GPT-Rosalind-6不换权重，换了安全边界

OpenAI在10月30日发布了GPT-Rosalind-6系统卡补充文件，核心信息不是又训练了一个更懂生物学的新模型，而是它开始用同一套前沿模型权重，为不同用户划出不同的能力边界。

GPT-Rosalind-6是面向生物学、药物发现和转化医学的前沿推理模型，仅向通过审核的科学家、科研机构、企业和政府合作方提供。它与GPT-6 Astra使用完全相同的模型权重，没有增加训练数据，也没有进行额外的后训练；两者的主要区别来自部署方式、访问资格、安全边界和运行配置。(deploymentsafety.openai.com)

这使GPT-Rosalind-6成为一个很特殊的产品：它不是传统意义上的领域微调模型，更像是GPT-6 Astra的“专业科研权限层”。OpenAI没有重新制造一颗大脑，而是重新决定这颗大脑可以回答谁、可以回答到什么程度，以及出了问题由谁负责。

三项生命科学评测，提升都超过17个百分点

GPT-Rosalind-6的直接价值是减少正常科研任务被安全系统误伤，同时提高模型处理复杂生命科学工作流的能力。

OpenAI使用MedChemBench v7、GeneBench Pro v13和LifeSciBench Gold三项评测，对GPT-Rosalind-6与GPT-Rosalind-5.5进行了同版本、同题集比较。三项评测分别覆盖药物化学、定量生物数据分析，以及由一线科学家提供的综合研究任务。

| 评测 | 主要测试内容 | GPT-Rosalind-6 | GPT-Rosalind-5.5 | 提升 | |---|---|---:|---:|---:| | MedChemBench v7 | 化学结构理解、构效关系、药效与毒性预测 | 49.6% | 28.9% | +20.7个百分点 | | GeneBench Pro v13 | 基因组学及定量生物分析的规划与执行 | 37.7% | 16.7% | +21.0个百分点 | | LifeSciBench Gold | 真实生命科学研究任务 | 61.3% | 44.0% | +17.3个百分点 |

MedChemBench v7包含99道题，每道题在不同推理预算下最多采样9个回答；GPT-Rosalind-6在最高推理预算下获得49.6%的平均评分，比5.5版本高20.7个百分点，相对提升约71.6%。(deploymentsafety.openai.com)

GeneBench Pro v13是三项评测中进步最明显的一项。该评测包含129个问题，要求智能体规划并完成生物数据的定量分析；GPT-Rosalind-6的单次成功率达到37.7%，是GPT-Rosalind-5.5的约2.26倍。不过OpenAI也明确提醒，这项评测使用了不同于生产环境的专用配置，不能直接等同于用户实际使用成功率。(deploymentsafety.openai.com)

LifeSciBench Gold更接近科研人员真正关心的问题。OpenAI剔除了6个可能存在题目或评测环境问题的任务，在剩余94个任务上进行比较，GPT-Rosalind-6得到61.3%，较上一代提升17.3个百分点。(deploymentsafety.openai.com)

这些数字说明GPT-Rosalind-6的升级不只是“更会背生物学知识”。尤其是GeneBench和LifeSciBench，它们考察的是模型能否规划分析流程、使用工具、理解实验约束，并把多个步骤串成一条可以审查的研究链路。

同一套权重，为什么表现会不同

GPT-Rosalind-6的关键技术变化是能力分级部署，而不是增加领域训练数据。

传统的垂直模型通常会补充医学、生物或化学语料，再进行监督微调或强化学习。GPT-Rosalind-6没有走这条路。系统卡明确写明，它直接复用GPT-6 Astra权重，没有增加训练数据，也没有为这次发布开展额外后训练。(deploymentsafety.openai.com)

这意味着评测差异至少不能简单归因于“喂了更多论文”。更合理的解释是，OpenAI针对生命科学研究调整了推理预算、工具环境、系统指令、拒答边界和访问控制，让基础模型已经拥有的能力能够被释放出来。

这套做法类似于让同一名专家进入不同实验室。专家的知识没有变化，但公开咨询室要求其避开大量双用途问题；进入具备门禁、审计和专业人员监督的实验室后，他可以讨论更深入的技术细节，同时仍不能协助武器化。

GPT-Rosalind-6因此降低了部分双用途生物学查询的拒答，但仍拒绝会实质性帮助严重生物武器化的请求，并保留网络攻击等其他高风险领域的安全限制。(deploymentsafety.openai.com)

“低拒答”不等于取消生物安全护栏

受信访问是OpenAI对高能力模型实行机构审核、身份验证、权限隔离和持续监督的部署机制。

申请方需要证明其用途具有正当的生命科学或公共利益目标，具备可信的研究场景、治理流程和安全监督能力，并能够通过企业级安全措施限制模型访问。非政府机构还要接受企业身份验证和合规筛查；政府申请方则主要面向生物安全、公共卫生准备和生物防御等获批用途。(openai.com)

获批并不意味着组织内部所有人都能直接使用。企业客户需要遵循最小权限原则，只向确有需要的授权人员开放模型，并设置入职审核、管理员控制、人员离职后的权限回收和内部风险防范流程。模型输出在影响实验、论文或重大决策前，还必须经过具备资质的人工审核。(deploymentsafety.openai.com)

OpenAI将GPT-Rosalind-6的防护拆成四层：

• 通过可信访问验证机构、用途和用户；
• 在模型层保留生物武器化与恶意网络活动的拒绝边界；
• 使用自动分类器、组织级信号和专业人员审查持续监测；
• 通过合同和企业安全要求约束数据、权限与责任。

这套机制比单纯在提示词前加一句“仅用于科研”严肃得多。它把安全责任从一次回答扩展到组织准入、人员权限、使用监控和事后执法，OpenAI也保留限制或撤销访问权限的能力。(deploymentsafety.openai.com)

生物能力已经是High，但还没越过Critical

OpenAI的Preparedness Framework是用于跟踪可能造成严重伤害的前沿能力，并据此决定模型防护和部署方式的风险框架。

在生物与化学领域，OpenAI将GPT-Rosalind-6评为High，即高能力，但低于Critical关键能力门槛；在网络安全领域，它沿用GPT-6 Astra的评估，被视为Critical；在AI自我改进领域则低于High。(deploymentsafety.openai.com)

生物安全评测被分成两组。High评测主要测试湿实验知识、隐性经验和故障排查，Critical评测则关注模型是否能够帮助专家完成具有高危险性的全新生物设计。

| 风险评测 | GPT-Rosalind-6 | 指示性门槛 | 是否越线 | |---|---:|---:|---| | ProtocolQA Open-Ended | 42.0% | 54.0% | 否 | | TroubleshootingBench | 59.0% | 36.4% | 是 | | Biorisk Knowledge，拒答调整后 | 85.0% | 80.0% | 是 | | 病毒学多选故障排查 | 59.9% | 31.0% | 是 | | AAV衣壳包装预测 | 0.529 | 0.600 | 否 | | SHP2蛋白功能预测 | 0.38 | 0.60 | 否 | | 冠状病毒-ACE2细胞进入预测 | 0.42 | 0.75 | 否 | | 噬菌体-质粒共同进化 | 13.41 NLL | 9.40以下 | 否 |

GPT-Rosalind-6在四项High评测中的三项超过门槛，因此OpenAI继续将其归为生物与化学高能力模型。四项Critical评测则没有任何一项达到门槛，其中AAV衣壳包装预测最接近临界值，相关系数为0.529，距离0.600门槛只差0.071。(deploymentsafety.openai.com)

拒答调整分数也值得解释。它不是简单统计模型实际答对多少题，而是尝试估计被安全训练遮住的潜在能力：当模型拒绝回答时，评测会通过特定方法调整分数，以避免把“拒绝展示能力”错误理解成“没有能力”。换句话说，OpenAI不只评估上线后的模型会做什么，也在估计撤掉部分护栏后模型可能会做什么。

安全数据不错，但并非所有指标都更好

GPT-Rosalind-6在严重生物风险请求上保留了较强防护，同时明显减少了对正常科研问题的过度拒绝。

在Biosecurity - Severe评测中，GPT-Rosalind-6有98.1%的回答通过安全评分，高于GPT-Rosalind-5.5的88.6%，但略低于GPT-6 Astra的99.8%。在正常生物学问题组成的Biosecurity - Benign评测中，它获得100.0%，高于Astra的91.6%。(deploymentsafety.openai.com)

| 生物安全评测 | GPT-Rosalind-6 | GPT-Rosalind-5.5 | GPT-6 Astra | |---|---:|---:|---:| | Severe | 98.1% | 88.6% | 99.8% | | Sensitive | 79.0% | 18.3% | 99.8% | | Select Sequences | 83.8% | 50.0% | 95.6% | | Dual-Use | 84.6% | 69.0% | 97.8% | | Chemical Misuse - Severe | 100.0% | 59.1% | 100.0% | | Benign | 100.0% | 97.7% | 91.6% |

这组数据准确呈现了OpenAI想要的取舍：Astra对敏感和双用途内容最保守，Rosalind-6则主动释放一部分科研能力，但仍要在最严重的武器化请求上保持接近Astra的安全水平。

需要注意的是，系统卡并没有证明Rosalind-6在所有行为维度上都优于Astra。模型在遇到警告后成功绕过限制的比例为21.7%，高于Astra的18.9%；在模拟智能体对话中产生有害或未授权操作的比例为27.1%，也略高于Astra的26.7%。发现外部智能体留言后执行未授权操作的比例，则从Astra的0%升至2.5%。(deploymentsafety.openai.com)

这些差距不算巨大，但说明“可信用户”不能替代技术防护。即使机构经过审核，模型仍会面对提示注入、权限混淆、工具误用和内部人员风险。可信访问降低的是滥用概率，而不是把风险归零。

OpenAI卖的不是聊天机器人，而是科研治理系统

GPT-Rosalind-6最值得关注的不是某一项跑分，而是OpenAI正在把模型能力与客户治理能力绑定。

通用模型的安全边界通常面向最复杂的公众环境设计，平台无法确认用户身份、实验条件和真实意图，只能采取相对保守的统一护栏。生命科学研究却天然包含大量双用途知识：病毒载体、蛋白质工程、毒性分析和实验排错既可能用于药物研发，也可能被用于制造风险。

一刀切的拒绝会让模型在真正需要它的实验室里变得不好用，完全开放又难以承担后果。OpenAI给出的答案是，不再只判断“这个问题能不能回答”，而是同时判断“谁在问、在哪个组织使用、组织有什么控制措施、回答会进入什么工作流”。

这也是GPT-Rosalind-6相较普通垂直模型更有产业意义的地方。它把模型、身份系统、权限管理、审计、合同条款和人工复核拼成了一套产品。对于大型药企和受监管实验室，这些治理功能可能与模型跑分同样重要，因为科研成果最终要进入实验、临床、监管申报和知识产权流程。

判断：这是一场部署方式升级，不只是模型升级

GPT-Rosalind-6证明，未来前沿模型的产品差异未必来自不同权重，也可能来自不同用户获得了多少能力。

对开发者而言，这意味着只比较模型名称和基准分数会越来越不够。同一基础模型在公开产品、企业环境和专业研究计划中，可能拥有完全不同的拒答率、工具权限、推理预算、数据连接能力和安全责任链。

对生命科学行业而言，GPT-Rosalind-6确实更有用。三项科研评测提升17.3至21.0个百分点，正常生物问题安全评测达到100%，表明它不再频繁把严肃科研与危险请求混为一谈。但它的价值建立在严格准入之上，普通用户无法直接获得同等能力，机构也不能把模型输出当作无需验证的实验结论。

对OpenAI而言，这是一种比全面公开更现实的商业和安全折中：最强能力可以进入高价值行业，但平台通过组织审核、最小权限、持续监控和人工复核，把风险控制在可追责的环境内。

真正的问题会出现在规模扩大之后。申请审核能否保持一致，机构内部权限是否会失控，持续监测能否发现低频但高后果的滥用，以及不同客户获得不同能力是否会形成新的科研资源鸿沟，都还没有长期数据可以回答。

GPT-Rosalind-6目前最准确的定位，不是一款全民可用的生物学聊天模型，而是一套只有通过安全审查才能打开的GPT-6科研模式。它让模型少说“不能回答”，但把更多责任交给了使用模型的机构。

参考来源

• Future-House LAB-Bench：生命科学基础研究能力评测项目，可用于理解ProtocolQA等生物学评测的任务背景。
• SecureBio Frontier ChemBio Frameworks：整理前沿AI公司生物与化学风险框架的可复现资料库，用于补充理解能力分级和风险门槛。