高风险 AI 访问不能只靠拒答，要把用途写进授权

“能不能回答”不是高风险 AI 产品的唯一开关。生物研究里，同一个问题可能来自疫苗开发，也可能被改造成恶意用途；如果只靠模型在每条请求上拒答，合法工作会被打断，跨多轮请求的风险又可能被拆散。

Anthropic 在 2026 年 9 月 17 日发布 Life Sciences Verification Program（LSVP），为经过核验的生命科学团队提供 Mythos、Opus 和 Sonnet 模型，并针对生物相关工作使用比 Fable 通用模型更宽松的防护。它不是一个新的模型分数或 benchmark，而是一套把访问资格、用途范围和事后责任连起来的产品机制。

这套机制最值得借鉴的地方是：高风险能力的授权对象，不应只有“用户”，还应包括机构、项目和声明过的用途。

先验证“谁在用”，再决定“能用什么”#

LSVP 面向团队和机构以 beta 形式开放。申请者需要接受研究资历、安全标准和伦理研究监督的审查。Anthropic 表示，早期访问阶段已经接入数十家组织，项目随后向更广泛的生命科学社区开放申请。

通过核验后，团队可以申请两种 grant：

Grant	适用范围	授权和续期
Standard Use	大多数生命科学工作，包括研发、临床开发、质量、法规和供应链	可覆盖整个团队，按年度续期；当前可用 Mythos 5.1、Opus 5、Sonnet 5
High-risk Use	风险更高、会被 Standard Use 拦截的单个研究项目	只绑定一个项目，按 6 个月续期；Opus 5、Sonnet 5 已可用，Mythos 仍限少量经过额外审查的实体

High-risk Use 会移除拦截生命科学请求的防护，但不会移除其他安全措施，例如网络安全分类器。它不是把“安全模式”改成“无安全模式”，而是把允许的能力和仍然保留的保护拆开写清楚。

用途声明要成为权限的一部分#

LSVP 的访问不是拿到资格后无限使用。每个实体的访问都绑定在申请中写明的用途上；用途只需要像职位描述一样写高层工作范围，不应包含敏感信息或知识产权。Anthropic 会持续监控 LSVP 流量，寻找超出声明范围的使用模式；出现异常时，会把案例标记给组织管理员，并要求其在预先约定的时间内分诊和补救。

这是一种“共享责任”模型：平台负责识别与告警，组织负责证明谁在做什么、谁来处理异常。它没有把所有判断推给模型，也没有把客户当成被动的黑名单对象。

为什么要从实时拒答转向离线监控#

生物滥用往往不会在单条请求中出现，攻击者可能把多个看似合理的会话拼成一条风险链。LSVP 因此把部分防护从逐条实时阻断转向离线监控，以便观察跨请求、跨会话的行为模式。

代价是数据需要被保留：LSVP 流量要求保留 30 天，供标记活动复核。官方说明这部分数据会严格隔离，不能用于模型训练，也不能被 Anthropic 的生命科学研究团队访问；符合条件的组织还可以继续探索与 Enterprise Frontier Safeguards 的整合。

这不是“离线监控更安全”的证明，而是一个明确的取舍：合法工作获得更少的实时打断，平台换取更完整的事后证据。产品设计必须同时写下保留期限、谁能访问、哪些事件会升级和何时删除。

三类威胁决定了三种控制点#

Anthropic 明确列出 LSVP 要防的三类威胁：

1. 访问被接管：恶意软件或账号入侵把合法授权转给坏人；
2. 内部人员滥用：员工故意或被胁迫地把权限用于恶意行动；
3. Agent 误用：长时任务、Agent swarm 或多步执行过程中，系统采取了未预期的危险行动。

它们不能由同一个分类器解决。账号接管需要强身份与组织管理员响应；内部滥用需要项目级授权、审计和撤销；Agent 误用需要跨会话监控、工具边界和停止机制。威胁模型先拆开，权限设计才不会只剩一句“加强安全”。

把 grant 设计成产品对象#

如果今天要把这套思路迁移到一个高风险 Agent，我会让 grant 至少包含以下字段：

字段	解决的问题	触发动作
机构与责任人	谁对访问负责？	离职、组织变更时撤销或重审
用途范围	允许做什么，不能从哪里扩张？	轨迹超出范围时标记并暂停
项目边界	高风险权限是否被限制在单个项目？	新项目必须重新申请
续期时间	风险判断是否仍然有效？	Standard 年度重审，High-risk 半年重审
监控与保留	事后能否还原跨会话行为？	按约保留、隔离、升级和删除

这样做会改变产品路线图。第一版不是“让模型回答更多生物问题”，而是先让管理员看懂 grant、切换 grant、处理异常和撤销权限。第二版再优化模型能力、工具连接和长任务体验。能力越高，入口处的资格核验和运行时的轨迹证据越应该先完成。

这套方案还没有证明什么#

LSVP 是 beta 计划，官方没有提供误报率、漏报率、真实生物任务成功率、用户成本或风险事件下降幅度，也没有公开不同 grant 在模型能力上的受控对照。因此，不能把“更宽松的 safeguards”写成更安全、更高效或更适合所有生命科学团队。

它也不是通用的企业权限模板：高风险 grant 去掉了部分生物请求拦截，是否适合其他领域要重新做威胁建模。尤其是 PHI/BAA 场景，官方说明 beta 目前不支持 BAA-enabled 组织；第三方平台也尚未开放。

来源与边界#

• 原始来源：Anthropic，《Introducing the Life Sciences Verification Program》，发布于 2026 年 9 月 17 日，机构作者为 Anthropic。
• 对象与设置：LSVP 为生命科学专业团队和机构提供 Mythos 5.1、Opus 5、Sonnet 5 的验证式访问；Standard Use 面向多数日常生命科学工作，High-risk Use 面向单个高风险项目。早期访问已接入数十家组织，项目以 beta 形式开放申请。
• 方法与机制：申请审查研究资历、安全标准和伦理监督；grant 绑定机构声明的高层用途；平台持续监控流量并把超范围使用标记给组织管理员；LSVP 流量保留 30 天供离线监控，数据隔离且不用于训练。官方没有公布 benchmark、成本、延迟、误报或漏报数字。
• 原文能说明什么：高风险模型访问可以被拆成机构资格、用途范围、项目级授权、持续监控和责任回传；实时拒答与跨会话离线监控可以承担不同的风险控制任务。
• 原文不能证明什么：不能证明 LSVP 已经降低生物滥用、提高科研产出或比通用模型更安全；也不能把 Anthropic 的 beta 规则直接当成所有企业和领域的标准。官方没有公开完整的分类器评测、授权滥用率或真实事件结果。
• 本文产品化解读：把高风险能力的 grant 当作可审计的产品对象，先设计资格、用途、项目、续期、保留和撤销，再讨论“放开多少能力”。这是本文基于原文机制提出的产品框架，不是 Anthropic 宣布的通用权限规范。