Bioveiligheidsfilter: hoe AI-systemen worden behoed voor misbruik bij biologische wapens
Een bioveiligheidsfilter is een technische beveiliging die voorkomt dat een AI-systeem, meestal een groot taalmodel zoals Claude of GPT, gebruikt wordt om gevaarlijke biologische kennis te verzamelen of toe te passen. Denk aan een slot op een deur: het model 'weet' soms dingen die in de verkeerde handen schadelijk kunnen zijn, bijvoorbeeld over het versterken van ziekteverwekkers, en het filter zorgt ervoor dat die deur dicht blijft, ook als iemand slim probeert de deur open te wrikken.
Vergelijk het met een chemicus achter een apotheekbalie. De meeste vragen over medicijnen beantwoordt die persoon gewoon, maar bij een vraag die verdacht veel lijkt op het maken van een gevaarlijke stof, weigert de apotheker of waarschuwt die. Een bioveiligheidsfilter doet iets vergelijkbaars, maar dan geautomatiseerd, op enorme schaal en voortdurend actief: het scant zowel wat een gebruiker vraagt als wat het model dreigt te antwoorden, en grijpt in zodra het patroon wijst op een risico rond biologische wapens.
Wat is het precies?
Technisch gezien bestaat een bioveiligheidsfilter meestal uit een los, gespecialiseerd systeem dat naast het eigenlijke taalmodel draait. Dit systeem, vaak een classifier genoemd, is een apart getraind model dat één taak heeft: inschatten of een vraag of antwoord te maken heeft met de zogeheten CBRN-risico's. Dat staat voor Chemisch, Biologisch, Radiologisch en Nucleair; het gaat dus om kennis die kan bijdragen aan wapens met massavernietigend potentieel.
De filtering gebeurt doorgaans op twee momenten. Eerst wordt de vraag van de gebruiker gecontroleerd, nog voordat het hoofdmodel er iets mee doet. Vervolgens wordt ook het concept-antwoord van het model gecontroleerd voordat het wordt getoond. Deze dubbele laag is nodig omdat gebruikers vragen soms onschuldig verpakken, bijvoorbeeld als een fictief verhaal of een schoolopdracht, terwijl het achterliggende doel schadelijk is.
Een lastig punt bij het bouwen van zo'n filter is de balans tussen twee soorten fouten. Een filter dat te streng is, blokkeert ook legitieme vragen van bijvoorbeeld microbiologie-studenten, artsen of vaccinonderzoekers; dat heet een false positive. Een filter dat te soepel is, laat gevaarlijke informatie juist doorglippen; dat is een false negative. Ontwikkelaars proberen dit te ondervangen door de classifier te trainen op grote hoeveelheden voorbeelden van zowel schadelijke als onschuldige vragen, vaak met hulp van externe biologiedeskundigen die weten waar de echte risicogrens ligt.
Naast filters in AI-chatbots bestaat er een verwante, meer fysieke vorm van bioveiligheidsfiltering: de screening van DNA-synthese-orders. Bedrijven die op bestelling stukjes DNA maken, kunnen software gebruiken die elke bestelling automatisch vergelijkt met een database van gevaarlijke of gereguleerde genetische sequenties, bijvoorbeeld delen van het genoom van pokken- of miltvuurverwekkers. Wordt er een match gevonden, dan wordt de order tegengehouden en soms gemeld bij autoriteiten.
Wat wil men ermee bereiken?
Het hoofddoel is het verkleinen van wat wetenschappers 'uplift' noemen: de mate waarin een technologie iemand met kwade bedoelingen een merkbare voorsprong geeft. Vroeger kostte het maken van een biologisch wapen uitgebreide, moeilijk te vinden vakkennis. De zorg is dat krachtige taalmodellen die drempel verlagen door ingewikkelde biologie in begrijpelijke, stapsgewijze taal uit te leggen, inclusief praktische tips die normaal alleen in gespecialiseerde vaklaboratoria circuleren.
Bioveiligheidsfilters moeten dus voorkomen dat AI een soort snelcursus wordt voor mensen zonder de normale toegangsdrempels: jarenlange opleiding, labtoegang en professioneel toezicht. Tegelijk willen de bouwers van deze systemen de bruikbaarheid van AI voor legitiem onderzoek niet om zeep helpen, want dezelfde kennis is cruciaal voor het ontwikkelen van vaccins, diagnostiek en medicijnen.
Er speelt ook een bredere beleidsdoelstelling mee. Overheden en internationale organisaties zien AI-bioveiligheid als onderdeel van non-proliferatiebeleid, vergelijkbaar met exportcontroles op nucleaire technologie. Door filters verplicht te maken of te stimuleren, hopen beleidsmakers een vangnet te bouwen voordat er daadwerkelijk incidenten gebeuren, in plaats van pas achteraf te reageren.
Voorbeelden uit de praktijk
Anthropic, de maker van Claude, heeft voor zijn krachtigere modellen een systeem geïntroduceerd dat het bedrijf 'Constitutional Classifiers' noemt. Dit zijn classifiers die specifiek getraind zijn om pogingen tot het omzeilen van veiligheidsregels (zogeheten jailbreaks) rond CBRN-onderwerpen te herkennen en te blokkeren, en ze zijn gekoppeld aan wat het bedrijf intern 'AI Safety Level 3' (ASL-3) noemt binnen zijn Responsible Scaling Policy, een zelf opgelegd stelsel van voorzorgsmaatregelen dat zwaarder wordt naarmate modellen krachtiger worden.
OpenAI heeft voor zijn geavanceerdere modellen eveneens extra biologische en chemische vangrails aangekondigd, met specifieke monitoring op vragen die wijzen op pogingen om gevaarlijke biologische agentia te ontwerpen of op te schalen. Het exacte model waarbij dit voor het eerst inging en de precieze werking zijn niet in detail publiek gemaakt, dus lezers doen er goed aan de eigen documentatie van OpenAI te raadplegen voor actuele details.
Op het gebied van fysieke DNA-screening loopt het project SecureDNA, opgezet vanuit onderzoek van bioveiligheidswetenschapper Kevin Esvelt en collega's. Het biedt gratis, privacyvriendelijke screeningsoftware waarmee DNA-synthesebedrijven bestellingen kunnen toetsen aan een lijst van gevaarlijke sequenties, zonder dat de exacte bestelde sequentie het bedrijf hoeft te verlaten, dankzij cryptografische technieken.
De organisatie IBBIS (International Biosecurity and Biosafety Initiative for Science) ontwikkelt een vergelijkbaar hulpmiddel, de 'Common Mechanism', dat DNA-synthesebedrijven wereldwijd, ook kleinere spelers zonder eigen screeningsafdeling, in staat moet stellen bestellingen te controleren tegen internationaal gedeelde risicodatabases.
Ook denktanks als NTI (Nuclear Threat Initiative), van oudsher gericht op nucleaire dreigingen, hebben een apart bio-programma opgezet dat overheden en bedrijven adviseert over normen voor zowel DNA-screening als AI-bioveiligheid, en dat meewerkt aan internationale afspraken hierover.
Hoe ver is de techniek?
Bioveiligheidsfilters voor taalmodellen zijn nog relatief nieuw en volgen doorgaans het tempo van de onderliggende AI-modellen: telkens wanneer een krachtiger model uitkomt, wordt er ook een nieuwe, aangescherpte versie van het filter meegeleverd. De grote AI-bedrijven testen deze filters vaak met zogeheten red teaming, waarbij externe experts, soms met een achtergrond in biosecurity of overheidsinstanties, actief proberen het filter te omzeilen voordat een model breed wordt uitgerold.
Een belangrijk obstakel is dat classifiers zelf ook kwetsbaar zijn voor slimme omzeiltrucs, zoals het opknippen van een schadelijke vraag in onschuldig ogende deelvragen, of het verstoppen van een verzoek in een vreemde taal of code. Ontwikkelaars werken dit voortdurend bij, wat betekent dat dit eerder een kat-en-muisspel is dan een afgerond, statisch systeem.
Bij DNA-synthesescreening is het obstakel minder technisch en meer organisatorisch: de techniek zelf werkt behoorlijk goed, maar niet alle synthesebedrijven wereldwijd zijn verplicht om te screenen, en de database van 'sequenties van zorg' moet voortdurend worden bijgewerkt naarmate de wetenschap over gevaarlijke ziekteverwekkers verandert. Vrijwillige naleving verschilt sterk per land en per bedrijf.
Onafhankelijke evaluaties van hoe goed deze filters in de praktijk presteren, zijn schaars en vaak deels vertrouwelijk, omdat bedrijven niet in detail willen onthullen hoe hun filters werken; dat zou immers ook aanvallers een handleiding geven om ze te omzeilen. Dit maakt het voor buitenstaanders lastig om onafhankelijk te beoordelen hoe effectief de huidige generatie filters werkelijk is.
Wie werken eraan?
Bij AI-taalmodellen zijn het vooral de grote ontwikkelaars zelf die bioveiligheidsfilters bouwen, waaronder Anthropic en OpenAI, vaak in samenwerking met externe biosecurity-experts en, in sommige gevallen, overheidsinstanties die meekijken bij het testen van risicovolle capaciteiten voordat een model wordt vrijgegeven.
Op het gebied van DNA-synthesescreening zijn SecureDNA (voortgekomen uit onderzoek aan het Massachusetts Institute of Technology) en IBBIS de bekendste non-profitinitiatieven. Zij werken samen met commerciële DNA-synthesebedrijven, die de screeningsoftware daadwerkelijk in hun bestelproces inbouwen.
Op beleidsniveau zijn de Verenigde Staten, via onder meer eerdere richtlijnen voor verantwoord AI-gebruik, en de Wereldgezondheidsorganisatie, met haar werk rond zogeheten dual-use research of concern (onderzoek dat zowel goed als kwaad kan worden gebruikt), betrokken bij het opstellen van normen. Denktanks als NTI en academische bioveiligheidsgroepen, onder meer verbonden aan Johns Hopkins en MIT, leveren onderzoek en aanbevelingen die deze normen mede vormgeven.