMILES 提示」的新型越狱技术。 攻击者通过输入某分子的 ASCII 字符串表示（SMILES）来绕过安全过滤器 被禁分子而非其名称。在自然语言上训练的内容过滤器往往无法 识别隐藏在化学句法中的毒性语义。20

●​ 机制： 攻击者请求 [O-]S(=O)(=O)[O-].. 的合成说明 （硫酸铊，一种灭鼠药），而不是询问「毒药」。

●​ 结果： LLM 识别了化学句法，却未触发「有害 内容」关键词过滤器，于是欣然提供合成方案。

●​ 规模： 研究表明该方法可绕过领先模型的安全机制，例如 GPT-4 与 Claude 3，成功率令人警惕，对特定有时超过 90% 物质。 ¹¹

此外，ToxicTrap 等自动化攻击框架利用进化算法， 寻找词级微小扰动，诱使毒性分类器把有毒文本标为 良性。 ²² 若安全系统可被一个同义词击败，它就不是安全系统——它只是 减速带。

对 Veriprajna 这样的企业咨询公司而言，把方案建立在易于 欺骗的封装层之上是一种责任敞口。真正的企业级安全，要求从根本上 重新工程化模型在其潜空间中的导航方式。

3. 毒性的几何：理解潜在 风险

要理解封装层为何失败以及 Veriprajna 如何成功，必须理解 生成模型所运行的数学环境：潜空间 。深度 生成模型（VAE、GAN、扩散模型）并不存储数据；它们学习把 高维数据（如分子结构）映射到较低维的压缩 表示，称为潜空间（$Z$）。在该空间中，相似数据点被聚类 在一起，而生成就是从该流形上采样的行为。

3.1 连续毒性流形

「毒性地貌」是该潜空间内的一个区域。它不是一份离散的坏 分子清单，而是一个连续流形——由赋予致死性的物理化学性质所定义的 形状。

●​ 连续风险： 毒性不是二元的；它是一条梯度。从治疗性 药物到毒性制剂的转变，可以是潜空间中的平滑轨迹。模型实际上 在已知分子之间「插值」。若它在两个夹住毒性区域的安全分子之间 插值，路径可能穿越「死亡谷」。 ²³

●​ 流形假设： 深度学习的核心假设是，现实世界数据 位于嵌入高维空间的低维流形上。对抗 攻击往往利用该流形_之外_的区域，或分布中的「空洞」，在那里 模型行为未定义且不可预测。 ²⁵

当 Collaborations Pharmaceuticals 的研究人员「翻转开关」时，他们实质上 让模型沿该潜空间中的「毒性向量」做梯度上升。 因为空间是连续的，模型可以轻易从安全化合物滑入 高毒性区域。

3.2 纠缠问题

理想情况下，生成模型会把「毒性」与「生物活性」解耦到潜空间中分开的、 正交的轴上。若果真如此，安全就会简单到把 「毒性」轴锁定为零。然而，在深度生物学模型中，这些特征被深深 纠缠 。

使药物能够穿透血脑屏障的物理化学特征（治疗阿尔茨海默病或帕金森病时 极为可取的性状），往往正是使 神经毒剂抵达其靶标并导致麻痹的同一特征。 ¹ 同样，高结合 亲和力——紧紧附着于蛋白质的能力——对药物是好事，但若该蛋白质是 乙酰胆碱酯酶（VX 的靶标）则是致命的。

由于这种纠缠，简单的「拒绝」机制（如封装层中的那些） 实际上会切除模型的能力。若你阻断所有与毒性相关的特征（例如「阻断 一切血脑屏障穿透」），你就摧毁了模型的治疗效用。挑战 在于导航 安全运行流形 ——潜空间的一个子集，在那里效力被 保留，而毒性在拓扑上被排除。

3.3 表征坍缩与活性悬崖

标准「黑箱」模型的关键失败之一是 表征坍缩 。这 发生在模型把两个不同分子映射到潜空间中相同或几乎相同的点， 因为它未能捕捉区分 它们的细微结构差异。

●​ 基于图的局限： 许多分子模型使用图神经网络（GNN）。 尽管强大，若消息传递深度不足，GNN 可能难以区分立体异构体或微小原子 取代。这导致表征 坍缩，毒素与安全药物共享同一潜嵌入。 ¹⁷

●​ 后果： 若模型无法在其内部几何中区分「安全」点与「毒性」 点，再多的外部过滤也救不了它。模型 相信它们是同一个。

●​ 基于图像的方案： 新兴研究，例如 MaskMol 框架，表明 基于图像的表示（从分子图像学习）或多模态 方法可能更好地捕捉这些细微差别，从而在 潜在地貌中保留「悬崖」。 ¹⁷

Veriprajna 的方法采用 拓扑感知生成模型 ，映射_功能_ 拓扑（活性）而非仅仅_结构_拓扑（句法）。这确保活性 悬崖在安全生成过程中被尊重为「硬边界」，防止 模型滑过悬崖进入毒性。 ²⁶

4. Veriprajna 的方法：潜空间 治理

Veriprajna 通过超越「封装层」范式、实施 潜 空间治理 。这涉及在数据被_之前_干预生成过程 解码，施加结构约束，使有毒内容的生成 在数学上不可能（或在统计上可忽略），而不仅仅是被「过滤掉」。

4.1 结构约束：数学之盾

事后过滤是反应式的：模型生成候选物，由评判者拒绝。 约束生成是前瞻式的：模型被阻止去考虑不安全 候选物。

表 3：安全范式比较

特征	事后过滤 （封装层）	结构/潜在 约束（Veriprajna）
机制	生成 $\rightarrow$ 审核 $\rightarrow$ 接受/拒绝	约束潜采样 $\rightarrow$ 生成
控制点	输出（文本/像素/SMILES）	潜向量（$z$）/ 流形几何
计算成本	高（在被拒绝输出上浪费生成 周期）	低（约束施加于 采样/推理期间）
稳健性	低（易受 越狱/混淆影响）	高（约束 内在于数学）
处理新颖性	失败（无法过滤它所 不知道的）	成功（基于 性质流形施加约束）
合规	拒绝的审计轨迹 （嘈杂）	有界行为的 数学证明

4.2 潜约束的事后学习

Veriprajna 采用在预训练的无条件模型上_事后_学习约束的技术 。这避免了重新训练庞大基础模型的高昂成本，同时 确保稳健控制。

工作流：

1.​ 无监督预训练： 我们从强大的无条件生成模型起步 （VAE 或 GAN），它学习有效化学结构的分布（$p(x)$）。该模型 学习「如何制造分子」，而非「制造哪些分子」。 ²³

2.​ 约束函数训练： 我们训练单独的「价值函数」（$v(z)$）或 「约束函数」（$c(z)$），直接在潜空间上运行。该函数 把潜向量 $z$ 映射为安全分数。

○​ 该函数在带标签数据（有毒 vs. 安全）上训练，以识别「区域」 即对应高毒性的潜空间。

○​ 关键的是，与_优化_该区域的 MegaSyn 实验不同，我们把 该区域定义为 禁区 （或负流形）。

3.​ 约束采样（梯度导向）： 在生成阶段，我们使用 基于梯度的优化（例如朗之万动力学）来移动采样 分布。

○​ 若采样向量 $z$ 落入或靠近毒性区域，该约束的梯度 函数 $\nabla c(z)$ 把该向量推回安全流形，_在_其被 解码为分子。

○​ 这在数学上类似于把生成「导向」离开悬崖 边缘。模型「想象」出一个有毒分子，却被迫将其解析为安全 类似物。 ²³

4.3 拓扑数据分析（TDA）与流形防御

为应对位于训练分布之外的全新毒素风险 （分布外或 OOD），Veriprajna 采用拓扑数据分析（TDA）。

●​ 持续图： 我们计算「安全」训练数据的持续图 。该数学技术在不同尺度上分析数据云的形状（其空洞、环 与空隙）。它给出「安全」看起来如何的拓扑指纹 。 ²⁶

●​ 流形距离： 当模型提出一个向量 $z$，我们计算其距离 到 安全数据流形 ，使用流形驱动分解。

●​ 空隙检测： 若向量离流形过远——漂浮在潜空间的「空隙」中 ——即使特定毒性预测器不确定，它也被标记为高风险。 对抗攻击往往试图把毒素藏在这些低密度区域（模型知识中的「空洞」 ）。TDA 让我们能够基于 几何而非仅仅概率来检测并拒绝这些异常。 ²⁵

4.4 带自适应

激励的约束强化学习（CRL）

对于需要优化的模型（例如最大化药物效力），我们采用约束 强化学习（CRL），而非简单的奖励最大化。

●​ 标准 RL： 最大化奖励 $R$。（风险：「翻转开关」情景，其中 $R$ 变成毒性）。

●​ Veriprajna 的 CRL： 最大化奖励 $R$ 并受成本约束 $C < Limit$。

●​ 自适应激励机制： 传统约束 RL 可能不稳定，在约束边界附近振荡 。Veriprajna 实施 自适应激励 机制 ，奖励智能体_充分处于_边界之内，而不仅仅是不 越过它们。

○​ 我们在潜空间中引入「缓冲区」。当模型接近 毒性约束时，递增的惩罚（障碍函数）将其推回，确保 平滑、稳定地收敛到安全解。 ²⁹

5. 技术深潜：应对「MegaSyn」 脆弱性

要真正保障生成化学，我们必须剖析 MegaSyn 实验所暴露的具体架构脆弱性 ，并以我们提出的结构 护栏加以应对。

5.1 拆解 MegaSyn

《Nature Machine Intelligence》论文中提到的 MegaSyn 模型采用特定的 集成方法 ⁵ ：

●​ 核心生成器： 基于 LSTM 的循环神经网络（RNN）。

●​ 输入表示： 被切分为字符的 SMILES 字符串（例如 "C"、"N"、"="、"1"）。

●​ 训练方法： 「教师强制」，训练期间向模型喂入正确的前一词元 以加快收敛。

●​ 预调： 模型通过使用 RECAP 规则在靶标分子的特定子结构上微调，创建「预调模型」 。

●​ 优化脆弱性： 「爬山」算法是一种贪心优化 方法。当评分函数被取反为 Score = Toxicity 时，模型高效地 沿梯度爬向最大致死性，因为神经毒剂的「句法」 （磷-氧键、特定烷基侧链）在化学上有效，并且 存在于训练数据（ChEMBL）中，即使未被标注为「武器」。

5.2 阻止「翻转」：Veriprajna 协议

Veriprajna 的潜空间治理将如何阻止 MegaSyn 式翻转？

1.​ 硬编码约束： 不是用户可以轻易 取反（$-1$ 变为 $+1$），Veriprajna 把毒性约束嵌入 采样 后验 。该约束不是 Python 脚本中的一个数字；它是 推理引擎中的边界条件。要「翻转」它，必须从根本上重新架构 软件，而不仅仅是改配置文件。

2.​ 流形限制： 「CWA 流形」（化学战剂空间）将用 TDA 加以映射。该区域将被指定为「零空间」。任何试图把潜向量移入该空间的梯度 更新将被置零或 反向。

3.​ 活性悬崖检测： 我们的模型将同时利用基于图像的表示（如 MaskMol）与图表示，以检测神经毒剂的细微结构基序 （例如沙林/梭曼中的 P-F 键），这些基序可能被简单的 基于描述符的模型漏掉。这些基序将触发覆盖 爬山奖励的「悬崖惩罚」。 ¹⁷

6. 监管格局与合规

从「封装层」转向「结构护栏」不只是技术升级；它是 由迅速收紧的监管环境所驱动的战略必需。各国政府与 国际机构正从「自愿指南」走向严格合规 框架，这些框架要求可解释性、控制与已证明的安全性。

6.1 白宫行政命令与创世纪使命

关于人工智能安全、可靠与可信开发与使用的行政命令 （2023 年 10 月）以及随后的「创世纪使命」（2025 年 11 月） 标志着联邦 AI 政策的地震式转变。 ¹⁰

●​ 授权： 该行政命令明确把 AI 降低 CBRN （化学、生物、放射、核）武器发展门槛的风险，列为一线国家 安全威胁。

●​ 创世纪使命： 这一新倡议指示能源部（DOE） 建设用于科学发现的集成 AI 平台。关键的是，它要求「适当的 基于风险的网络安全措施」以及用于 AI 导向 实验的安全环境。 ³²

●​ 合规缺口： 标准 LLM 封装层无法证明它阻止了 生物威胁的_创建_；它只能表明它_试图_过滤它们。这种「尽力而为」 方法很可能无法满足「安全且可信」标准，而这些标准是 联邦合同或与创世纪平台集成所要求的。

●​ Veriprajna 的优势： 我们的结构约束提供 不可能性证明 （在统计界限内）。我们可以向监管者证明「CBRN 流形」 对我们的模型不可达，这与行政命令对严格 安全测试与「红队测试」的要求完全对齐。 ³³

6.2 NIST AI 风险管理框架（AI RMF 1.0）

NIST AI RMF 是美国民用 AI 治理的金标准。它强调四项 职能：映射、测量、管理与治理 。 ³⁴

●​ 生成式 AI 概况（NIST.AI.600-1）： 该特定概况把「CBRN 信息」识别为由 GenAI 加剧的独特风险。 ³⁶ 它警告「化学与 生物设计工具（BDT）」可能预测训练数据中没有的全新结构。

●​ Veriprajna 对齐：

○​ 测量： 我们使用拓扑数据分析（TDA）提供定量指标 用于 认知不确定性 ——测量生成输出距离已知 安全数据有多「远」。这满足 NIST 对系统 可靠性进行严格测量的要求。

○​ 管理： 潜约束提供技术机制来管理风险，该机制 优于基于政策的尝试。我们从「政策即文档」走向 「政策即代码」（或者更准确地说，「政策即几何」）。

6.3 ISO/IEC 42001:2023

ISO 42001 是全球首个 AI 国际管理体系标准，提供 可认证的 AI 治理框架。 ³⁸

●​ 核心要求： 该标准强制要求「安全与伦理使用」以及「稳健性 与韧性」以抵御对抗攻击。它要求组织开展 AI 影响 评估并实施控制以减轻已识别风险。

●​ 对抗稳健性： ISO 42001 特别强调需要防御 旨在操纵模型行为的输入（如 SMILES 提示）。Veriprajna 的 流形防御 通过拒绝导致潜 向量落在有效数据流形之外的输入，明确应对这一点，从而中和依赖 分布外提示的「越狱」企图。 ⁴⁰

●​ 认证： Veriprajna 的结构化方法允许清晰的审计轨迹。我们可以记录 的不仅是输出，还有模型在 生成过程中试图发生的_约束违反_，为审计人员提供关于系统安全 绩效的细粒度数据。 ⁴¹

7. 实施策略：「深度解决方案」 协议

Veriprajna 将自身定位为并非聊天机器人供应商，而是安全、 领域专用 AI 基础设施的架构师。我们对客户的实施策略遵循 四阶段「深度解决方案」协议，旨在把其 AI 从有风险的封装层转变为 受治理的发现引擎。

第 1 阶段：流形映射与拓扑审计

在部署任何生成模型之前，我们对客户的 专有数据及相关公开数据（例如 ChEMBL、Tox21）进行拓扑审计。

●​ 目标： 定义「安全运行流形」。

●​ 技术： 使用持续同调识别拓扑特征（环、空隙），属于 安全 vs. 毒性区域。

●​ 交付物： 「安全拓扑图」，可视化潜空间边界并 识别模型可能幻觉或被攻击的潜在「空洞」。

第 2 阶段：潜约束训练（「评判器」）

我们并不简单地微调基座模型（这有灾难性遗忘风险）。相反，我们 训练称为 约束评判器 的轻量辅助网络。

●​ 技术： 事后学习价值函数（$v(z)$），从 潜嵌入预测风险分数。 ²³

●​ 架构： 这些评判器与生成器解耦。这是一项关键 架构优势：当识别出新威胁（例如新一类化学 武器）时，我们可以更新评判器而无需重新训练庞大的基础模型， 从而确保敏捷性与最新安全。

第 3 阶段：约束采样与导向集成

我们把约束评判器直接集成到客户的推理管道中。

●​ 机制： 在生成期间，我们使用 朗之万动力学 或 梯度导向 。

●​ 过程： 当模型在潜空间采样以生成分子时，评判器 计算毒性曲面的梯度。若轨迹朝向毒性 区域，导向机制施加反向梯度，「轻推」轨迹 回到安全流形。

●​ 结果： 模型实际上「想到」有毒分子，却在数学上 被迫在任何输出生成之前把该想法「解析」为安全类似物。

第 4 阶段：分子红队测试与 ISO 认证支持

我们对已部署系统实施「分子红队测试」。

●​ 方法： 我们使用自动化对抗智能体（如 ToxicTrap 与定制 SMILES 提示机器人）以边界案例输入轰炸模型，试图 迫使它越过活性悬崖。 ²¹

●​ 核验： 我们提供基于约束违反统计概率的 安全证书 约束违反（例如，「有毒生成概率 < $10^{-6}$」），提供 证据基础。

8. 结论：安全创新的未来

Collaborations Pharmaceuticals 的「翻转开关」实验并非异常；它 是对 AI 中无约束优化之根本波动性的演示。在 部署企业 AI 的竞赛中，许多组织正在沙上筑城堡——依赖 在对抗压力或新语境下崩塌的脆弱封装层。

对制药行业，以及任何处理高风险物理或 金融现实的部门，「封装层」时代必须结束。安全不能被粘贴到输出上；它 必须烘焙进模型自身的几何之中。

Veriprajna 提供唯一可行的前进路径：深度 AI 解决方案 。通过掌握潜 空间，我们不只是滤掉黑暗；我们重构模型的数学宇宙， 以确保发现之光是它能走的唯一路径。我们提供 护栏，使企业创新得以加速，而无灾难性 两用失败的风险。

这不只是安全 AI。这是 结构保障型智能 。

附录 A：潜 约束的数学表述

为给我们的「潜空间治理」提供严谨基础，我们详述生成过程中所施加约束的数学 表述。

A.1 约束优化问题

我们把生成过程表述为并非简单采样 $z \sim p(z)$，而是一个 约束优化问题。 设 $G(z)$ 为把潜向量映射的生成器 $z$ 到数据空间 $X$。 设 $C(x)$ 为成本函数（例如毒性预测器）。 我们寻求采样 $z$ 使得：

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

其中 $\epsilon$ 是安全阈值。

A.2 事后价值函数

由于求值 $C(G(z))$ （生成分子并运行预测器）代价高昂 且不可微，我们学习潜价值函数 $V(z)$ 近似该成本 直接在潜空间中：

$$V(z) \approx C(G(z))$$

该函数被训练以在所生成的数据集上最小化均方误差 样本 $\{(z_i, y_i)\}$，其中 $y_i$ 是真实毒性。

A.3 梯度导向（朗之万动力学）

在推理期间，我们采样一个初始 $z_0$ 来自先验 $p(z)$。然后我们迭代更新 $z$ 使用价值函数的梯度将其移入安全区域：

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

其中：

●​ $\alpha$ 是步长（学习率）。

●​ $\nabla_z V(z_t)$ 是毒性价值函数的梯度（导向远离 毒性）。

●​ $\xi_t \sim \mathcal{N}(0, I)$ 是为保持多样性而加入的高斯噪声（朗之万 噪声）。 ²³

该过程确保最终采样的 $z$ 落在由 $V(z) < \epsilon$ _之前_生成器 $G(z)$ 被调用以产生最终分子。

附录 B：监管 框架的详细分析

B.1 NIST AI RMF 1.0 与 GenAI 概况

相关条款： NIST.AI.600-1（生成式 AI 概况）

●​ 风险 2.1：CBRN 信息或能力。 「进入门槛被降低……获取 实质上恶意的信息……设计工具（BDT）可能预测全新结构。」

●​ Veriprajna 行动： 我们通过 TDA 明确应对「全新结构」风险。通过在拓扑上定义 安全，我们不依赖一份「已知之恶」清单（这对全新 结构会失败），而是依赖「已知之善的形状」。

B.2 ISO/IEC 42001:2023

相关条款： A.9.2（AI 系统安全）

●​ 要求： 「组织应实施控制以确保 AI 系统 安全地行动……同时考虑对回退计划的需要。」

●​ Veriprajna 行动： 我们的 自适应激励机制 充当回退。若 主梯度导向失败（例如梯度消失），系统默认到潜空间中的安全 「质心」，而不是输出原始样本。

相关条款： A.10.3（对抗攻击）

●​ 要求： 「组织应评估……对对抗攻击的脆弱性。」

●​ Veriprajna 行动： 我们把「红队测试报告」作为标准交付物提供， 量化系统对 ToxicTrap 与 SMILES 提示攻击的抵抗力。 ²¹

参考文献

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube，2025年12月11日访问, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec，2025年12月11日访问, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London，2025年12月11日访问, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI，2025年12月11日访问, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ...，2025年12月11日访问, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications，2025年12月11日访问, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian，2025年12月11日访问, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central，2025年12月11日访问, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH，2025年12月11日访问, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations，2025年12月11日访问, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv，2025年12月11日访问, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND，2025年12月11日访问, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine，2025年12月11日访问, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org，2025年12月11日访问, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database，2025年12月11日访问, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus，2025年12月11日访问, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH，2025年12月11日访问, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry，2025年12月11日访问, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing，2025年12月11日访问, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack，2025年12月11日访问, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis，2025年12月11日访问, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv，2025年12月11日访问, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA，2025年12月11日访问, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research，2025年12月11日访问, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository，2025年12月11日访问, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner，2025年12月11日访问, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central，2025年12月11日访问, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv，2025年12月11日访问, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning，2025年12月11日访问, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI，2025年12月11日访问, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House，2025年12月11日访问, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House，2025年12月11日访问, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery，2025年12月11日访问, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp，2025年12月11日访问, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof，2025年12月11日访问, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security，2025年12月11日访问, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications，2025年12月11日访问, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online，2025年12月11日访问, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV，2025年12月11日访问, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo，2025年12月11日访问, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US，2025年12月11日访问, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai