Genoommodel Evo ontwerpt zestien werkende virussen die niet in de natuur voorkomen

Een AI-genoommodel heeft zestien werkende virussen ontworpen die niet in de natuur voorkomen, blijkt uit onderzoek van Stanford University en het Arc Institute dat vakblad Science donderdag publiceerde.

Dat verschuift de veiligheidsvraag rond AI van wat een model zegt naar wie het model draait. Evo 2, het model dat de genomen schreef, is geen afgeschermd product: de gewichten staan sinds februari 2025 onder een Apache 2.0-licentie vrij te downloaden op Hugging Face, zonder toegangsverzoek. Voor wie AI inkoopt of zelf host betekent dat iets concreets. De belofte "dit model weigert gevaarlijke verzoeken" is geen eigenschap van de technologie, maar van de gehoste route die je afneemt.

Van 700.000 ontwerpen naar zestien levende fagen

De virussen zijn bacteriofagen: virussen die alleen bacteriën infecteren en die artsen al inzetten tegen infecties waar antibiotica niet meer op aanslaan. De onderzoekers gebruikten twee genoommodellen, Evo 1 en Evo 2, die genetische code voorspellen zoals een taalmodel woorden voorspelt.

Als sjabloon namen ze faag ΦX174, met 5.386 nucleotiden en elf genen een van de kleinste genomen die bestaan. Het team finetunede de modellen eerst op 14.466 verwante faagsequenties. Daarna genereerden de modellen ongeveer 700.000 mogelijke genomen, waarvan de onderzoekers er 285 daadwerkelijk lieten maken. Die DNA-moleculen gingen in E. coli-bacteriën, die de code lazen en er fagen van bouwden. Zestien daarvan bleken levensvatbaar.

Het rendement was laag, de afstand tot de natuur niet. Elk werkend genoom droeg 67 tot 392 mutaties ten opzichte van het dichtstbijzijnde natuurlijke genoom, en dertien ervan bevatten mutaties die in geen enkele bekende natuurlijke sequentie zijn teruggevonden. Een cocktail van de AI-fagen brak vervolgens de weerstand van drie E. coli-stammen die resistent waren gemaakt tegen ΦX174, binnen één tot vijf passages. ΦX174 alleen lukte dat bij geen enkele stam. Daar zit de medische belofte: fagentherapie die de evolutie van bacteriën kan bijhouden in plaats van erachteraan lopen.

Wat de onderzoekers bewust dichthielden

Het team hield genetische code van virussen die mensen, dieren of planten infecteren uit de trainingsdata, werkte met een niet-ziekmakende E. coli-stam en koos een sjabloon dat alleen die bacterie kan aanvallen. Alle zestien fagen bleken inderdaad beperkt tot E. coli C en de verwante stam W, en groeiden niet op zes andere geteste stammen.

Moritz Hanke van het Center for Health Security van Johns Hopkins prijst die voorzorg in The Guardian, maar wijst erop dat niets de onderzoekers ertoe verplichtte en dat niemand garandeert dat de volgende gebruiker net zo zorgvuldig is. Tom Ellis, hoogleraar synthetische genoomtechniek aan Imperial College London, relativeert de dreiging in dezelfde krant: dit is het kleinste en makkelijkste genoom om te maken, en een bestaande ziekteverwekker aanpassen is veel eenvoudiger dan er een van nul ontwerpen.

De regels grijpen op een andere laag aan

In een begeleidend commentaar in Science schrijven Tom Inglesby en Hanke dat generatieve AI nu virale genomen kan samenstellen, terwijl het toezicht om dat veilig te sturen ontbreekt. Filippa Lentzos van King's College London legt het zwaartepunt ergens anders: het belangrijkste moment om in te grijpen is waar het DNA wordt gemaakt, en regulering moet zich niet uitsluitend op het model richten. Zij bepleit een gelaagde aanpak, van waarborgen rond modelontwikkeling en toegang tot screening bij DNA-synthese en gewone laboratoriumveiligheid.

De gesloten aanbieders trekken hun grens precies bij dit soort werk. Bij Claude Fable 5 gaan verzoeken over virologie, toxicologie en moleculair ontwerp nog altijd naar een zwakker model, ook nu Anthropic het biologiefilter verder heeft opengezet. Zo'n rem bestaat alleen op de route die de leverancier beheert. Bij vrij te downloaden modellen is dat patroon in een ander domein al gemeten: open-weight modellen lopen op offensieve cybercapaciteit nog maar vier tot zeven maanden achter op de gesloten frontier-modellen, en hun ingebouwde veiligheidsmaatregelen bleken bij die tests grotendeels ineffectief.

Europa heeft sinds kort wel een handvat op modelniveau. De Commissie kan sinds 2 augustus toegang tot een model eisen en in het uiterste geval de publieke beschikbaarheid ervan laten beperken. Dat instrument richt zich op aanbieders van algemene AI-modellen, de categorie waar een gespecialiseerd genoommodel uit een academisch lab niet vanzelf in valt.

Wat er donderdag echt bij kwam

Het onderzoek is niet van deze week. Het circuleerde sinds september 2025 als preprint en werd toen ook al breed besproken. Nieuw is de peer review en het commentaar dat Science ernaast zette.

Dat maakt de kern van het verhaal scherper in plaats van kleiner. De capaciteit ligt er al bijna een jaar, het basismodel staat al anderhalf jaar vrij te downloaden, en in die periode is er niets bijgekomen dat de toegang tot zulke modellen regelt. Het beslissende punt in een AI-keten verschuift daarmee van het filter op de uitvoer naar de plek waar iemand een modelbestand binnenhaalt, en naar wat er verderop in de keten nog wordt gescreend. Voor een organisatie die AI inkoopt is dat dezelfde vraag in het klein. Niet: wat weigert dit model. Maar: wie kan dit model draaien, en wie controleert wat er aan de andere kant uit rolt.