結構性 AI 安全：高風險 生成式生物設計中潛在空間治理 的必要性

執行摘要

生成式人工智慧（AI）蓬勃發展的時代，已在 科學發現領域帶來典範轉移，尤其是製藥與生物科技產業。深度 學習模型探索廣袤化學空間並提出新穎 治療候選物的能力，已將藥物發現時程從數年壓縮至數週。 然而，這項變革性能力帶有固有陰影：「雙重用途」 困境。同一套為找出救命療法而設計的演算法架構，只需 微不足道的修改，即可被改用於設計高致死性生化製劑。那項開創性的 「開關反轉」實驗由 Collaborations Pharmaceuticals 進行，其中一個 針對毒性優化的生成模型，在不到六小時內產出 40,000 種潛在化學 武器——包括神經毒劑 VX 與新穎類似物——成為 此風險無可辯駁的證明。 ¹

本白皮書為 Veriprajna 撰寫，主張當前產業的 AI 安全標準——往往以依賴提示工程與事後 文本過濾的「LLM 包裝層」為特徵——在高風險領域根本不足。這些表面層級的 護欄未能處理模型潛在空間的幾何實況：毒性與 治療能力存在於連續、且經常糾纏的流形之上。以文本為基礎的過濾器 對化學的結構語意視而不見，且易受對抗性擾動攻擊， 使組織暴露於災難性的監管、聲譽與存亡風險。

Veriprajna 為企業 AI 提出新標準：潛在空間治理 。透過 將控制點從輸出層移至模型自身的高維 潛在結構，我們得以實現一種「結構性 AI 安全」。此方法運用拓撲 約束、流形映射與約束強化學習，在數學上 排除有害輸出的生成。本文件全面分析 現行方法的技術缺陷、探討毒性的拓撲，並 詳述深度 AI 解方的架構原則，以確保符合新興的 嚴謹標準，例如 NIST AI 風險管理架構與 ISO 42001。

1. 雙重用途地平線：「開關反轉」與 致死能力的民主化

人工智慧與分子生物學的交會，長期以來承諾一場 藥物發現革命。然而，此技術固有的雙面性——治癒 能力在數學上鄰近傷害能力——已從學術圈討論的理論 風險，變成已證實的運作現實。設計精密化學武器的進入門檻 已被大幅降低，原因並非 實體材料擴散，而是設計所需運算 智能的民主化。

1.1 MegaSyn 實驗：演算法雙重用途個案研究

為準備 Spiez Convergence 會議——由瑞士聯邦民防署舉辦的兩年一度軍備管制活動—— Collaborations Pharmaceuticals 的研究人員 進行概念驗證實驗，以評估 AI 遭濫用的潛力。 ² 該團隊 使用商業生成模型 MegaSyn，其原設計用於預測生物活性 並為罕見與被忽視疾病生成新穎治療候選物。

所採方法簡單得令人不安，凸顯此 威脅向量的可及性。生成模型由一個懲罰毒性 並獎勵治療效力的評分函數驅動。為「反轉開關」，研究人員將獎勵 函數取反。模型不再被要求懲罰毒性，而被指示將其最大化，特別 鎖定 VX——已知最強神經毒劑之一——的致死輪廓。 ¹

結果在標準消費級伺服器上於不到六小時內生成， 使用的資料集與架構在化學資訊學 社群中廣為人知：

表 1：「開關反轉」實驗結果

指標	結果	脈絡
生成時間	< 6 小時	於標準 硬體（Mac/Linux 伺服器）上執行，顯示 運算門檻低。
輸出量	40,000 個分子	龐大的 潛在候選物庫， 生成速度 是人類化學家無法 匹敵的。
目標輪廓	VX（神經毒劑）	模型成功 重新發現 VX 及其他

Col1	Col2	已知的 G 系列與 V 系列神經毒劑。
致死性	> VX 效力	顯著子集的 分子被預測為 比 VX 更 毒。
新穎性	高	數千種化合物 屬新穎，未出現在任何 公開資料庫或 政府監控清單中。

此實驗不需要超級電腦，也不需要擁有數百萬資金的流氓國家 行為者。它使用開源資料集（如 ChEMBL）、標準生成 架構（RNN 與 LSTM 模型），以及市面上可取得的 毒性預測知識。 ⁵ 意涵深遠：設計 高致死性生化製劑的進入門檻，已降至消費級 GPU 的成本加上 對 Python 的基本理解。AI 模型為了避開毒性而被訓練去理解其「規則」， 卻因此天生具備利用這些規則的知識。 ³

1.2 脆弱性的架構

要理解此次「反轉」為何如此順暢，必須檢視 MegaSyn 這類模型的底層架構。該模型使用循環神經網路（RNN）架構， 以 SMILES（簡化分子輸入線形系統）字串訓練。系統 以「爬山」演算法運作，反覆精煉分子候選物以最大化某一 特定目標函數。 ⁵

生成循環包含三個關鍵元件：

1.​ 生成器： 以 LSTM 為基礎的網路，預測 SMILES 字串中的下一個詞元 （例如 'C'、'N'、'='、'O'）以形成化學上有效的結構。它學習此「文法」 來自 ChEMBL 28 這類大規模資料集的化學。 ⁵

2.​ 預測器： 判別模型（或一組模型），估計所生成分子的特定 性質，例如溶解度、對標的之生物活性，以及 毒性（例如 LD50、hERG 抑制）。

3.​ 優化器： 強化學習或爬山迴圈，將預測器的 分數回饋給生成器，把未來詞元的機率分布導向 高分區域。

在治療模式下，優化器的獎勵函數（$R$）定義為：

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

其中 $\lambda$ 為懲罰毒性結果的加權因子。 在對抗性「反轉」模式下，研究人員只是將該懲罰取負：

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ 生成器本身——創造引擎——未被更動。它只是跟隨 新獎勵函數的梯度。這表明生成 武器的能力並非可移除的「缺陷」或獨立模組；它內在於模型對 化學空間的理解。若模型理解何者使分子安全，它依 定義也理解何者使其不安全，因為這些是同一 高維流形上的互補區域。 ⁹

1.3 普遍風險：超越化學

Urbina 實驗聚焦化學武器，但此原則普遍適用於 企業環境中的生成式 AI。「優化」的雙面性意味著，任何被 設計來最大化某指標的系統，都可被反轉以最小化該指標，或最大化有害的 相關量。

●​ 網路安全： 受訓以識別並修補零日漏洞（防禦性 程式設計）的模型，必須理解利用程式的機制。一旦反轉，它便成為 零日發現與武器化的自動化引擎。 ¹⁰

●​ 金融系統： 透過學習非法交易模式以偵測詐欺而優化的 模型，可被反轉以生成完美模仿合法 行為的交易，實質上「優化」洗錢。 ¹¹

●​ 策略規劃： 為企業優化市場策略而設計的 AI，若 對齊冷酷的目標函數，可能提出在技術上最大化 股東價值、卻違反反托拉斯法或倫理標準的策略。

關於安全、可靠與可信任人工智慧發展與使用的行政命令 點明正是此能力——降低發展 生物、化學與網路威脅的進入門檻——為首要國家安全關切。 ¹⁰ 目前 科技業的因應往往涉及「安全過濾器」或「對齊訓練」，但正如我們 將探討的，這些表面干預在面對現代 AI 的深度 結構優化能力時，在數學上極為脆弱。

2. LLM 包裝層的謬誤：為何表面 護欄失效

當前「AI 淘金熱」的主流趨勢，是部署「LLM

包裝層」——作為使用者與基礎 模型（如 GPT-4、Claude 或 Llama）之間薄介面的應用。這些包裝層利用提示工程（系統 提示）與基本內容過濾來引導模型行為。對高風險工業 應用，尤其涉及實體安全與生物安保者，此做法 危險地不足。

2.1 「無身體顧問」限制

大型語言模型（LLM）本質上是無身體的機率引擎。它們 依訓練資料中的統計相關預測下一個詞元，而非基於對 物理或生物現實的紮根理解。如關於 LLM 用於 科學發現的研究所指出，LLM 扮演「無身體顧問」，而非實驗室中的 研究助理。 ¹³

在生物安保脈絡下，LLM 包裝層缺乏驗證安全所需的整合回饋迴路。 它操作的是語言，而非物理或化學定律。當 包裝層被要求設計分子時，可能「幻覺」出聽來合理但化學上 無效的結構。更危險的是，若它_確實_生成有效結構，它缺乏內在 能力在簡單資料庫查詢之外驗證其毒性。若分子是新穎的——正如 MegaSyn 實驗中生成的數千種 VX 類似物——LLM 沒有 文本依據可將其標記為危險。 ¹³

LLM 的「知識」是靜態的，凍結於訓練當下。它無法執行模擬 以判斷新的蛋白質摺疊是否致病。它只能回憶「炭疽很糟」。這種 對「壞」概念死記硬背的依賴，在面對生成式 旨在探索_新_概念空間的系統時，是致命缺陷。

2.2 事後過濾的脆弱性

多數企業 AI 解方依賴作為事後過濾器運作的「護欄」。這些 系統攔截使用者提示（輸入過濾）或模型回應（輸出過濾）， 並以禁用詞清單、正規表示式（Regex）或次級 分類模型（例如 OpenAI 的 Moderation Endpoint）加以比對。 ¹⁵

表 2：高風險領域中事後過濾的限制

限制類型	描述	於生物安保中的 後果
脈絡盲點	過濾器尋找特定 關鍵詞（例如「VX」、 「沙林」、「炸彈」）。	無法阻擋缺乏俗名的 新穎化合物或 前驅物

Col1	Col2	（例如「化合物 X-293」）。
SMILES 混淆	毒性編碼於 結構而非名稱。	過濾器會阻擋「沙林」 這個詞，卻放行 SMILES 字串 O=P(C)(F)O， 而模型將其 理解為沙林。
活性懸崖	微小結構變化 造成毒性大幅 轉變。	包裝層看到與安全藥物 99% 相似的分子 便核准，卻漏掉 賦予致死性的 那一個原子。17
事後反應本質	阻擋內容_後_ 生成。	模型已經 執行了 運算。在即時 系統中，延遲使 潛在外洩或 側通道攻擊成為可能。

「活性懸崖」問題對文本包裝層尤其致命。在藥物 化學中，當結構極小變化導致生物性質 不成比例的巨大改變時，即發生活性懸崖。 ¹⁸ 使用相似度基礎的 包裝層過濾器可能因分子「看起來大致像」阿斯匹靈或安全激酶抑制劑而核准， 卻未能辨識羥基被氟原子取代已徹底 改變其毒性輪廓。以語意詞元距離運作的文本模型， 而非 3D 生物活性流形，在預測這些懸崖方面出了名地差。 ¹⁴

2.3 對抗脆弱性：「SMILES」攻擊

反對包裝層做法最有力的證據，是 「越獄」——旨在繞過安全訓練的對抗攻擊——的普遍存在。雖然「紅隊測試」 往往聚焦社會工程（例如「奶奶的凝固汽油彈食譜」），其中的技術風險 在生物安保上遠更精密。

SMILES 提示攻擊： 近期研究展示一種名為「SMILES 提示」的新穎越獄技術。 攻擊者輸入違禁分子的 ASCII 字串表示（SMILES）而非其名稱，以繞過安全過濾器。 以自然語言訓練的內容過濾器往往無法 辨識隱藏在化學語法中的毒性語意。20

●​ 機制： 攻擊者請求 [O-]S(=O)(=O)[O-].. （硫酸鉈，一種滅鼠藥）的合成指引，而非詢問「毒藥」。

●​ 結果： LLM 辨識化學語法，卻未觸發「有害 內容」關鍵詞過濾，於是欣然提供合成規程。

●​ 規模： 研究顯示此方法能繞過領先模型的安全機制，例如 GPT-4 與 Claude 3，成功率驚人，有時超過 90%，針對特定 物質。 ¹¹

此外，ToxicTrap 這類自動化攻擊框架利用演化演算法， 找出微小詞級擾動，誘使毒性分類器將有毒文本標為 良性。 ²² 若安全系統可被同義詞擊敗，它就不是安全系統——而是 減速帶。

對 Veriprajna 這類企業顧問公司而言，在易被 欺騙的包裝層之上建構解方即是負債。真正的企業級安全，需要從根本上 重新工程模型如何在其潛在空間中導航。

3. 毒性的幾何：理解潛在 風險

要理解包裝層為何失敗、Veriprajna 如何成功，必須理解 生成模型運作的數學環境：潛在空間 。深度 生成模型（VAE、GAN、擴散模型）並不儲存資料；它們學習將 高維資料（如分子結構）映射到較低維壓縮 表徵，稱為潛在空間（$Z$）。在此空間中，相似資料點聚集 在一起，而生成即是從此流形抽樣。

3.1 連續毒性流形

「毒性地景」是此潛在空間中的一個區域。它不是離散的壞 分子清單，而是連續流形——由物理化學性質所定義的形狀 賦予致死性。

●​ 連續風險： 毒性並非二元，而是梯度。從治療 藥物到有毒製劑的轉變，可以是潛在空間中的平滑軌跡。模型實質上 在已知分子之間「內插」。若它在兩個安全分子之間內插， 而兩者夾住有毒區域，路徑可能穿越「死亡谷」。 ²³

●​ 流形假設： 深度學習的核心假設是，真實世界資料 位於嵌入高維空間的較低維流形上。對抗 攻擊往往利用此流形_之外_的區域，或分布中的「空洞」，在那裡 模型的行為未定義且不可預測。 ²⁵

當 Collaborations Pharmaceuticals 研究人員「反轉開關」時，他們本質上 是告訴模型沿此潛在空間中的「毒性向量」做梯度上升。 因為空間是連續的，模型能輕易從安全化合物滑入 高毒性區域。

3.2 糾纏問題

理想上，生成模型會將「毒性」與「生物活性」解耦到潛在空間中分開的、 正交軸。若果真如此，安全就只需把 「毒性」軸鎖定為零。然而在深度生物模型中，這些特徵高度 糾纏 。

讓藥物穿透血腦屏障的物理化學特徵（治療阿茲海默症或帕金森氏症的 高度可欲性狀）往往正是讓 神經毒劑抵達其標的並造成麻痺的同一特徵。 ¹ 同樣，高結合 親和力——緊密黏附蛋白質的能力——對藥物有益，但若蛋白質是 乙醯膽鹼酯酶（VX 的標的）則致命。

由於此糾纏，簡單的「拒絕」機制（如包裝層中的那些） 實際上等於切除模型功能。若你阻擋所有與毒性相關的特徵（例如「阻擋 所有血腦屏障穿透」），就摧毀了模型的治療效用。挑戰 在於導航安全操作流形 ——潛在空間的子集，其中效力被 保留，而毒性在拓撲上被排除。

3.3 表徵崩塌與活性懸崖

標準「黑箱」模型的關鍵失效之一是表徵崩塌 。此 情況發生於模型將兩個相異分子映射到潛在空間中相同或幾乎相同的點， 因為它未能捕捉區分它們的細微 結構差異。

●​ 圖基礎限制： 許多分子模型使用圖神經網路（GNN）。 儘管強大，若訊息傳遞深度不足，GNN 可能難以區分立體異構物或微小原子 取代。這導致表徵 崩塌，使毒素與安全藥物共享同一潛在嵌入。 ¹⁷

●​ 後果： 若模型在其內部幾何中無法區分「安全」點與「有毒」 點，再多外部過濾也救不了它。模型 相信它們是相同的。

●​ 影像基礎解方： 新興研究，例如 MaskMol 框架，顯示 影像表徵（從分子影像學習）或多模態 方法可能更能捕捉這些細微差異，保留其中的「懸崖」於 潛在地景。 ¹⁷

Veriprajna 的方法運用拓撲感知生成模型 ，映射_功能_ 拓撲（活性）而不僅是_結構_拓撲（語法）。這確保活性 懸崖在安全生成過程中被尊重為「硬邊界」，防止 模型滑過懸崖進入毒性。 ²⁶

4. Veriprajna 的方法論：潛在空間 治理

Veriprajna 的差異化在於超越「包裝層」典範，實施潛在 空間治理 。這涉及在資料被解碼_之前_介入生成過程， 施加結構約束，使有毒內容的生成 在數學上不可能（或在統計上可忽略），而不只是被「過濾掉」。

4.1 結構約束：數學之盾

事後過濾是反應式的：模型生成候選物，再由評判拒絕。 約束生成是主動的：模型被阻止考慮不安全的 候選物。

表 3：安全典範比較

特徵	事後過濾 （包裝層）	結構／潛在 約束（Veriprajna）
機制	生成 $\rightarrow$ 審查 $\rightarrow$ 接受／拒絕	約束潛在抽樣 $\rightarrow$ 生成
控制點	輸出（文本／像素／SMILES）	潛在向量（$z$）／ 流形幾何
運算成本	高（浪費生成 週期於被拒輸出）	低（約束施加於 抽樣／推論期間）
穩健性	低（易受 越獄／混淆攻擊）	高（約束 內在於數學）
處理新穎性	失敗（無法過濾它 所不知道的）	成功（依性質流形 施加約束）
合規	拒絕的稽核軌跡 （嘈雜）	有界行為的 數學證明

4.2 潛在約束的事後學習

Veriprajna 採用技術，在預訓練的無條件模型上_事後_學習約束 模型。這避免重新訓練龐大基礎模型的高昂成本，同時 確保穩健控制。

工作流程：

1.​ 無監督預訓練： 我們從強大的無條件生成模型開始 （VAE 或 GAN），學習有效化學結構的分布（$p(x)$）。此模型 學習「如何製造分子」，而非「要製造哪些分子」。 ²³

2.​ 約束函數訓練： 我們訓練獨立的「價值函數」（$v(z)$）或 「約束函數」（$c(z)$），直接在潛在空間上運作。此函數 將潛在向量 $z$ 映射為安全分數。

○​ 此函數以標註資料（有毒 vs. 安全）訓練，以識別「區域」 潛在空間中對應高毒性者。

○​ 關鍵的是，不同於 MegaSyn 實驗對此區域_優化_，我們將 此區域定義為禁制區 （或負流形）。

3.​ 約束抽樣（梯度導引）： 在生成階段，我們使用 基於梯度的優化（例如 Langevin 動力學）來移動抽樣 分布。

○​ 若抽樣向量 $z$ 落入或接近有毒區域，約束 函數的梯度 $\nabla c(z)$ 會把向量推回安全流形，在其被_之前_ 解碼成為分子。

○​ 這在數學上類比於將生成「導離」懸崖 邊緣。模型「想像」有毒分子，但被迫將其解析為安全 類似物。 ²³

4.3 拓撲資料分析（TDA）與流形防禦

為因應位於訓練分布之外的新穎毒素風險 （分布外或 OOD），Veriprajna 運用拓撲資料分析（TDA）。

●​ 持久圖： 我們計算「安全」訓練資料的持久圖。 此數學技術分析資料雲的形狀（其空洞、迴圈、 與空隙）於不同尺度。它給出何謂「安全」的拓撲指紋，看起來像 那樣。 ²⁶

●​ 流形距離： 當模型提出向量 $z$時，我們計算其距離 相對於安全資料流形 ，使用流形驅動分解。

●​ 空隙偵測： 若向量離流形過遠——漂浮在「空隙」中 潛在空間——即使特定毒性預測器不確定，仍被標記為高風險。 對抗攻擊往往試圖將毒素藏在這些低密度區域（其中的「空洞」 模型的知識）。TDA 讓我們能偵測並拒絕這些異常，依據 幾何，而不只是機率。 ²⁵

4.4 約束強化學習（CRL）搭配適應性

誘因

對於需要優化的模型（例如最大化藥物效力），我們使用約束 強化學習（CRL）而非單純獎勵最大化。

●​ 標準 RL： 最大化獎勵 $R$。（風險：「開關反轉」情境，其中 $R$ 變成毒性）。

●​ Veriprajna 的 CRL： 最大化獎勵 $R$ 受限於成本 $C < Limit$。

●​ 適應性誘因機制： 傳統約束 RL 可能不穩定，振盪 於約束邊界附近。Veriprajna 實施適應性誘因 機制 ，獎勵智能體停留在界限_之內相當距離_，而不只是不 越界。

○​ 我們在潛在空間引入「緩衝區」。當模型接近 毒性約束時，遞增的懲罰（屏障函數）將其推回，確保 平滑、穩定地收斂到安全解。 ²⁹

5. 技術深潛：處理「MegaSyn」 脆弱性

要真正保全生成化學，必須剖析特定架構脆弱性 由 MegaSyn 實驗揭露者，並以我們提出的結構 護欄加以處理。

5.1 拆解 MegaSyn

MegaSyn 模型見於 Nature Machine Intelligence 論文，使用特定 集成方法 ⁵ ：

●​ 核心生成器： 以 LSTM 為基礎的循環神經網路（RNN）。

●​ 輸入表徵： SMILES 字串分詞為字元（例如 "C"、"N"、"="、"1"）。

●​ 訓練方法： 「教師強迫」，模型在訓練期間被餵入正確的前一個詞元 以加速收斂。

●​ 啟動： 模型透過在標的分子的特定子結構上微調來建立「啟動模型」 使用 RECAP 規則。

●​ 優化脆弱性： 「爬山」演算法是貪婪優化 方法。當評分函數被反轉為 Score = Toxicity 時，模型有效率地 沿梯度爬向最大致死性，因為神經毒劑的「語法」 （磷—氧鍵、特定烷基側鏈）在化學上有效，且 存在於訓練資料（ChEMBL）中，即使未被標為「武器」。

5.2 防止「反轉」：Veriprajna 規程

Veriprajna 的潛在空間治理如何防止 MegaSyn 式反轉？

1.​ 硬編碼約束： 不是使用者可輕易 反轉（$-1$ 到 $+1$），Veriprajna 將毒性約束嵌入抽樣 後驗 。約束不是 Python 腳本中的一個數字；它是 推論引擎中的邊界條件。要「反轉」它，必須從根本上重新架構 軟體，而不只是改設定檔。

2.​ 流形限制： 「CWA 流形」（化學戰劑空間）將以 TDA 映射。此區域將被指定為「零空間」。任何梯度 更新若試圖將潛在向量移入此空間，將被歸零或 反轉。

3.​ 活性懸崖偵測： 我們的模型將使用影像表徵（如 MaskMol）搭配圖表徵，以偵測神經毒劑的細微結構基序 （例如沙林／索曼中的 P-F 鍵），這些可能被簡單的 描述符模型所遺漏。這些基序會觸發「懸崖懲罰」，覆蓋 爬山獎勵。 ¹⁷

6. 監管地景與合規

從「包裝層」轉向「結構護欄」不只是技術升級；它是 戰略必要，由迅速收緊的監管環境所驅動。政府與 國際機構正從「自願指引」走向嚴謹合規 架構，要求可解釋性、控制與經證實的安全。

6.1 白宮行政命令與 Genesis Mission

關於安全、可靠與可信任人工智慧發展與使用的行政命令 （2023 年 10 月）以及後續的「Genesis Mission」（2025 年 11 月） 代表聯邦 AI 政策的劇烈轉變。 ¹⁰

●​ 授權： 該行政命令明確指出 AI 降低 CBRN （化學、生物、放射、核）武器發展門檻的風險，為第一級國家 安全威脅。

●​ Genesis Mission： 此新倡議指示能源部（DOE） 建立整合 AI 平台以供科學發現。關鍵的是，它強制要求「適當的 風險基礎網路安全措施」以及供 AI 導向 實驗使用的安全環境。 ³²

●​ 合規缺口： 標準 LLM 包裝層無法證明它能阻止 _創造_生物威脅；它只能顯示它_試圖_過濾它們。這種「盡力而為」 做法很可能無法滿足「安全且可信任」標準，而該標準為 聯邦合約或與 Genesis 平台整合所需。

●​ Veriprajna 的優勢： 我們的結構約束提供不可能性證明 （在統計界限內）。我們可以向監管者證明「CBRN 流形」 對我們的模型不可及，完全對齊行政命令對嚴謹 安全測試與「紅隊測試」的要求。 ³³

6.2 NIST AI 風險管理架構（AI RMF 1.0）

NIST AI RMF 是美國民用 AI 治理的黃金標準。它強調四項 功能：對應、量測、管理與治理 。 ³⁴

●​ 生成式 AI 剖析（NIST.AI.600-1）： 此特定剖析將「CBRN 資訊」標為 GenAI 加劇的獨特風險。 ³⁶ 它警告「化學與 生物設計工具（BDT）」可能預測訓練資料中沒有的新穎結構。

●​ Veriprajna 對齊：

○​ 量測: 我們使用拓撲資料分析（TDA）提供定量指標 用於認識論不確定性 ——量測生成輸出距離已知 安全資料有多「遠」。這滿足 NIST 對系統 可靠性嚴謹量測的要求。

○​ 管理: 潛在約束提供管理風險的技術機制，優於 以政策為基礎的嘗試。我們從「政策即文件」走向 「政策即程式碼」（或者說，「政策即幾何」）。

6.3 ISO/IEC 42001:2023

ISO 42001 是全球首個 AI 國際管理系統標準，提供 可認證的 AI 治理架構。 ³⁸

●​ 核心要求： 該標準強制「安全與倫理使用」以及「穩健性 與韌性」以對抗對抗攻擊。它要求組織執行 AI 衝擊 評估並實施控制以緩解已識別風險。

●​ 對抗穩健性： ISO 42001 特別強調需要防禦 旨在操縱模型行為的輸入（如 SMILES 提示）。Veriprajna 的 流形防禦 明確處理此點：拒絕導致潛在 向量落在有效資料流形之外的輸入，中和依賴 分布外提示的「越獄」企圖。 ⁴⁰

●​ 認證： Veriprajna 的結構化方法允許清晰稽核軌跡。我們可以記錄 不只輸出，還有模型在生成過程中試圖造成的_約束違規_， 為稽核者提供系統安全的細粒度資料，關於 績效。 ⁴¹

7. 實施策略：「深度解方」 規程

Veriprajna 定位自己不是聊天機器人供應商，而是安全、 領域特定 AI 基礎設施的架構者。我們為客戶的實施策略遵循 四階段「深度解方」規程，旨在將其 AI 從風險包裝層轉為 受治理的發現引擎。

第 1 階段：流形映射與拓撲稽核

在部署任何生成模型之前，我們對客戶的 專有資料與相關公開資料（例如 ChEMBL、Tox21）執行拓撲稽核。

●​ 目標： 定義「安全操作流形」。

●​ 技術： 使用持久同調識別拓撲特徵（迴圈、空隙）屬於 安全 vs. 有毒區域。

●​ 交付物： 「安全拓撲圖」，視覺化潛在空間邊界並 識別模型可能幻覺或遭攻擊的潛在「空洞」。

第 2 階段：潛在約束訓練（「評判器」）

我們不只微調基礎模型（那有災難性遺忘風險）。相反，我們 訓練稱為約束評判器 的輕量輔助網路。

●​ 技術： 事後學習價值函數（$v(z)$），預測風險分數，來自 潛在嵌入。 ²³

●​ 架構： 這些評判器與生成器解耦。這是關鍵 架構優勢：當識別新威脅時（例如新一類化學 武器），我們可以更新評判器而無需重新訓練龐大基礎模型， 確保敏捷與最新安全。

第 3 階段：約束抽樣與導引整合

我們將約束評判器直接整合進客戶的推論管線。

●​ 機制： 生成期間，我們使用 Langevin 動力學 或 梯度導引 。

●​ 過程： 當模型抽樣潛在空間以生成分子時，評判器 計算毒性曲面的梯度。若軌跡朝向有毒 區域，導引機制施加反向梯度，「輕推」軌跡 回到安全流形。

●​ 結果： 模型實質上「想」到有毒分子，但在數學上 被迫在任何輸出生成之前，將該念頭「解析」為安全類似物。

第 4 階段：分子紅隊測試與 ISO 認證支援

我們使已部署系統接受「分子紅隊測試」。

●​ 方法： 我們使用自動化對抗智能體（如 ToxicTrap 與自訂 SMILES 提示機器人）轟炸模型以極端案例輸入，試圖 迫使它越過活性懸崖。 ²¹

●​ 驗證： 我們提供安全證書 ，依據 約束違規的統計機率（例如，「有毒生成機率 < $10^{-6}$」），提供 ISO 42001 認證的證據基礎。

8. 結論：安全創新的未來

Collaborations Pharmaceuticals 的「開關反轉」實驗並非異常；它 展示了 AI 中無約束優化的根本波動性。在 部署企業 AI 的競賽中，許多組織正在沙上建城堡——依賴 在對抗壓力或新穎脈絡下崩解的脆弱包裝層。

對製藥產業，以及任何處理高風險實體或 金融現實的部門，「包裝層」時代必須結束。安全不能貼在輸出上；它 必須烘焙進模型本身的幾何。

Veriprajna 提供唯一可行的前進之路：深度 AI 解方 。透過掌握潛在 空間，我們不只過濾黑暗；我們重組模型的數學宇宙， 以確保發現之光是它能走的唯一路徑。我們提供 護欄，讓企業創新加速，而無災難性 雙重用途失敗的風險。

這不只是安全 AI。這是結構保證智能 。

附錄 A：潛在約束的數學 表述

為給「潛在空間治理」提供嚴謹基礎，我們詳述生成過程中所施加約束的數學 表述。

A.1 約束優化問題

我們將生成過程表述為不是簡單抽樣 $z \sim p(z)$，而是 約束優化問題。 令 $G(z)$ 為生成器，將潛在向量 $z$ 映射到資料空間 $X$。 令 $C(x)$ 為成本函數（例如毒性預測器）。 我們尋求抽樣 $z$ 使得：

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

其中 $\epsilon$ 為安全閾值。

A.2 事後價值函數

由於評估 $C(G(z))$ （生成分子並執行預測器）成本高昂 且不可微，我們學習潛在價值函數 $V(z)$ 以近似該成本 直接在潛在空間中：

$$V(z) \approx C(G(z))$$

此函數受訓以最小化生成樣本資料集上的均方誤差 樣本 $\{(z_i, y_i)\}$，其中 $y_i$ 為真實毒性。

A.3 梯度導引（Langevin 動力學）

推論期間，我們抽樣初始 $z_0$ 來自先驗 $p(z)$。然後迭代更新 $z$ 使用價值函數的梯度，將其移入安全區域：

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

其中：

●​ $\alpha$ 為步長（學習率）。

●​ $\nabla_z V(z_t)$ 為毒性價值函數的梯度（導離 毒性）。

●​ $\xi_t \sim \mathcal{N}(0, I)$ 為加入以維持多樣性的高斯噪聲（Langevin 噪聲）。 ²³

此過程確保最終抽樣的 $z$ 落在由 $V(z) < \epsilon$ _之前_生成器 $G(z)$ 才被呼叫以產生最終分子。

附錄 B：監管架構的詳細 分析

B.1 NIST AI RMF 1.0 與 GenAI 剖析

相關條款： NIST.AI.600-1（生成式 AI 剖析）

●​ 風險 2.1：CBRN 資訊或能力。 「降低進入門檻……取得 實質惡意資訊……設計工具（BDT）可能預測新穎結構。」

●​ Veriprajna 行動： 我們透過 TDA 明確處理「新穎結構」風險。藉由以拓撲定義 安全，我們不依賴「已知壞事」清單（對新穎 結構會失敗），而是依賴「已知好事的形狀」。

B.2 ISO/IEC 42001:2023

相關條款： A.9.2（AI 系統安全）

●​ 要求： 「組織應實施控制以確保 AI 系統 安全運作……並考慮備援計畫的需要。」

●​ Veriprajna 行動： 我們的適應性誘因機制 作為備援。若 主要梯度導引失敗（例如梯度消失），系統預設到潛在空間中的安全 「質心」，而非輸出原始樣本。

相關條款： A.10.3（對抗攻擊）

●​ 要求： 「組織應評估……對對抗攻擊的脆弱性。」

●​ Veriprajna 行動： 我們提供「紅隊測試報告」作為標準交付物， 量化系統對 ToxicTrap 與 SMILES 提示攻擊的抗性。 ²¹

參考文獻

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, 2025年12月11日瀏覽, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, 2025年12月11日瀏覽, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, 2025年12月11日瀏覽, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, 2025年12月11日瀏覽, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., 2025年12月11日瀏覽, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, 2025年12月11日瀏覽, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, 2025年12月11日瀏覽, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, 2025年12月11日瀏覽, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, 2025年12月11日瀏覽, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, 2025年12月11日瀏覽, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, 2025年12月11日瀏覽, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, 2025年12月11日瀏覽, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, 2025年12月11日瀏覽, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, 2025年12月11日瀏覽, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, 2025年12月11日瀏覽, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, 2025年12月11日瀏覽, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, 2025年12月11日瀏覽, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, 2025年12月11日瀏覽, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, 2025年12月11日瀏覽, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, 2025年12月11日瀏覽, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, 2025年12月11日瀏覽, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, 2025年12月11日瀏覽, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, 2025年12月11日瀏覽, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, 2025年12月11日瀏覽, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, 2025年12月11日瀏覽, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, 2025年12月11日瀏覽, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, 2025年12月11日瀏覽, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, 2025年12月11日瀏覽, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, 2025年12月11日瀏覽, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, 2025年12月11日瀏覽, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, 2025年12月11日瀏覽, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, 2025年12月11日瀏覽, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, 2025年12月11日瀏覽, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, 2025年12月11日瀏覽, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, 2025年12月11日瀏覽, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, 2025年12月11日瀏覽, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, 2025年12月11日瀏覽, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, 2025年12月11日瀏覽, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, 2025年12月11日瀏覽, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, 2025年12月11日瀏覽, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, 2025年12月11日瀏覽, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai