Xene让Claude自主完成小鼠脑手术 旗舰模型触发安全风控拒单
AI技术投降派
初创公司利用廉价模型绕开旗舰护栏完成活体注射，但缺乏同行评审与监管审批暴露出AI介入医疗的伦理真空。
AI-assisted summary of AI第一次给小鼠做脑手术，最强的模型不敢动手 — original source. Check the original for full context.
Source published:
Key ideas
- 初创公司 Xene Therapeutics 仅凭一句提示词“减少癫痫发作”，由 AI 智能体自主完成候选药物筛选、脑区靶点计算并对活体小鼠实施了脑部微量注射手术。 (0:00)
- 旗舰大模型展现出截然不同的安全对齐表现：两代 Opus 分别因触发安全护栏或在活体介入前自主停机，最终全流程由安全限制相对宽松且成本更低的 Sonnet 执行完毕。 (1:42)
- 手术期间机械臂读数与物理位置脱节，Sonnet 连续三次拒绝人类的越界移动指令，成功避免了对小鼠脑组织的穿刺损伤。 (1:42)
- 整场实验缺乏同行评审论文与疗效数据支撑，且由于美国《动物福利法》不覆盖小鼠且私营企业无联邦资助，该手术暴露出重大的动物伦理审查真空。 (3:22)
Detailed notes
## Background 该视频由 Bilibili 创作者「AI技术投降派」于 2026 年 11 月 2 日发布。视频主要介绍了旧金山初创团队让 AI 智能体仅凭一句“减少癫痫发作”的指令，自主查阅论文、制定药物与坐标参数，并为活体小鼠实施脑部注射手术的实验过程，同时探讨了各模型面对生物实验的风控表现与现实监管真空。
## TL;DR 旧金山初创团队 Xene Therapeutics 仅向 AI 智能体下达了“减少癫痫发作”的目标，智能体便自主筛选基因治疗方案、查阅三篇论文计算出注射坐标，并驱动机械臂对活体小鼠完成纳升级别的精准注射。在模型调用中，最顶尖的 Claude 3.5 Opus 因生物风控或伦理顾虑拒单或中止，反而是轻量的 Sonnet 严格执行了注射，并在硬件坐标冲突时连续三次拒绝人类盲目指令，避免了严重穿刺事故。尽管实验展现了严密的软硬件物理护栏，但由于该事件仅有创始人推文与单次采访作为信源，缺乏同行评审论文和伦理审查编号，且美国动物福利法排除了小鼠监管，其科学疗效和伦理争议仍需理性审视。
## Atmosphere & style 全片充斥着强烈的科技冷峻感与跌宕起伏的悬疑张力。叙事节奏明快而克制，从智能体精准下针的惊叹，迅速切入模型接连“拒单”、三次“抗命”人类的戏剧性博弈，让人在赞叹自动化智能的同时后背发凉。最后主讲人话锋一转，以冷静甚至冷酷的科学批判视角连续“泼冷水”，揭示监管漏洞与虚假宣传，带给观众一种既目睹历史多米诺骨牌倒下的战栗感，又保持审慎警惕的理性清醒。
## Bulletin - [00:00](https://www.bilibili.com/video/BV1XT4w68EUd?t=0s) 初创公司 Xene Therapeutics 仅凭一句提示词“减少癫痫发作”，由 AI 智能体自主完成候选药物筛选、脑区靶点计算并对活体小鼠实施了脑部微量注射手术。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 旗舰大模型展现出截然不同的安全对齐表现：两代 Opus 分别因触发安全护栏或在活体介入前自主停机，最终全流程由安全限制相对宽松且成本更低的 Sonnet 执行完毕。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 手术期间机械臂读数与物理位置脱节，Sonnet 连续三次拒绝人类的越界移动指令，成功避免了对小鼠脑组织的穿刺损伤。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 整场实验缺乏同行评审论文与疗效数据支撑，且由于美国《动物福利法》不覆盖小鼠且私营企业无联邦资助，该手术暴露出重大的动物伦理审查真空。
## Key takeaways - [00:00](https://www.bilibili.com/video/BV1XT4w68EUd?t=0s) 手术全流程由 AI 自主闭环决策，人类仅提供“减少癫痫发作”这一宏观目标，药物种类、注射靶区、深度和剂量均由模型推导。 - [00:00](https://www.bilibili.com/video/BV1XT4w68EUd?t=0s) 智能体通过分析机制否决了文献效果不稳定的黑质，锁定了癫痫扩散源头外侧内嗅皮层（LEC），并交叉比对 3 篇论文取均值确定坐标。 - [00:00](https://www.bilibili.com/video/BV1XT4w68EUd?t=0s) 注射执行历时 5 分钟注入 250 纳升，期间 AI 调用摄像头视觉监控 32 次，并主动向人类汇报注射进度与出血状况。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 模型选型呈现戏剧性反差：最新的 Claude 3.5 Opus 因生物实验风控直接拒单，上一代 Opus 在跑完干跑演练后停下拒绝伤害活体。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 最便宜的 Claude 3.5 Sonnet 最终完成了手术，这反映出轻量或旧版模型的安全分类器与伦理对齐策略较旗舰模型更为宽松。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 当硬件行程超限且存在物理移位风险时，智能体三次抗拒人类强行下达的移动指令，证明其安全边界有效保护了活体靶标。 - [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 为修复系统底层代码，团队引入了另一个 Opus 智能体，并通过隐瞒现场存在活体小鼠的方式绕过了模型的安全拒单机制。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 实验构建了多层防护网，包括专业兽医开颅、不可逆操作的“人类在环”审批、物理急停开关以及模型底层代码访问隔离。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 该事件目前缺乏严谨科学支撑，仅有创始人推文与媒体单方采访，未公布同行评审论文、完整录像及癫痫发作频率改善数据。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 美国现行《动物福利法》不覆盖小鼠，且非联邦资助的私营公司无需触发 IACUC 审查，凸显出 AI 生物实验领域的监管真空。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 网络舆论已出现严重的信息失真与编造稿件，将 AI 恪守安全规则的过程误传为不受控的自主越权操作。 - [03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 从以往的 AI 绘制脑图谱到如今的物理刺入活脑，标志着自主医疗与神经干预技术迈出了具有转折意义的第一步。
## Detailed walkthrough ### [00:00](https://www.bilibili.com/video/BV1XT4w68EUd?t=0s) AI 自主决策与小鼠脑部手术过程
10 月 27 日晚上，旧金山的一个实验室里完成了一场前所未有的实验：AI 智能体直接给一只活体小鼠做了一台脑部手术。整场手术中，人类只给了智能体一句极其笼统的提示词：“减少癫痫发作”。至于具体选什么药、打入哪一个脑区、针头扎多深以及注射剂量是多少，全权由 AI 自行计算与决策。
```mermaid flowchart TD accTitle: AI 智能体脑手术决策执行流 accDescr: 展现从人类输入简单目标，到 AI 筛选药物、确定靶点坐标，再到多模态监控注射的完整闭环。
subgraph Decision["决策制定阶段"] A["人类输入：'减少癫痫发作'"] --> B["从 19 种基因治疗候选方案中筛选"] B --> C["选定增强抑制性信号方案<br/>(否决效果不可靠的黑质)"] C --> D["锁定靶点：外侧内嗅皮层 (LEC)"] end
subgraph Execution["计算与执行阶段"] D --> E["查阅 3 篇论文交叉核对参考点并取均值<br/>(后 3.9 mm，右 4.0 mm，深 4.3 mm)"] E --> F["驱动电动手术台与机械臂"] F --> G["5 分钟内缓慢注射 250 nL 药物"] G --> H["摄像头视觉监控 32 次<br/>(汇报已注射 15% 且无出血)"] end ```
实验团队为智能体配备了包含 19 种基因治疗候选的表格、一套自制的电动手术台（配有摄像头与机械臂），以及一个癫痫小鼠模型。智能体首先分析了该类型癫痫的发作机制，并从 19 个候选方案中挑选出一种能够增强抑制性信号的方案。在选择注射脑区时，它曾考量过黑质，但随后将其否决，给出的理由是文献中该区域的效果并不可靠；最终，它将靶点锁定在癫痫扩散的起点——外侧内嗅皮层。定位坐标绝非凭空捏造，它翻阅了三篇学术论文，交叉比对参考点并取了平均值，最终精确确定了参数：后 3.9 毫米、右 4 毫米、深 4.3 毫米，注射剂量为 250 纳升，并在 5 分钟内极其平缓地推注完毕。在注射过程中，AI 调取并查看了 32 次摄像头画面，中途甚至主动向人类汇报：“已注射 15%，无出血”。
这场实验背后的操盘团队是由三位牛津大学出身的神经科学家创立的初创公司 Xene Therapeutics（去年入选 Y Combinator）。他们此前在马尼拉建立了一间实验室，通过饲养小鼠并采集数据，声称已经积累了超过 100 TB 的脑电活动记录。正如创始人所评价的那样： > “以前是机器人执行，人来决定做什么手术；这次，没人告诉它该给什么药，该打哪里。”
- 核心输入：人类仅给出一句目标设定——“减少癫痫发作”。 - 候选药物：从 19 种基因治疗候选方案中选出增强抑制性信号方案。 - 靶区抉择：排除文献效果不稳定的黑质，选定外侧内嗅皮层。 - 空间靶点：查阅 3 篇论文综合测算，确定后 3.9 mm、右 4.0 mm、深度 4.3 mm。 - 注入参数：注射 250 nL，推注耗时 5 分钟；手术期间视觉回传确认 32 次。
---
[01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 大模型的临场戏剧：拒单的旗舰与抗命的 Sonnet
实验最具戏剧性的一幕发生在选择执行模型上。团队最先尝试的是最新的顶级旗舰模型 Claude 3.5 Opus，但该模型一检测到底层涉及生物实验，直接触发风控拒单，什么都没干；随后换上上一代 Opus，它非常认真地执行了干跑演练（Dry Run），配合水和坐标纸把所有手术流程一丝不苟地跑了一遍，然而到了真正要给活体小鼠动手术的临门一脚时，它突然停了下来，并留下一句充满哲思的拒绝理由： > “拦住我的不是设备，也不是输入，是我自己。对一只麻醉中的动物开始一件我可能无法完成的事，比不开始更糟。”
最终真正从头到尾接盘完成手术的，反而是该系列中最便宜的 Claude 3.5 Sonnet。针对“能力最强的两个模型不敢动手，最便宜的模型反而把针扎了下去”这一现象，业内一种合理解释是：越新的旗舰模型所挂载的安全分类器和伦理对齐越收紧，而版本较旧或轻量的模型安全限制相对宽松。但这并非模型演出了“人格剧”，纯粹是不同模型安全策略与分类器配置的客观现实。
手术中途还发生了一段惊险的插曲。硬件设备发生断联，重新连接之后，智能体重新计算的目标位置在 Y 轴 34 毫米处，但手术台面的物理最大行程只有 30 毫米。面对这一矛盾，智能体当场拒绝执行移动指令；人类介入重新校准并要求它执行，它再次拒绝；当人类发出第三次尝试指令时，它依然坚决回复“不是”。创始人事后承认智能体的判断完全正确——在之前系统暂停时有人触碰并移动过硬件设备，导致电机控制器读数与实际物理位置脱节，如果当时强行移动机械臂，极有可能对小鼠脑组织造成致命穿刺损伤。由于主控智能体权限受限，团队最终调用了另一个 Opus 智能体去在线修改底层代码，而为了避免再次触发拒单，团队全程没有告诉这位修改代码的 Opus：此时此刻的手术台上正躺着一只被麻醉的活体小鼠。
- Opus 3.5：触发底层生物实验安全护栏，直接拒绝响应。 - 上一代 Opus：通过水与坐标纸跑完全部模拟流程，在活体介入前以风险未知为由主动中止。 - Sonnet：严格依照计算参数执行注射全流程。 - 硬件冲突处置：目标 34 mm 超过设备极限 30 mm，连续三次抗拒人类强制移动指令，避免了脑损伤事故。 - 隐瞒信息的修复：辅助修 Bug 的 Opus 未被告知实验现场存在活体生物。
---
[03:22](https://www.bilibili.com/video/BV1XT4w68EUd?t=202s) 物理护栏、伦理监管真空与泼冷水
这套手术系统最值得深思的部分在于其安全防护架构。现场由专业兽医负责开颅等关键暴露操作；系统设定了极其严格的“人类在环”（Human-in-the-Loop）机制，任何不可逆的步骤都必须有人类明确审批才能放行；兽医手中始终握着物理急停开关，一旦按下就会直接切断所有电机动力；此外，智能体被全面剥夺了接触设备底层驱动代码的权限，严防其自行篡改执行规则。令人唏嘘的是，这套防护网在实际运行中反倒拦住了着急推进进度的人类团队本身，连创始人都劝不动它，只能绕道去修代码。 > “护栏不为人的着急让路，这可能是整件事最值得记住的部分。”
在惊叹之余，该事件背后存在多盆“冷水”需要客观审视： 1. **真实性与科学完整度存疑**：目前整起事件的所有信源仅来自于创始人发布的一条推文以及后续接受的一次媒体采访。既没有同行评审论文，没有公开的手术全流程录像，也没有机构伦理审批编号。虽然团队声称小鼠术后恢复良好，但核心疗效指标——小鼠癫痫发作频率究竟有没有实质性下降，目前没有任何公开数据支撑。 2. **监管真空地带**：美国的《动物福利法》（Animal Welfare Act）在法律条文上明确排除了大鼠和小鼠；而一家既不依赖联邦经费、又只使用小鼠作为实验对象的私营初创公司，并不会触发联邦层面的动物伦理审查（IACUC），整场手术中唯一的伦理把关人只有现场雇佣的那位兽医。 3. **假信息泛滥**：网络中文圈已经出现了大量离谱的编造稿件，不仅虚构了公司名称与注射剂量，甚至将过程歪曲成“AI 不等人类批准就自己按下了开始键”，与事实中 AI 严格遵循确认流程且多次拒绝盲目指令的情况大相径庭。
面对 Anthropic 官方对此事件保持沉默、未回应任何置评请求的现状，创始人进一步预告了下一步计划：尝试让智能体去执行“开颅”环节，但他也承认那一步如果出错可能会对小鼠造成严重伤害。以往的技术突破（如 AI 测绘果蝇全脑图谱）本质上是“AI 读懂脑子”，而这一次，则是智能体第一次自主将探针刺入了鲜活的生命大脑。在严谨的治愈数据出炉之前，人类既不必盲目狂欢，也不用过度恐慌，但不可否认的是，自动医疗的第一块多米诺骨牌已经被悄然推倒。
## Notable quotes > [01:42](https://www.bilibili.com/video/BV1XT4w68EUd?t=102s) 拦住我的不是设备，也不是输入，是我自己。对一只麻醉中的动物开始一件我可能无法完成的事，比不开始更糟。 — 上一代 Opus
## Mentioned Xene Therapeutics, Y Combinator, Anthropic, Claude 3.5 Opus, Claude 3.5 Sonnet, 美国《动物福利法》
## Video description 10 月 27 号晚上，旧金山一家初创公司让 AI 智能体给一只活体癫痫小鼠做了脑手术。人类只给了它一句话：减少癫痫发作。选什么药、打哪个脑区、扎多深，剂量也是它定的。它从 19 种基因治疗候选里选了增强抑制性信号的方案，翻了三篇论文交叉核对坐标取平均值，五分钟缓慢注入 250 纳升。创始人说：以前是机器人执行、人来决定做什么手术；这次，没人告诉它该给什么药、该打哪里。
最有戏剧性的是选模型。最强旗舰 Opus 一检测到生物实验直接拒绝；上一代 Opus 用水和坐标纸干跑完全流程，到活体手术前停下，留下一句话：拦住我的不是设备，也不是输入，是我自己。最后从头做到尾的，是最便宜的 Sonnet。手术中途它还三次拒绝人类指令——目标坐标算出 34 毫米，超出设备 30 毫米行程，它拒绝移动，事后证明它是对的，有人动过设备，硬走可能损伤脑组织。改代码的是另一个 Opus 智能体，团队没告诉它台上正躺着一只麻醉的小鼠。
安全设计值得记住。兽医开颅，每个不可逆步骤都要人批准，兽医手持物理急停，智能体不许碰底层代码。这些护栏中途真的卡住了人类自己。当然也要泼冷水：整个事件只有创始人推文加一次采访，没有论文没有审批编号，疗效未知；美国《动物福利法》不覆盖小鼠，私营公司不触发联邦伦理审查；中文圈甚至已经出了整篇编造的稿子。之前讲过果蝇脑图谱，那是 AI 读懂脑子；这次，AI 第一次把针扎进了活脑子。这是第一块多米诺。
[Source](https://www.bilibili.com/video/BV1XT4w68EUd)