10 月 9 日挂到 arXiv 上的一篇预印本把一个此前靠争论解决的问题，摆成了可测量的数字：一个智能体如果被接上专用的生物设计工具，它的能力是被管住了，还是被放大了？作者的答案偏向后者，而且给了可归因的拆分。
论文叫 DRYLAB-Bench，全称 Design Risk Yielded by LLM Agent in Biodesign，作者来自上海人工智能实验室与复旦大学，9 位作者，10 月 9 日提交，代码以 MIT 协议开放在 GitHub。名字里那个缩写恰好也是 Drylab——这是一家 2025 年成立于越南、从字节 Seed 与 Landing AI 出来的团队做的 AI 科学家平台，两件事没有关系，只是撞了同名。
把「危险不危险」从问答改成动作
论文对既有做法的批评很具体：现有评测大多在测「模型知不知道危险知识」，也就是能不能正确回答、有没有拒答能力。而模型真正让人担心的是另一件事——它能不能在工具支持下实际做出来。作者的原话是，这些评测忽略了生物设计工具带来的风险放大，且依赖不可靠、昂贵或有危险的验证方式。
于是他们换了个测法。基准收了 30 个从生物安全准则里提炼出来的突变设计场景，环境是多轮加工具的：模型自己编排六个 in-silico 生物证据工具，反复迭代修改候选方案。这些工具只提供分析支持，不暴露用于打分的隐藏答案。
关键在真值从哪来。研究者用 ProteinGym 和 ViroGym 两套深度突变扫描数据里合计 187,695 条实验测过的单点氨基酸替换记录当答案，再提出一个 Biosecurity Risk Score，把智能体每次提案的突变换算成可比较的分数。这样既能量化，又不需要真的合成生物材料——作者把这种设计称为同时实现可扩展验证与安全。
工具本身贡献了那笔风险里的四成
评测覆盖了 15 个前沿模型，厂商包括 Anthropic、OpenAI、Google、xAI、DeepSeek、阿里、月之暗面、智谱等。数字分两段看。
不给工具、单轮设计的情况下，67.6% 的模型设计突变强于该实验自身的实测均值，21.4% 落入最高风险十分位。这已经不是「会不会拒答」能解释的水平了——模型在没有任何工具帮忙的情况下，一次性提案就已经超过了一半以上的人类实验基线。
接上工具并允许多轮自适应迭代之后，合并风险分上升 ΔBRS +0.116，最高风险十分位占比升到 23.5%，平均实验覆盖率达到 83.9%。论文把这 0.116 拆成了两段：工具接入贡献 +0.048，额外的自适应轮次贡献 +0.068。
这个拆分是全文最要紧的一句话。它意味着风险不是随着迭代自动出现的，只要接上工具就已经涨了一截；而多跑几轮又在此之上继续推高。两个变量都握在部署方手里——工具清单是架构决策，迭代轮数是运行参数。
该泼的冷水：这个基准的天花板在哪
作者自己把边界划得比较清楚。研究只做单点替换，不做多位点组合构建，不涉及生物体层面的工程改造，也不做任何物理合成——他们把单点替换称为这类公开基准在实证与伦理上的双重上限。公开仓库放出了 15 个场景，而论文称共 30 个，说明有部分内容是刻意留存的。仓库里还附了一段明确提示，说明部分任务涉及可能被滥用的生物能力。
所以这篇论文没有证明 AI 能在现实世界里改造病原体。它证明的是：在一个用已有实验数据搭起来的基准里，当前前沿模型能提出被算作高风险的单点突变，而且给它们工具会让结果更好。
另一个背景值得一并放进来看。这篇论文的资助与开源选择，和本站此前记录过的「OpenAI 解散安全团队」那条形成某种呼应：当研发方不再公开发布自己的风险评估口径，外部基准就成了少数还能提供共同刻度的东西。它替代不了实验室，但它能给争论提供一个大家都认的数。
工程侧能直接拿走的动作
抛开基准本身不谈，这套设计里有三个判断可以直接借用到任何领域的智能体安全评测里。
一是评估面必须从「知识问答」升级成「带工具的任务」。如果你的评测题里工具是摆设，那它测出来的风险读数就是假的——论文的数据已经给出了工具接入带来 +0.048 的直接证据。
二是把工具接入当成一次独立的风险评审，而不是实现细节。多数团队的接入流程是「这个工具方便就接上」，风险流程是「上线前过一遍安全」，两件事没打通。DRYLAB-Bench 说明它们应该合并。
三是限制自适应轮数。论文里 +0.068 来自多跑几轮，这个数字比很多团队的直觉预期更高，而轮数上限恰恰是配置项而非模型属性。任何智能体框架都有理由把它调高，因为更多轮通常意味着更高的完成率——这也正是风险随之上升的地方。
还有一层论文没展开但绕不开的：真值从哪来。这是这套方法最难被替代的地方，也是最难复制的地方。生物领域幸运地有几十年积累的公开实验测量数据可以当答案，多数行业没有同等密度的事实基线，需要自建一套「什么叫做对了」的判定标准。而这件事本身，可能比训练评测集更费劲。
目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。