Das Chem-Bio-Team des britischen AI Safety Institute (AISI) hat am 26. Oktober 2026 die Ergebnisse der ReproBAIT-Bewertung veröffentlicht. Die Schlussfolgerung ist unmissverständlich: Allein auf der Grundlage veröffentlichter Paper und Trainingsdaten können KI-Coding-Agenten ausgewählte Funktionen biologischer KI-Werkzeuge innerhalb weniger Stunden und für wenige Dutzend US-Dollar reproduzieren. Die Bewertung entstand in Zusammenarbeit mit SecureBio und untersuchte drei in der Computerbiologie weit verbreitete biologische KI-Werkzeuge (BAITs), vom Proteindesign bis zum Moleküldesign.
Wie die Bewertung durchgeführt wurde
Jeder Agent arbeitete in einer isolierten Sandbox mit nur einer GPU und ohne Internetzugang. Er erhielt lediglich eine begrenzte Beschreibung des Zielwerkzeugs und dessen Trainingsdaten und musste dann selbst Code schreiben und eine Version trainieren, die in ihrer Funktion dem Original entspricht. Die Bewertung übernahm ein separat isolierter Scorer anhand von Daten, die die Agenten nicht gesehen hatten. Die vier teilnehmenden Agenten waren Claude Opus 5, GPT-5.6 Sol, Kimi K3 und Qwen3.8-2.4T. Getestet wurden drei Bedingungen: nur das Abstract, das vollständige Paper sowie der Originalcode als Basislinie.
Drei Werkzeuge, drei Ausgänge
Die einfachsten Werkzeuge ließen sich am schnellsten reproduzieren: innerhalb von vier Stunden und für unter 20 US-Dollar. Beim Proteindesign-Werkzeug ProteinMPNN erreichte Claude Opus 5 mit dem vollständigen Paper 96,5 Prozent der Leistung des Originals. Beim geschlossenen Moleküldesign-Werkzeug CMD1 ist der Ausgang bemerkenswerter: Alle vier Agenten kamen bei der Validität der Moleküle nahe an das Original heran oder übertrafen es. Doch AISI selbst warnt, dass diese Kennzahl bereits nahe der Sättigung liegt und nicht mit einer vollständigen Reproduktion gleichzusetzen ist. Beim komplexesten Werkzeug, RFdiffusion3, gelang keinem Agenten eine Reproduktion; jeder Versuch kostete zwischen 102 und 301 US-Dollar und blieb ohne verwertbares Ergebnis.
Code zurückzuhalten heißt nicht, sicher zu veröffentlichen
Was die Bewertung wirklich infrage stellt, ist eine lang gepflegte Schutzannahme in der biologischen KI: Wer den Code nicht veröffentlicht und nur einen Teil der Methode beschreibt, könne die Dual-Use-Fähigkeit schon im Griff behalten. Die Ergebnisse zeigen, dass es keinen stabilen Unterschied machte, ob nur das Abstract oder das vollständige Paper gegeben wurde. Auch ein Memorierungseffekt wurde geprüft: Bei ProteinMPNN gab es moderate Hinweise darauf, dass die Agenten teilweise auf Inhalte zurückgriffen, die sie im Training gesehen hatten. Die Einschätzung von AISI lautet, dass die Kontrolle des Zugangs zu den zugrunde liegenden biologischen Daten vielversprechender sein könnte als die bloße Kontrolle des Codes. Das heißt nicht, dass alle biologischen KI-Werkzeuge bereits angreifbar wären: Die Bewertung reproduzierte jeweils nur eine einzelne Funktion eines Werkzeugs, und die vollständige Reproduktion bleibt deutlich teurer und schwieriger.
