В спорах о безопасности ИИ всё чаще повторяют одну простую вещь: заранее отладить модель так, чтобы она не подводила никогда, не получится. Индустрия, похоже, услышала — и переезжает от красивых обещаний к будничному надзору. Первый пункт в смете — биобезопасность. Великобритания разворачивает профильное подразделение по биорискам при своём институте ИИ-безопасности; Anthropic и OpenAI держат внутренние «красные команды» по биологии; крупнейшие производители синтетической ДНК фильтруют входящие заказы. Постепенно складывается отрасль, которую уже окрестили биофайрволом: набор технологий и процедур, не дающих генеративной модели превратиться в пошаговую инструкцию по созданию опасных агентов. Разберёмся, из чего он собран и за что государства готовы платить.
У синтетической биологии есть узкое место — синтез цепочек ДНК на заказ. Его выполняют специализированные компании: Twist Bioscience, Ginkgo Bioworks, IDT, GenScript. Участники Международного консорциума генного синтеза сверяют каждый заказ с базами опасных последовательностей — генов токсинов, фрагментов геномов патогенов, — а сомнительные заявки уходят на ручную проверку. ИИ здесь работает в обе стороны. Языковая модель, по доступным данным, способна не только подсказать опасный путь, но и объяснить, как обойти фильтр. Зато и сам фильтр может поумнеть: нейросетевые классификаторы в принципе способны распознавать опасные последовательности, даже если те переписаны. США уже опубликовали рамочные рекомендации по скринингу синтеза; не исключено, что со временем дело дойдёт и до обязательных требований. Это первый слой биофайрвола, и логика у него предельно приземлённая: как ни защищай модель, физическую цепочку можно просто отклонить на этапе печати ДНК.
Второй слой — испытания самих моделей. Британский институт ИИ-безопасности получил право тестировать frontier-модели до релиза: вместе с биологами составляются задания, по которым замеряют, насколько модель повышает возможности неспециалиста по сравнению с обычным поиском в интернете. Anthropic встроила ту же логику в собственную политику масштабирования: если новая версия показывает «аплифт» в биологии, автоматически включаются дополнительные барьеры — проверка личности при доступе, ограничения на выдачу. У OpenAI за это отвечает фреймворк Preparedness, где биологические риски — отдельная категория со своей шкалой. Переломный момент наступил после экспериментов RAND, проверявших, могут ли модели помогать в планировании биологических процедур. Биориск перестал быть теорией заговора: разрыв между «спросить у чата» и «найти в учебнике» оказался измеримым. Методики тиражируются: национальные ИИ-институты, по имеющимся сведениям, стремятся обмениваться протоколами тестов, а внешние «красные команды», возможно, превратятся в услугу — примерно как аудит информационной безопасности.
Третий слой — сенсорика. Файрвол, который только фильтрует запросы, бесполезен, если опасную последовательность синтезировали мимо него. Поэтому параллельно строится мониторинг среды: метагеномное секвенирование сточных вод, куда стекаются генетические следы возбудителей от целого города. Эту технологию во время пандемии обкатала Concentric by Ginkgo, а разбирать такие потоки всё чаще будут поручать ИИ — он умеет отделять сигнал от шума и связывать находки с базами последовательностей. Лондонское профильное направление, как ожидается, будет вдобавок следить, как растут возможности моделей на стыке с биологией, и оперативно выпускать рекомендации регуляторам. Чистая логика антивируса: не каждую утечку предотвратишь, но сократить время между инцидентом и реакцией — вполне.
Ставка на биобезопасность объяснима — здесь сходятся три причины. Первая: риск измерим. В отличие от сценариев про автономные системы, «аплифт» в биологии уже сегодня проверяется экспертными заданиями. Вторая: защита дёшева относительно последствий. Софт для скрининга заказов и команда тестировщиков стоят на порядки меньше потенциального ущерба — мечта любого отдела госзакупок. Третья: работает сама логика. Все дыры не закрыть — значит, оборона должна быть эшелонированной. Пусть веса модели утекут или её сломают джейлбрейком: остаются фильтр на синтезе и био-радар. Отсюда и экономика. Вокруг биофайрвола, судя по всему, формируется рынок: некоммерческие лаборатории, независимые аудиты, страховщики, задающие биотехам неудобные вопросы о процедурах. Британия, похоже, делает отраслевую ставку — не просто ограничить ИИ, а построить индустрию его проверки, с экспортом методик и рабочими местами.
У России есть база, на которую биофайрвол можно опереть. Государственный научный центр «Вектор» в Новосибирске — один из старейших мировых центров изучения вирусов, с крупнейшей коллекцией патогенов и собственными вакцинными платформами; вокруг него вырос биотех-кластер Кольцово. Центр Гамалея доказал, что способен быстро доводить вакцинные платформы до продукта. Мониторинговые сети Роспотребнадзора — фактически готовая сенсорная основа для био-радара. С генеративным ИИ всё скромнее. GigaChat Сбера и YandexGPT имеют политики использования, запрещающие опасные консультации, но публичных сведений о специализированных био-«красных командах» разработчиков практически нет. Аналога британского ИИ-института, судя по открытым источникам, не создано, а дискуссия о регулировании крутится вокруг общих принципов — биориски в ней не главные герои. Ограничения тоже очевидны: с доступом к оборудованию для секвенирования и синтеза ДНК, по имеющимся сведениям, связаны сложности. Перспектива, впрочем, просматривается: связка «коллекция и мониторинг Вектора + национальные LLM + скрининг заказов на доступных синтезирующих мощностях» может стать ядром российской версии биофайрвола. Для этого тему нужно впервые оформить как отдельную государственную задачу — а не разбирать по частям в академических статьях.
Биофайрвол — уже не только метафора, но и строки расходов и штатные расписания. Архитектура у него предсказуемая: фильтр на входе (скрининг синтеза), проверка на этапе модели (red-teaming и барьеры доступа), сенсоры на выходе (мониторинг среды). Британия одной из первых сделала такую ставку — и покупает не только снижение риска, но и роль эталона, по которому будут сверяться остальные. Идея «все баги не запатчить» из пессимизма превратилась в рабочую гипотезу целой отрасли: защищаться нужно слоями, исходя из того, что какой-то слой обязательно подведёт. Для России вопрос сейчас не в технологиях — они по большей части есть, — а в том, чтобы собрать их в систему до того, как это станет срочным.